証明書の登録

開始する前に、以下を実行します。

• 公開キーと秘密キーのペアを生成します。自己署名デジタル証明書を参照してください。自己署名デジタル証明書

• 認証局プロファイルを設定します。「例 ：CA プロファイルの設定。

• SCEP の場合は、CA 証明書を登録します。SCEPを使用したCA証明書のオンライン登録を参照してください。SCEP を使用した CA 証明書のオンライン登録

この例では、ローカル証明書をオンラインで取得し、SCEP で指定された証明書 ID のオンライン登録を開始するようにジュニパーネットワークス デバイスを構成します。CA プロファイル名 で CA サーバーへの URL パスを指定します。ca-profile-ipsec

指定した証明書 ID のオンライン登録を開始するには、コマンドを使用します 。request security pki local-certificate enroll scep (Junos OSリリース15.1X49-D40およびJunos OSリリース17.3R1以降、 キーワードがサポートされ、必須となっています。)CA プロファイル名(例)、以前に生成されたキーペアに対応する証明書 ID(例:)、および以下の情報を指定する必要があります。scepca-profile-ipsecqqq

• 証明書の登録と再登録のために CA 管理者から提供されたチャレンジ パスワード。

• 次の値の少なくとも 1 つ:

  • IKE ネゴシエーションで証明書所有者を識別するためのドメイン名(例: )。qqq.example.net

  • 電子メール ステートメントとの IKE ネゴシエーションの証明書所有者の ID(例: )。qqq@example.net

  • デバイスが静的 IP アドレス用に設定されている場合の IP アドレス(例: )。10.10.10.10

ドメイン コンポーネント (DC)、共通名 (CN)、シリアル番号 (SN)、組織単位名 (OU)、組織名 (O)、地域 (L)、州 (ST)、および国 (C) を含む識別名の形式でサブジェクト名を引用符で囲んで指定します。

デバイス証明書が取得され、証明書 ID のオンライン登録が開始されると。コマンドは非同期的に処理されます。

設定が正常に機能していることを確認するには、 コマンドを入力します 。show security pki

開始する前に、以下を実行します。

• オンラインまたは手動で証明書を取得します。デジタル証明書を参照してください。デジタル証明書

• ローカル証明書を取得します。「例 ：SCEPを使用してローカル証明書をオンラインで登録する。

デバイスで、オンライン登録によって取得された証明書、または手動で読み込まれた証明書を自動的に更新できます。証明書の自動更新により、有効期限が切れる前にデバイス上の証明書を更新することを覚えておく必要がなくなり、常に有効な証明書を維持するのに役立ちます。

証明書の自動更新は、既定では無効になっています。証明書の自動更新を有効にし、有効期限が切れる前に証明書を再登録する要求を自動的に送信するようにデバイスを構成できます。証明書の再登録要求をいつ送信するかを指定できます。再登録のトリガーは、有効期限が切れる前に残っている証明書の有効期間の割合です。たとえば、証明書の残りの有効期間が 10% のときに更新要求を送信する場合は、再登録トリガーに 10 を構成します。

この機能を使用するには、デバイスが CA サーバに到達でき、更新プロセス中に証明書がデバイスに存在する必要があります。さらに、証明書を発行する CA が同じ DN を返すことができることも確認する必要があります。CA は、新しい証明書のサブジェクト名または代替サブジェクト名の拡張子を変更してはなりません。

SCEP 証明書の自動更新は、すべての SCEP 証明書に対して、または証明書ごとに有効または無効にできます。このコマンドを使用して、証明書の再登録を有効にして構成します。set security pki auto-re-enrollment scep この例では、CA 証明書の 証明書 ID を として指定し、証明書 に関連付けられている CA プロファイル名を に設定します。ca-ipsecca-profile-ipsec CA 証明書のチャレンジ パスワードは、CA 管理者から提供されたチャレンジ パスワードに設定します。このパスワードは、以前に CA に設定したパスワードと同じである必要があります。また、再登録トリガー の割合を に設定します。10 自動再登録中、ジュニパーネットワークス デバイスはデフォルトで既存のキーペアを使用します。適切なセキュリティプラクティスは、再登録のために新しいキーペアを再生成することです。新しいキーペアを生成するには、 コマンドを使用します 。re-generate-keypair

設定が正常に機能していることを確認するには、 運用モード コマンドを入力します 。show security pki local-certificate detail

公開キーと秘密キーを生成します。自己署名デジタル証明書を参照してください。

この例では、以前に生成した公開キーと秘密キーのペア(ca-ipsec)の証明書 ID を使用して証明書要求を生成します。次に、ドメイン名 (example.net) と関連する共通名 (abc) を指定します。証明書要求は PEM 形式で表示されます。

生成された証明書要求をコピーして CA Web サイトの適切なフィールドに貼り付け、ローカル証明書を取得します。(証明書要求を貼り付ける場所を決定するには、CA サーバーのドキュメントを参照してください)。PKCS #10 コンテンツが表示されると、PKCS #10 ファイルの MD5 ハッシュと SHA-1 ハッシュも表示されます。

証明書署名要求を表示するには、 コマンドを入力します 。show security pki certificate-request detail

開始する前に、以下を実行します。

• 公開キーと秘密キーのペアを生成します。自己署名デジタル証明書を参照してください。

• CA プロファイルを作成します。認証局プロファイルについてを参照してください。認証局プロファイルについて

  CA プロファイルは CA 証明書にのみ必要で、ローカル証明書には必要ありません

• 証明書要求を生成します。「例 ：ローカル証明書の CSR を手動で生成し、CA サーバに送信します。

この例では、local.cert および ca.cert の証明書をダウンロードし、デバイスの /var/tmp/ ディレクトリに保存します。

CA から証明書をダウンロードした後、証明書をデバイスに転送し (FTP などを使用して)、読み込みます。

Junos OS を実行しているデバイスに、次の証明書ファイルを読み込むことができます。

• ローカルデバイスを識別するローカルまたはエンドエンティティ(EE)証明書。この証明書は公開キーです。

• CA の公開キーを含む CA 証明書。

• CA によって失効した証明書を一覧表示する CRL。

  複数の EE 証明書をデバイスにロードできます。

証明書が正しく読み込まれたことを確認するには、運用モードで コマンドと コマンドを入力します。show security pki local-certificateshow security pki ca-certificate