証明書の登録

開始する前に、以下を行います。

• 公開鍵と秘密鍵のペアを生成します。自己署名デジタル証明書を参照してください。

• 認証機関プロファイルを設定します。例 : CA プロファイルの設定

• SCEP の場合は、CA 証明書を登録します。SCEP を使用した CA 証明書オンラインの登録を参照してください。

この例では、ローカル証明書をオンラインで取得し、指定された証明書 ID のオンライン登録を SCEP で開始するように Juniper Networks デバイスを構成します。CA プロファイル名 ca-profile-ipsecに CA サーバーへの URL パスを指定します。

コマンドを request security pki local-certificate enroll scep 使用して、指定された証明書 ID のオンライン登録を開始します。(Junos OS リリース 15.1X49-D40 および Junos OS リリース 17.3R1 以降、キーワードはサポートされており、 scep 必須です)。CAプロファイル名(例えば)、 ca-profile-ipsec以前に生成されたキーペア(例えば qqq)に対応する証明書ID、および以下の情報を指定する必要があります。

• CA 管理者が証明書の登録と再登録のために提供するチャレンジ パスワード。

• 以下の値のうち少なくとも 1 つ:

  • IKE ネゴシエーションで証明書の所有者を識別するためのドメイン名(例: qqq.example.net)。

  • 電子メール ステートメントによる IKE ネゴシエーションの証明書所有者の ID(など qqq@example.net)。

  • デバイスが静的 IP アドレスに設定されている場合の IP アドレス(例: 10.10.10.10)。

ドメイン コンポーネント(DC)、共通名(CN)、シリアル番号(SN)、組織ユニット名(OU)、組織名(O)、地域(L)、状態(ST)、国(C)など、識別名形式でサブジェクト名を引用符で指定します。

デバイス証明書を取得し、証明書 ID のオンライン登録を開始するとします。コマンドは非同期で処理されます。

設定が正常に機能していることを確認するには、 コマンドを show security pki 入力します。

開始する前に、以下を行います。

• オンラインまたは手動で証明書を取得します。デジタル認定書をご覧ください。

• ローカル証明書を取得します。例 : SCEP を使用してオンラインでローカル証明書を登録します。

オンライン登録によって取得されたか、手動で読み込まれた証明書をデバイスが自動的に更新できるようにします。証明書の自動更新により、証明書が期限切れになる前に証明書を更新する必要がなく、有効な証明書を常に維持するのに役立ちます。

デフォルトでは、証明書の自動更新は無効になっています。証明書の自動更新を有効にし、有効期限が切れる前に証明書を再登録する要求を自動的に送信するようにデバイスを構成できます。証明書の再登録要求をいつ送信するかを指定できます。再登録のトリガーは、有効期限までに保持される証明書の有効期間の割合です。たとえば、証明書の残りのライフタイムが 10% のときに更新要求を送信する場合は、再登録トリガーに 10 を構成します。

この機能を機能させるには、デバイスが CA サーバーに到達でき、更新プロセス中に証明書がデバイスに存在している必要があります。さらに、証明書を発行した CA が同じ DN を返すことができることも確認する必要があります。CA は、新しい証明書のサブジェクト名または代替サブジェクト名の拡張子を変更しないでください。

すべての SCEP 証明書に対して、または証明書ごとに、自動 SCEP 証明書更新を有効または無効にすることができます。コマンドを set security pki auto-re-enrollment scep 使用して、証明書の再登録を有効にして設定します。この例では、CA 証明書の証明書 ID を として ca-ipsec 指定し、その証明書に関連付けられた CA プロファイル名を に設定します ca-profile-ipsec。CA 証明書のチャレンジ パスワードを CA 管理者が提供するチャレンジ パスワードに設定します。このパスワードは、CA に対して以前に設定されたパスワードと同じパスワードでなければなりません。また、再登録トリガーの割合を に設定します 10。自動再登録時に、ジュニパーネットワークスデバイスはデフォルトで既存のキーペアを使用します。セキュリティ上の良い習慣は、再登録のために新しいキーペアを再生することです。新しいキーペアを生成するには、 コマンドを re-generate-keypair 使用します。

設定が正常に機能していることを確認するには、 動作モードコマンドを show security pki local-certificate detail 入力します。

公開鍵と秘密鍵を生成します。自己署名デジタル証明書を参照してください。

この例では、以前に生成した公開鍵と秘密鍵のペア(ca-ipsec)の証明書 ID を使用して証明書要求を生成します。次に、ドメイン名(example.net)と関連する共通名(abc)を指定します。証明書要求が PEM 形式で表示されます。

生成された証明書要求をコピーして CA Web サイトの適切なフィールドに貼り付けて、ローカル証明書を取得します。(証明書要求をどこに貼り付けるかを決定するには、CA サーバーのマニュアルを参照してください。PKCS #10 コンテンツが表示されると、PKCS #10 ファイルの MD5 ハッシュと SHA-1 ハッシュも表示されます。

証明書署名要求を表示するには、 コマンドを show security pki certificate-request detail 入力します。

開始する前に、以下を行います。

• 公開鍵と秘密鍵のペアを生成します。自己署名デジタル証明書を参照してください。

• CA プロファイルを作成します。認証機関プロファイルについてを参照してください。

  CA プロファイルは CA 証明書にのみ必要であり、ローカル証明書には必要ありません。

• 証明書要求を生成します。例 : ローカル証明書のCSRを手動で生成し、CAサーバーに送信する。

この例では、local.cert証明書とca.cert証明書をダウンロードし、デバイス上の/var/tmp/ディレクトリに保存します。

CA から証明書をダウンロードした後、証明書をデバイスに転送し(FTP を使用するなど)、読み込みます。

以下の証明書ファイルをJunos OSを実行するデバイスに読み込むことができます。

• ローカル デバイスを識別するローカルまたはエンドエンティティ(EE)証明書。この証明書は公開キーです。

• CA の公開鍵を含む CA 証明書。

• CA によって取り消された証明書を一覧表示する CRL。

  複数の EE 証明書をデバイスに読み込むことができます。

証明書が正しくロードされていることを確認するには、動作モードで および show security pki ca-certificate コマンドをshow security pki local-certificate入力します。