.. _サーバー証明書インストールマニュアル: https://meatwiki.nii.ac.jp/confluence/pages/viewpage.action?pageId=26183052 .. _事前準備〜証明書の申請から取得まで: https://meatwiki.nii.ac.jp/confluence/pages/viewpage.action?pageId=26188809 .. _TSV作成ツール操作マニュアル: https://nii-auth.atlassian.net/wiki/spaces/UPKIManual/pages/43881132/TSV .. _ACMEクライアントツール（certbot）によるサーバ証明書管理手順（利用管理者向け）: https://nii-auth.atlassian.net/wiki/spaces/UPKIManual/pages/43884506/ACME+certbot .. _upki_reference: ==================== 証明書の発行手順 ==================== .. contents:: 目次 :local: :depth: 1 .. _upki_apply_acme: 自動発行・更新手順 ------------------------ .. caution:: 自動発行・更新を利用するには，サーバが一定の条件を満たしている必要があります． 申請の前に， :ref:`upki_acme_requirements` で条件をご確認ください． 1. 申請 (Google フォーム) **証明書利用責任者の方ご自身のUECクラウドアカウント** で `UPKIサーバ証明書申請フォーム (ACME) `_ から申請してください． **利用責任者以外の方からの申請は受理できません．** - `UPKIサーバ証明書申請フォーム (ACME) `_ 申請に必要な役割（利用責任者・管理者）については， :ref:`upki_roles` をご確認ください． .. caution:: 申請は， **利用責任者ご自身のUECクラウドアカウント** で行ってください． **利用責任者以外の方からの申請は受理できません．** 申請に基づき, 情報基盤センターが FQDN (サーバ名) のドメイン管理者に FQDN の存在確認を行います． また，認証情報の発行にあたり以下の情報も必要になります． 必須 利用管理者E-mail，Webサーバソフトウェア名 任意 dNSName 2. certbot のインストール `ACMEクライアントツール（certbot）によるサーバ証明書管理手順（利用管理者向け）`_ の `3. certbotのインストール手順` の手順に沿って certbot をインストールします． .. hint:: snapd が未導入でインストールする場合，初期化に時間がかかるため， 1分ほど待ってから certbot のインストールを実行してください． 3. ACMEプロトコル認証情報の受け取り 情報基盤センターから **ACMEプロトコル認証 (EAB) 情報** (KID および HMACキー) を通知します． 4. サーバ証明書の新規発行 情報基盤センターから受け取った EAB 情報を利用して， `ACMEクライアントツール（certbot）によるサーバ証明書管理手順（利用管理者向け）`_ の ``4-1. サーバ証明書の新規発行手続き`` の手順に沿って ACME クライアントを設定してください． 証明書が発行されたら，ブラウザ等でサーバ証明書の有効期限等を確認してください． .. _upki_apply: 手動発行・更新手順 -------------------------- .. hint:: 証明書の **更新時も新規発行と同じ手続き** をお願いします． 新規発行時と同じFQDN等の正当性確認を行います． 1. 申請 (Google フォーム) **証明書利用責任者の方ご自身のUECクラウドアカウント** で `UPKIサーバ証明書申請フォーム `_ から申請してください． **利用責任者以外の方からの申請は受理できません．** - `UPKIサーバ証明書申請フォーム `_ 申請に必要な役割（利用責任者・管理者）については， :ref:`upki_roles` をご確認ください． .. caution:: 申請は， **利用責任者ご自身のUECクラウドアカウント** で行ってください． **利用責任者以外の方からの申請は受理できません．** 申請に基づき, 情報基盤センターが FQDN (サーバ名) のドメイン管理者に FQDN の存在確認を行います． 存在確認後，申請内容を審査し, 結果を利用責任者と管理者の UEC アカウント宛にメールにてご連絡します． 2. CSR (Certificate Signing Request, 証明書署名要求) の作成 .. caution:: 証明書 **更新時** も，必ず **新しい鍵ペア(私有鍵，公開鍵) を作成** してください． 既存の鍵ペアを **使いまわすことはできません．** 管理者は `事前準備〜証明書の申請から取得まで`_ に沿って **鍵長が2048bitsの鍵ペア** を作成してください． 作成した鍵ペアを使って **CSR** を作成してください． CSR 作成時に必要な **主体者 DN** には以下を入力してください． .. caution:: 主体者DNの **大文字・小文字は区別されます．** 特に **更新時** には **更新対象の証明書と大文字・小文字を含めて完全に一致する主体者DN** を入力してください． +------------+--------------------------------------------------+ | **属性名** | **入力する内容** | +------------+--------------------------------------------------+ | **C** | ``JP`` | +------------+--------------------------------------------------+ | **ST** | ``tokyo`` | +------------+--------------------------------------------------+ | **L** | ``chofu`` | +------------+--------------------------------------------------+ | **O** | ``The University of Electro-Communications`` | +------------+--------------------------------------------------+ | **CN** | サーバのFQDN (ホスト名) | +------------+--------------------------------------------------+ | **Email** | 空欄 (次の手順で指定します) | +------------+--------------------------------------------------+ .. hint:: - OpenSSL で空欄を入力する場合は「.」（半角ピリオド）を入力します 3. TSV の作成 `TSV作成ツール操作マニュアル`_ の `2.2.1.サーバ証明書` の手順に沿って， 先程作成した CSR を元に TSV ファイルを作成します． a. `TSVツール `_ にアクセスし :guilabel:`作成開始` を押して下さい． b. :guilabel:`TSVファイルの種別` を次の場合に応じて選択し，:guilabel:`この内容で作成開始` を押してください． .. hint:: サーバ証明書の更新時に入力する **失効対象証明書シリアル番号** は， **10進数値** もしくは, **頭に「0x」を付加した16進数値** で入力してください． 詳しくは `UPKI-FAQ サーバ証明書のシリアル番号を確認したい `_ をご覧ください． c. CSR ファイルを読み込んでください． さらに，不足している情報を下記のように入力して，TSV を作成してください． - 必須の入力項目は, **利用管理者 Email**, **Webサーバソフトウェア名等**, **利用管理者所属** です． - **利用管理者氏名** は必須の項目ではありませんが，申請システムからのメールの宛名としてメール本文に埋め込まれますのでできるだけご入力ください． - **利用管理者 Email** は半角のみでご入力ください． - **利用管理者氏名**, **利用管理者所属**, **Webサーバソフトウェア名等** は半角全角どちらでも入力可能です． - **利用管理者 Email** に記入したメールアドレスに発行通知等のメールが送信されてきます． 必ず受信可能なメールアドレスを記入してください． - **Webサーバソフトウェア名等** にはサーバ証明書を利用する HTTP サーバ等のソフトウェア名を入力してください． - `(オプション)` 同一計算機・同一 OS でホスト名が異なる複数のサーバで一つの証明書を利用する 場合, **dNSName** の項目を以下の例のように指定してください． ``dNSName=aaa.example.ac.jp,dNSName=bbb.example.ac.jp`` 4. TSVファイルの送付 前の手順で生成した TSV ファイルを，情報基盤センターにメールでお送りください． 送付先は, 手順 1. のメールでお知らせします． 提出された TSV ファイルに基づいて，情報基盤センターの担当者が証明書の発行組織（認証局）に 発行申請を行います．TSV ファイルに誤りがあった場合は，適宜，修正を依頼します． 5. サーバ証明書と中間CA証明書のダウンロード 認証局にて申請が受理され，処理が完了すると， 手順 3. で TSV ファイルに入力した ``利用管理者 Email`` に 通知が送られます．通知本文に， **サーバ証明書** と **中間CA証明書** のダウンロード リンクが埋め込まれていますので保存してください． 6. サーバ証明書のインストール（利用者） `サーバー証明書インストールマニュアル`_ に沿って サーバ証明書と中間CA証明書を各自のサーバにインストールしてご利用ください． インストール後，ブラウザ等でサーバ証明書の有効期限等を確認してください． 7 (更新時のみ) 古い証明書の失効 サーバ証明書のインストールが完了したら，作業が完了したサーバのFQDNを 情報基盤センターにご連絡ください． **TSVファイルの作成は不要** です．