証明書の発行手順

自動発行・更新手順

注意

自動発行・更新を利用するには，サーバが一定の条件を満たしている必要があります． 申請の前に， 自動発行・更新の要件 で条件をご確認ください．

  1. 申請 (Google フォーム)

証明書利用責任者の方ご自身のUECクラウドアカウント で UPKIサーバ証明書申請フォーム (ACME) から申請してください． 利用責任者以外の方からの申請は受理できません．

申請に必要な役割（利用責任者・管理者）については， 申請に必要な役割 をご確認ください．

注意

申請は， 利用責任者ご自身のUECクラウドアカウント で行ってください． 利用責任者以外の方からの申請は受理できません．

申請に基づき, 情報基盤センターが FQDN (サーバ名) のドメイン管理者に FQDN の存在確認を行います．

また，認証情報の発行にあたり以下の情報も必要になります．

必須

利用管理者E-mail，Webサーバソフトウェア名

任意

dNSName

  1. certbot のインストール

ACMEクライアントツール（certbot）によるサーバ証明書管理手順（利用管理者向け） の 3. certbotのインストール手順 の手順に沿って certbot をインストールします．

ヒント

snapd が未導入でインストールする場合，初期化に時間がかかるため， 1分ほど待ってから certbot のインストールを実行してください．

  1. ACMEプロトコル認証情報の受け取り

情報基盤センターから ACMEプロトコル認証 (EAB) 情報 (KID および HMACキー) を通知します．

  1. サーバ証明書の新規発行

情報基盤センターから受け取った EAB 情報を利用して， ACMEクライアントツール（certbot）によるサーバ証明書管理手順（利用管理者向け） の 4-1. サーバ証明書の新規発行手続き の手順に沿って ACME クライアントを設定してください． 証明書が発行されたら，ブラウザ等でサーバ証明書の有効期限等を確認してください．

手動発行・更新手順

ヒント

証明書の 更新時も新規発行と同じ手続き をお願いします． 新規発行時と同じFQDN等の正当性確認を行います．

  1. 申請 (Google フォーム)

証明書利用責任者の方ご自身のUECクラウドアカウント で UPKIサーバ証明書申請フォーム から申請してください． 利用責任者以外の方からの申請は受理できません．

申請に必要な役割（利用責任者・管理者）については， 申請に必要な役割 をご確認ください．

注意

申請は， 利用責任者ご自身のUECクラウドアカウント で行ってください． 利用責任者以外の方からの申請は受理できません．

申請に基づき, 情報基盤センターが FQDN (サーバ名) のドメイン管理者に FQDN の存在確認を行います． 存在確認後，申請内容を審査し, 結果を利用責任者と管理者の UEC アカウント宛にメールにてご連絡します．

  1. CSR (Certificate Signing Request, 証明書署名要求) の作成

注意

証明書 更新時 も，必ず 新しい鍵ペア(私有鍵，公開鍵) を作成 してください． 既存の鍵ペアを 使いまわすことはできません．

管理者は 事前準備〜証明書の申請から取得まで に沿って 鍵長が2048bitsの鍵ペア を作成してください．

作成した鍵ペアを使って CSR を作成してください． CSR 作成時に必要な 主体者 DN には以下を入力してください．

注意

主体者DNの 大文字・小文字は区別されます． 特に 更新時 には 更新対象の証明書と大文字・小文字を含めて完全に一致する主体者DN を入力してください．

属性名

入力する内容

C

JP

ST

tokyo

L

chofu

O

The University of Electro-Communications

CN

サーバのFQDN (ホスト名)

Email

空欄 (次の手順で指定します)

ヒント

  • OpenSSL で空欄を入力する場合は「.」（半角ピリオド）を入力します

  1. TSV の作成

TSV作成ツール操作マニュアル の 2.2.1.サーバ証明書 の手順に沿って， 先程作成した CSR を元に TSV ファイルを作成します．

  1. TSVツール にアクセスし 作成開始 を押して下さい．

  2. TSVファイルの種別 を次の場合に応じて選択し，この内容で作成開始 を押してください．

ヒント

サーバ証明書の更新時に入力する 失効対象証明書シリアル番号 は， 10進数値 もしくは, 頭に「0x」を付加した16進数値 で入力してください． 詳しくは UPKI-FAQ サーバ証明書のシリアル番号を確認したい をご覧ください．

  1. CSR ファイルを読み込んでください． さらに，不足している情報を下記のように入力して，TSV を作成してください．

    • 必須の入力項目は, 利用管理者 Email, Webサーバソフトウェア名等, 利用管理者所属 です．

    • 利用管理者氏名 は必須の項目ではありませんが，申請システムからのメールの宛名としてメール本文に埋め込まれますのでできるだけご入力ください．

    • 利用管理者 Email は半角のみでご入力ください．

    • 利用管理者氏名, 利用管理者所属, Webサーバソフトウェア名等 は半角全角どちらでも入力可能です．

    • 利用管理者 Email に記入したメールアドレスに発行通知等のメールが送信されてきます． 必ず受信可能なメールアドレスを記入してください．

    • Webサーバソフトウェア名等 にはサーバ証明書を利用する HTTP サーバ等のソフトウェア名を入力してください．

    • (オプション) 同一計算機・同一 OS でホスト名が異なる複数のサーバで一つの証明書を利用する 場合, dNSName の項目を以下の例のように指定してください． dNSName=aaa.example.ac.jp,dNSName=bbb.example.ac.jp

  1. TSVファイルの送付

前の手順で生成した TSV ファイルを，情報基盤センターにメールでお送りください． 送付先は, 手順 1. のメールでお知らせします．

提出された TSV ファイルに基づいて，情報基盤センターの担当者が証明書の発行組織（認証局）に 発行申請を行います．TSV ファイルに誤りがあった場合は，適宜，修正を依頼します．

  1. サーバ証明書と中間CA証明書のダウンロード

認証局にて申請が受理され，処理が完了すると， 手順 3. で TSV ファイルに入力した 利用管理者 Email に 通知が送られます．通知本文に， サーバ証明書 と 中間CA証明書 のダウンロード リンクが埋め込まれていますので保存してください．

  1. サーバ証明書のインストール（利用者）

サーバー証明書インストールマニュアル に沿って サーバ証明書と中間CA証明書を各自のサーバにインストールしてご利用ください． インストール後，ブラウザ等でサーバ証明書の有効期限等を確認してください．

7 (更新時のみ) 古い証明書の失効

サーバ証明書のインストールが完了したら，作業が完了したサーバのFQDNを 情報基盤センターにご連絡ください． TSVファイルの作成は不要 です．