証明書の操作方法

説明

この項では、 openssl コマンドを使用して証明書のチェーン(CA、中間、およびサーバ)を検証し、証明書を分離または結合する方法について説明します。

証明書は次のように持参できます。

• シナリオ 1: CA、中間証明書、サーバー証明書、秘密キーを含む 3 つの crt/pem ファイル。

• シナリオ 2: CA 証明書とサーバ証明書、および秘密キーを含む 2 つの crt/pem ファイル。

• シナリオ 3: すべての CA/中間証明書とサーバー証明書、および秘密キーを含む 1 つの pfx ファイル。

次の表に、使用されるファイル名を示します。

ファイル名	説明
ca.crt	CA 証明書。
intermediate.crt	中間証明書。
ca-bundle.crt	CA 証明書と中間証明書を含む証明書。
server.crt	サーバー証明書。
server.key	server.crtの生成に使用される秘密キー。
server.pfx	CA 証明書、中間証明書、サーバー証明書、およびサーバー秘密キーを含む pfx 証明書ファイル。

シナリオ 1 とシナリオ 2

3 つの異なる証明書ファイル (CA、中間、サーバー) を使用する場合は、検証のために次の手順を実行します。

1. CA と中間証明書を結合します (シナリオ 1 にのみ適用可能)。

   cp ca.crt ca-bundle.crt
   cat intermediate.crt >> ca-bundle.crt

2. サーバー証明書に (具体的には subject alternative names フィールドと [ validity フィールド) が含まれていることを確認します。

   openssl x509 -in server.crt -text -noout

3. サーバ証明書が CA サーバによって署名されているかどうかを確認します。

   openssl verify -CAfile ca-bundle.crt server.crt

   出力:

   server.crt: OK

4. md5 ハッシュを比較して、サーバー証明書がサーバー秘密キーによって生成されたかどうかを確認します。次のコマンドの出力が一致する場合、サーバー証明書が秘密キーを使用して生成されたことを検証します。

   • openssl x509 -noout -modulus -in server.crt | openssl md5

     サーバー証明書の出力:

     (stdin)= c9b0c5c3fe11b0b09947415236c4a441

   • openssl rsa -noout -modulus -in server.key | openssl md5

     サーバー秘密キーの出力:

     (stdin)= c9b0c5c3fe11b0b09947415236c4a441

5. サーバー証明書と秘密キーから pfx ファイルを生成します。次のコマンドを実行すると、パスコードを 2 回入力するように求められます。pfx ファイルの復号化には、常にパスコードが必要です。

   openssl pkcs12 -inkey server.key -in server.crt -export -out server.pfx

   出力:

   Enter Export Password:
   Verifying - Enter Export Password:

シナリオ 3

CA、中間、サーバー、および秘密キーを含む pfx 形式の証明書を 1 つ持ってくる場合、その pfx ファイルを ID トークン署名証明書として使用できますが、pfx ファイルを複数の証明書ファイルに分割する必要があります。次の手順では、それに応じて pfx ファイルを分割する方法について説明します。

1. CA 証明書 (pfx ファイルで指定されている場合は中間証明書を含む) をエクスポートします。

   openssl pkcs12 -in server.pfx -cacerts -nokeys -chain | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > ca.crt

2. サーバー証明書をエクスポートします。

   openssl pkcs12 -in server.pfx -clcerts -nokeys | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > server.crt

3. 秘密キーをエクスポートします。

   openssl pkcs12 -in server.pfx -nocerts -nodes | sed -ne '/-BEGIN PRIVATE KEY-/,/-END PRIVATE KEY-/p' > server.key