手順11.40 SSL 暗号化キーおよび証明書の生成

1. パブリックキーおよびプライベートキーとともにキーストアを生成します。

   以下のコマンドを実行し、jboss というエイリアスを持つ server.keystore という名前のキーストアをカレントディレクトリーに生成します。

   keytool -genkeypair -alias jboss -keyalg RSA -keystore server.keystore -storepass mykeystorepass --dname "CN=jsmith,OU=Engineering,O=mycompany.com,L=Raleigh,S=NC,C=US"

   この keytool コマンドで使用されるパラメーターの説明は次のとおりです。

   パラメーター	説明
   -genkeypair	keytool コマンドは公開鍵と秘密鍵が含まれるキーペアを生成します。
   -alias	キーストアのエイリアス。この値は任意ですが、エイリアス jboss はデフォルトで JBoss Web サーバーによって使用されます。
   -keyalg	キーペア生成のアルゴリズム。この例では RSA になります。
   -keystore	キーストアファイルの名前と場所。デフォルトの場所はカレントディレクトリーです。選択する名前は任意です。この例では、ファイルの名前は server.keystore になります。
   -storepass	このパスワードは、キーの読み取りを可能にするためキーストアに対して認証を行うために使用されます。パスワードは 6 文字以上である必要があり、キーストアがアクセスされた時に提供しなければなりません。この例では、mykeystorepass が使用されています。このパラメーターを省略すると、コマンドの実行時に入力するよう要求されます。
   -keypass	実際の鍵のパスワードです。 注記 実装の制限により、ストアと同じパスワードを使用する必要があります。
   --dname	キーの識別名を記述する引用符で囲まれた文字列 (例: "CN=jsmith,OU=Engineering,O=mycompany.com,L=Raleigh,C=US")。以下のコンポーネントが連結された文字列になります。 CN - 共通名またはホスト名。ホスト名が jsmith.mycompany.com の場合、CN は jsmith になります。 OU - 組織単位 (例: Engineering)。 O - 組織名 (例: mycompany.com)。 L - 地域 (例: Raleigh または London)。 S - 州 (例: NC)。このパラメーターの使用は任意です。 C - 2 文字の国コード (例: US または UK)。

   上記のコマンドを実行すると、次の情報が要求されます。

   • コマンドラインで -storepass パラメーターを使用しなかった場合、キーストアのパスワードを入力するよう要求されます。次に要求されたら新しいパスワードを再入力します。
   • コマンドラインで -keypass パラメーターを使用しなかった場合、キーのパスワードを入力するよう要求されます。Enter を押し、キーストアのパスワードと同じ値を設定します。
   コマンドが終了すると、ファイル server.keystore にエイリアス jboss を持つ単一のキーが含まれるようになります。

2. キーを検証します。

   以下のコマンドを使用して、キーが正常に動作することを検証します。

   keytool -list -keystore server.keystore

   キーストアのパスワードを入力するよう求められます。キーストアの内容 (この場合は jboss という名前の単一キー) が表示されます。jboss キーの種類が keyEntry であることに注意してください。これは、キーストアにこのキーのパブリックおよびプライベートエントリが含まれることを示します。

3. 証明書署名要求を生成します。

   次のコマンドを実行し、手順 1 で作成したキーストアより公開鍵を使用して証明書署名要求を生成します。

   keytool -certreq -keyalg RSA -alias jboss -keystore server.keystore -file certreq.csr

   キーストアに対する認証を行うために、パスワードを入力するよう求められます。keytool コマンドにより、現在の作業ディレクトリーに certreq.csr という名前の証明書署名要求が新規作成されます。

4. 新しく生成された証明書署名要求をテストします。

   以下のコマンドを使用して証明書の内容をテストします。

   openssl req -in certreq.csr -noout -text

   証明書の詳細が表示されます。

5. オプション: 証明書署名要求を認証局 (CA) に送信します。

   認証局 (CA) は、証明書を認証できます。この結果、証明書は、サードパーティークライアントが信用できると見なされます。CA により、署名済み証明書が提供されます。また、オプションで 1 つまたは複数の中間証明書が提供されます。

6. オプション: キーストアからの自己署名証明書のエクスポート

   テストまたは内部使用のためにのみ証明書が必要な場合は、自己署名証明書を使用できます。次のように、手順 1 で作成したキーストアからエクスポートします。

   keytool -export -alias jboss -keystore server.keystore -file server.crt

   キーストアに対して認証するためパスワードの入力が求められます。server.crt という名前の自己署名証明書が現在の作業ディレクトリーに作成されます。

7. 署名済み証明書を中間証明書とともにインポートします。

   CA で指示された順序で各証明書をインポートします。各証明書をインポートするには、intermediate.ca または server.crt を実際のファイル名に置き換えます。証明書が別のファイルとして提供されない場合は、各証明書に対して個別のファイルを作成し、その内容をファイルに貼り付けます。

   注記

   署名済み証明書および証明書キーは機密情報です。サーバー間での転送方法に注意してください。

   keytool -import -keystore server.keystore -alias intermediateCA -file intermediate.ca

   keytool -importcert -alias jboss -keystore server.keystore -file server.crt

8. 証明書が正常にインポートされたことをテストします。

   以下のコマンドを実行し、要求された場合にキーストアパスワードを入力します。キーストアの内容が表示され、証明書がリストの一部になります。

   keytool -list -keystore server.keystore