第18章 Web サーバー

1. モジュールは変更されている可能性があるため、すべてのモジュール名が正しいことを確認してください。名前が変更された各モジュールの LoadModule ディレクティブを調整します。
2. サードパーティーのモジュールは、読み込みを試みる前にすべて再コンパイルをします。これは一般的に認証と権限付与のモジュールに該当します。
3. mod_userdir モジュールを使用する場合は、ディレクトリー名（通常は public_html）を示す UserDir ディレクティブが指定されていることを確認してください。
4. Apache HTTP Secure Server を使用する場合は、Secure Sockets Layer (SSL) プロトコルの有効化に関する重要な情報について 「mod_ssl モジュールの有効化」 を参照してください。

手順18.4 mod_nss の設定

1. root で mod_nss をインストールします。

   ~]# yum install mod_nss

   これにより、/etc/httpd/conf.d/nss.conf に mod_nss 設定ファイルが作成されます。/etc/httpd/conf.d/ ディレクトリーは、デフォルトでメインの Apache HTTP Server 設定ファイルに含まれます。モジュールを読み込むには、「サービスの再起動」 の説明に従って httpd サービスを再起動します。
2. root で /etc/httpd/conf.d/nss.conf ファイルを開き、Listen ディレクティブの すべて のインスタンスを検索します。
   Listen 8443 行を以下のように編集します。

   Listen 443

   ポート 443 は、HTTPS のデフォルトポートです。
3. デフォルトの VirtualHost _default_:8443 行を以下のように編集します。

   VirtualHost _default_:443

   デフォルト以外の他のすべての仮想ホストセクション (存在する場合) を編集します。ファイルを保存してから閉じます。
4. Mozilla NSS は、証明書を /etc/httpd/conf.d/nss.conf ファイルの NSSCertificateDatabase ディレクティブで示唆される サーバー証明書データベース に保存します。デフォルトでは、パスはインストール時に作成された NSS データベースである /etc/httpd/alias に設定されます。
   デフォルトの NSS データベースを表示するには、以下のコマンドを実行します。

   ~]# certutil -L -d /etc/httpd/alias
   
   Certificate Nickname                                         Trust Attributes
                                                                SSL,S/MIME,JAR/XPI
   
   cacert                                                       CTu,Cu,Cu
   Server-Cert                                                  u,u,u
   alpha                                                        u,pu,u

   上記のコマンド出力では、Server-Cert がデフォルトの NSSNickname です。-L オプションは、証明書データベースにすべての証明書を一覧表示したり、名前付き証明書に関する情報を表示します。-d オプションは、証明書およびキーデータベースファイルを含むデータベースディレクトリーを指定します。その他のコマンドラインオプションは、certutil(1) の man ページを参照してください。
5. 別のデータベースを使用するように mod_nss を設定するには、/etc/httpd/conf.d/nss.conf ファイルの NSSCertificateDatabase 行を編集します。デフォルトファイルの VirtualHost セクション内には以下の行が含まれます。

   #   Server Certificate Database:
   #   The NSS security database directory that holds the certificates and
   #   keys. The database consists of 3 files: cert8.db, key3.db and secmod.db.
   #   Provide the directory that these files exist.
   NSSCertificateDatabase /etc/httpd/alias

   上記のコマンド出力では、alias がデフォルトの NSS データベースディレクトリー /etc/httpd/alias/ です。
6. デフォルトの NSS 証明書データベースにパスワードを適用するには、root で以下のコマンドを使用します。

   ~]# certutil -W -d /etc/httpd/alias
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:
   Password changed successfully.

7. HTTPS サーバーをデプロイする前に、認証局 (CA) により署名された証明書を使用して新しい証明書データベースを作成します。

   例18.81 Mozilla NSS データベースへの証明書の追加

   certutil コマンドは、CA 証明書を NSS データベースファイルに追加するために使用されます。

   certutil -d /etc/httpd/nss-db-directory/ -A -n "CA_certificate" -t CT,, -a -i certificate.pem

   上記のコマンドは、certificate.pem という名前の PEM 形式のファイルに保存されている CA 証明書を追加します。-d オプションは、証明書およびキーデータベースファイルを含む NSS データベースディレクトリーを指定します。-n オプションは、証明書の名前( -t CT,, )を設定します。これは、証明書が TLS クライアントおよびサーバーで使用されるように信頼されることを意味します。-A オプションは、既存の証明書を証明書データベースに追加します。データベースが存在しない場合は、作成されます。-a オプションを使用すると、入力または出力に ASCII 形式を使用でき、-i オプションは certificate.pem 入力ファイルをコマンドに渡します。

   その他のコマンドラインオプションは、certutil(1) の man ページを参照してください。
8. 秘密鍵を保護するために、NSS データベースはパスワードで保護する必要があります。

   例18.82 Setting_a_Password_for_a_Mozilla_NSS_database

   NSS データベースのパスワードを設定するには、以下のように certutil ツールを使用できます。

   certutil -W -d /etc/httpd/nss-db-directory/

   たとえば、デフォルトのデータベースの場合は、root で以下のコマンドを実行します。

   ~]# certutil -W -d /etc/httpd/alias
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password: 
   Re-enter password: 
   Password changed successfully.

9. 以下のように NSSPassPhraseDialog ディレクティブで行を変更して、NSS 内部ソフトウェアトークンを使用するように mod_nss を設定します。

   ~]# vi /etc/httpd/conf.d/nss.conf
   NSSPassPhraseDialog file:/etc/httpd/password.conf

   これにより、システムの起動時にパスワードを手動で入力する必要がなくなります。ソフトウェアトークンは NSS データベースに存在しますが、証明書を含む物理トークンを使用することもできます。
10. NSS データベースに含まれる SSL サーバー証明書が RSA 証明書である場合は、NSSNickname パラメーターのコメントを解除し、上記の手順 4 で示されたニックネームに一致するようにします。

    ~]# vi /etc/httpd/conf.d/nss.conf
    NSSNickname Server-Cert

    NSS データベースに含まれる SSL サーバー証明書が ECC 証明書である場合は、NSSECCNickname パラメーターのコメントを解除し、上記の手順 4 で示されたニックネームに一致するようにします。

    ~]# vi /etc/httpd/conf.d/nss.conf
    NSSECCNickname Server-Cert

    NSSCertificateDatabase パラメーターがコメント解除され、上記の手順 4 で示された、または手順 5 で設定された NSS データベースディレクトリーを参照するようにします。

    ~]# vi /etc/httpd/conf.d/nss.conf
    NSSCertificateDatabase /etc/httpd/alias

    /etc/httpd/alias を、使用する証明書データベースへのパスに置き換えます。
11. root で /etc/httpd/password.conf ファイルを作成します。

    ~]# vi /etc/httpd/password.conf

    internal:password

    の形式の行を追加します。上記の手順 6 で NSS セキュリティーデータベースに適用したパスワードでパスワードを置き換えます。
12. 適切な所有権とパーミッションを /etc/httpd/password.conf ファイルに適用します。

    ~]# chgrp apache /etc/httpd/password.conf
    ~]# chmod 640 /etc/httpd/password.conf
    ~]# ls -l /etc/httpd/password.conf
    -rw-r-----. 1 root apache 10 Dec  4 17:13 /etc/httpd/password.conf

13. NSS のソフトウェアトークンを使用するように mod_nss を設定するには、/etc/httpd/password.conf で /etc/httpd/conf.d/nss.conf を以下のように編集します。

    ~]# vi /etc/httpd/conf.d/nss.conf

14. 変更を反映するために、「サービスの再起動」 の説明通りに Apache サーバーを再起動します。

1. 鍵と証明書を保存する場所を確認します。

   図18.1 genkey ユーティリティーの実行

   

   
   [D]
   Tab キーを使用して Next (次へ) ボタンを選択してから、Enter キーを押すと次の画面を進みます。
2. up と down の矢印キーを使用して、適切な鍵のサイズを選択します。鍵が大きくなればセキュリティーは向上しますが、サーバーの応答時間も長くなることに注意してください。NIST では、2048 bits の使用が推奨されています。『NIST Special Publication 800-131A』 を参照してください。

   図18.2 鍵のサイズ選択

   

   
   [D]
   終了したら、タブ キーを使用して 次へ ボタンを選択し、Enter キーを押すと、ランダムなビットの生成プロセスが開始します。選択した鍵のサイズによっては、時間がかかることもあります。
3. 証明書要求を認証局に送信するかどうかを決定します。

   図18.3 証明書要求の生成

   

   
   [D]
   タブ キーを使用して Yes (はい) を選択し、証明書要求を組み立てるか、または No (いいえ) を選択して、自己署名の証明書を生成します。その後、Enter キーを押して、選択を確認します。
4. Spacebar (スペースバー) キーを使用すると、秘密鍵の暗号化を有効にする ([*]) か、無効にする ([ ]) 選択ができます。

   図18.4 秘密鍵の暗号化

   

   
   [D]
   Tab キーを使用して Next (次へ) ボタンを選択してから、Enter キーを押すと次の画面を進みます。
5. 秘密鍵の暗号化を有効にしている場合は、適切なパスフレーズを入力します。セキュリティーの理由により入力時には文字が表示されませんが、最低でも 5 文字の長さが必要です。

   図18.5 パスフレーズの入力

   

   
   [D]
   Tab キーを使用して Next (次へ) ボタンを選択してから、Enter キーを押すと次の画面を進みます。
   パスフレーズを忘れないようにしてください

   サーバーを起動するには正しいパスフレーズの入力が必要です。それを紛失したり忘れたりした場合は、新しい鍵と証明書を生成する必要があります。
6. 証明書詳細のカスタマイズ

   図18.6 証明書情報の指定

   

   
   [D]
   タブ キーを使用して Next ボタンを選択し、Enter を押すと鍵の生成が完了します。
7. 証明書要求の生成を有効にしていた場合は、それを認証局に送信するように求められます。

   図18.7 証明書要求を送信する方法の指示

   

   
   [D]
   Enter を押してシェルプロンプトに戻ります。