1. モジュールは変更されている可能性があるため、すべてのモジュール名が正しいことを確認してください。名前変更されたモジュールそれぞれについて LoadModule ディレクティブを調節します。
2. サードパーティーのモジュールは読み込みを試行する前にすべて再コンパイルをします。これは一般的に認証と権限付与のモジュールに該当します。
3. mod_userdir モジュールを使用する場合は、 ディレクトリー名 (通常 public_html) を示す UserDir ディレクティブが備わっていることを確認します。
4. Apache HTTP Secure Server を使用する場合は、Secure Sockets Layer (SSL) プロトコルの有効化に関する重要な情報について 「mod_ssl モジュールの有効化」 を参照してください。

手順14.4 mod_nss の設定

1. root で mod_nss をインストールします。

   ~]# yum install mod_nss

   これにより、/etc/httpd/conf.d/nss.conf に mod_nss 設定ファイルが作成されます。/etc/httpd/conf.d/ ディレクトリーは、デフォルトでメインの Apache HTTP Server 設定ファイルに含まれます。モジュールをロードするには、「サービスの再起動」 で説明されているように httpd サービスを再起動します。
2. root で /etc/httpd/conf.d/nss.conf ファイルを開き、Listen ディレクティブのすべてのインスタンスを検索します。
   Listen 8443 行を以下のように編集します。

   Listen 443

   ポート 443 は HTTPS のデフォルトポートです。
3. デフォルトの VirtualHost _default_:8443 行を以下のように編集します。

   VirtualHost _default_:443

   デフォルト以外の他のすべての仮想ホストセクション (存在する場合) を編集します。ファイルを保存し、閉じます。
4. Mozilla NSS では、証明書は/etc/httpd/conf.d/nss.conf ファイルの NSSCertificateDatabase ディレクティブで指定されたサーバー証明書データベースに保存されます。デフォルトでは、パスはインストール時に作成された NSS データベースである /etc/httpd/alias に設定されます。
   デフォルトの NSS データベースを表示するには、以下のコマンドを実行します。

   ~]# certutil -L -d /etc/httpd/alias
   
   Certificate Nickname                                         Trust Attributes
                                                                SSL,S/MIME,JAR/XPI
   
   cacert                                                       CTu,Cu,Cu
   Server-Cert                                                  u,u,u
   alpha                                                        u,pu,u

   上記のコマンド出力で、Server-Cert はデフォルトの NSSNickname です。-L オプションは、証明書データベース内のすべての証明書を一覧表示するか、指定された証明書に関する情報を表示します。-d オプションは、証明書およびキーデータベースファイルを含むデータベースディレクトリーを指定します。その他のコマンドラインオプションについては、certutil(1) man ページを参照してください。
5. 別のデータベースを使用するよう mod_nss を設定するには、/etc/httpd/conf.d/nss.conf ファイルの NSSCertificateDatabase 行を編集します。デフォルトファイルの VirtualHost セクション内には以下の行が含まれます。

   #   Server Certificate Database:
   #   The NSS security database directory that holds the certificates and
   #   keys. The database consists of 3 files: cert8.db, key3.db and secmod.db.
   #   Provide the directory that these files exist.
   NSSCertificateDatabase /etc/httpd/alias

   上記のコマンド出力で、alias はデフォルトの NSS データベースディレクトリーである /etc/httpd/alias/ です。
6. デフォルトの NSS 証明書データベースにパスワードを適用するには、root で以下のコマンドを使用します。

   ~]# certutil -W -d /etc/httpd/alias
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:
   Password changed successfully.

7. HTTPS サーバーをデプロイする前に、認証局 (CA) により署名された証明書を使用して新しい証明書データベースを作成します。

   例14.3 Mozilla NSS データベースへの証明書の追加

   certutil コマンドは、CA 証明書を NSS データベースファイルに追加するために使用されます。

   certutil -d /etc/httpd/nss-db-directory/ -A -n "CA_certificate" -t CT,, -a -i certificate.pem

   上記のコマンドは、certificate.pem という名前の PEM 形式のファイル に保存されている CA 証明書を追加します。-d オプションは証明書およびキーデータベースファイルを含む NSS データベースディレクトリーを指定し、-n オプションは証明書の名前を設定します。-t CT,, は、証明書が TLS クライアントおよびサーバーでの使用に信頼できることを意味します。-A オプションは既存の証明書を証明書データベースに追加します。データベースは、存在しない場合は作成されます。-a オプションは出入力での ASCII 形式の使用を可能にします。-i オプションは、certificate.pem 入力ファイルをコマンドに渡します。

   他のコマンドラインオプションについては、certutil(1) man ページを参照してください。
8. 秘密鍵を保護するために、NSS データベースはパスワードで保護する必要があります。

   例14.4 Mozilla NSS データベースのパスワード設定

   NSS データベースのパスワードを設定するには、以下のように certutil ツールを使用できます。

   certutil -W -d /etc/httpd/nss-db-directory/

   たとえば、デフォルトのデータベースの場合は、root で以下のコマンドを実行します。

   ~]# certutil -W -d /etc/httpd/alias
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password: 
   Re-enter password: 
   Password changed successfully.

9. 以下のように行を NSSPassPhraseDialog ディレクティブで変更して、NSS 内部ソフトウェアトークンを使用するよう mod_nss を設定します。

   ~]# vi /etc/httpd/conf.d/nss.conf
   NSSPassPhraseDialog file:/etc/httpd/password.conf

   これにより、システムの起動時にパスワードを手動で入力する必要がなくなります。ソフトウェアトークンは NSS データベースに存在しますが、証明書を含む物理トークンを使用することもできます。
10. NSS データベースに含まれる SSL サーバー証明書が RSA 証明書である場合は、NSSNickname パラメーターをコメント解除し、パラメーターが上記の手順 4 で示されたニックネームに一致するようにしてください。

    ~]# vi /etc/httpd/conf.d/nss.conf
    NSSNickname Server-Cert

    NSS データベースに含まれる SSL サーバー証明書が ECC 証明書である場合は、NSSECCNickname パラメーターがコメント解除され、上記の手順 4 で示されたニックネームに一致するようにします。

    ~]# vi /etc/httpd/conf.d/nss.conf
    NSSECCNickname Server-Cert

    NSSCertificateDatabase パラメーターがコメント解除され、上記の手順 4 で示された、または手順 5 で設定された NSS データベースディレクトリーを参照するようにします。

    ~]# vi /etc/httpd/conf.d/nss.conf
    NSSCertificateDatabase /etc/httpd/alias

    /etc/httpd/alias を、使用する証明書データベースへのパスに置き換えます。
11. root で /etc/httpd/password.conf ファイルを作成します。

    ~]# vi /etc/httpd/password.conf

    以下の形式の行を追加します。

    internal:password

    password を、上記の手順 6 で NSS セキュリティーデータベースに適用されたパスワードに置き換えます。
12. 適切な所有権とパーミッションを /etc/httpd/password.conf ファイルに適用します。

    ~]# chgrp apache /etc/httpd/password.conf
    ~]# chmod 640 /etc/httpd/password.conf
    ~]# ls -l /etc/httpd/password.conf
    -rw-r-----. 1 root apache 10 Dec  4 17:13 /etc/httpd/password.conf

13. NSS ソフトウェアトークンを使用するよう /etc/httpd/password.conf で mod_nss を設定するには、/etc/httpd/conf.d/nss.conf を以下のように編集します。

    ~]# vi /etc/httpd/conf.d/nss.conf

14. 変更を反映するために、「サービスの再起動」 で説明されているように Apache サーバーを再起動します。

1. 鍵と証明書を保存する場所を確認します。
   

   図14.1 genkey ユーティリティーの実行

   Tab キーを使用して Next (次へ) ボタンを選択してから、Enter キーを押すと次の画面を進みます。
2. up と down の矢印キーを使用して、適切な鍵のサイズを選択します。大きな鍵はセキュリティーを向上させますが、サーバーの応答時間も長くなることに注意してください。NIST では、2048 bits の使用を推奨しています。『NIST Special Publication 800-131A』 を参照してください。
   

   図14.2 鍵のサイズ選択

   終了したら、Tab キーを使用して Next (次へ) ボタンを選択して Enter キーを押すと、ランダムなビットの生成プロセスが開始します。選択した鍵のサイズによっては、これに時間がかかりることもあります。
3. 証明書要求を認証局に送信するかどうかを決定します。
   

   図14.3 証明書要求の生成

   Tab キーを使用して Yes (はい) を選択し、証明書要求を組み立てるか、または No (いいえ) を選択して、自己署名の証明書を生成します。その後に、Enter を押して選択を確定します。
4. Spacebar (スペースバー) キーを使用すると、秘密鍵の暗号化を有効にする ([*]) か、無効にする ([ ]) 選択ができます。
   

   図14.4 秘密鍵の暗号化

   Tab キーを使用して Next (次へ) ボタンを選択してから、Enter キーを押すと次の画面を進みます。
5. 秘密鍵の暗号化を有効にしている場合は、適切なパスフレーズを入力します。セキュリティーの理由により入力時には文字が表示されませんが、最低でも 5 文字の長さが必要です。
   

   図14.5 パスフレーズの入力

   Tab キーを使用して Next (次へ) ボタンを選択してから、Enter キーを押すと次の画面を進みます。

   重要

   サーバーを開始するには正しいパスフレーズの入力が必要です。それを紛失したり忘れたりした場合は、新しい鍵と証明書を生成しなければなりません。
6. 証明書詳細のカスタマイズ
   

   図14.6 証明書情報の指定

   Tab キーを使用して Next ボタンを選択します。それから Enter を押すと鍵の生成が完了します。
7. 以前に証明書要求の生成を有効にしていた場合は、それを認証局に送信するようにプロンプトされます。
   

   図14.7 証明書要求を送信する方法の指示

   Enter を押してシェルプロンプトに戻ります。