第20章 カスタム SSL/TLS 証明書の設定

アンダークラウドがパブリックエンドポイントの通信に SSL/TLS を使用するように手動で設定できます。SSL/TLS を使用してアンダークラウドエンドポイントを手動で設定すると、概念実証としてセキュアなエンドポイントが作成されます。Red Hat は、認証局ソリューションを使用することを推奨します。

認証局 (CA) ソリューションを使用すると、証明書の更新、証明書失効リスト (CRL)、業界で受け入れられている暗号化など、運用に対応したソリューションが得られます。Red Hat Identity Manager (IdM) を CA として使用する方法は、Ansible を使用した TLS-e の実装 を参照してください。

独自の認証局で発行した SSL 証明書を使用する場合は、以下の設定手順を実施する必要があります。

20.1. 署名ホストの初期化

署名ホストとは、認証局を使用して新規証明書を生成し署名するホストです。選択した署名ホスト上で SSL 証明書を作成したことがない場合には、ホストを初期化して新規証明書に署名できるようにする必要がある可能性があります。

手順

  1. すべての署名済み証明書の記録は、/etc/pki/CA/index.txt ファイルに含まれます。ファイルシステムパスと index.txt ファイルが存在することを確認します。 

    $ sudo mkdir -p /etc/pki/CA
$ sudo touch /etc/pki/CA/index.txt

  2. /etc/pki/CA/serial ファイルは、次に署名する証明書に使用する次のシリアル番号を特定します。このファイルが存在しているかどうかを確認してください。ファイルが存在しない場合には、新規ファイルを作成して新しい開始値を指定します。 

    $ echo '1000' | sudo tee /etc/pki/CA/serial