Apache 鍵ペアおよびCSR生成(新規申込手順|SSLサーバ証明書)【セコム】

鍵ペアと CSR を生成する前に、Apache および OpenSSL を最新版に更新しておくことをおすすめします。鍵ペアと CSR の生成には、 opensslというコマンドを使用して行います。
これは通常/SSLTOP/binディレクトリーにインストールされます (ここで/SSLTOPは、 Apacheの導入時に指定したOpenSSLのディレクトリーです)。

鍵ペアと CSR を生成するには、次の手順に従い行なってください。
※この説明は、 Apache で OpenSSL を使用していることを前提に説明しています。

※DN情報入力時の注意点

・	各項目の入力はすべて半角の英数字64文字以内で入力してください。
・	ウェブ・サーバの識別名 (DN) に、以下の文字は使用できませんので、ご注意ください。 ! " # $ % & ( ) * / ; < > ? @ [ \ ] ^ _ ` { \| } ~
・	&が含まれる場合は、半角英語の　and　等に置き換えてください。
・	各項目において、スペースのみの入力は控えてください。スペースのみの入力項目がある場合、証明書が発行されません。

更新時は、必ず鍵ペアおよびCSRを新たに作成してください。

1. 鍵ペアの生成

1-1	鍵ペアを生成するため、お使いのハード・ディスクから、無作為データ元になるファイル (200KB 程度) を3つ選んでください。この手順では、 3つのファイルの名前を「`randfile1`」、「`randfile2`」、「`randfile3`」として表記します。
1-2	鍵ペアの作成を始めるため、次のコマンドを入力してください (お使いのブラウザによっては2行以上で表示、印字されるかもしれませんが、実際は1行です)。今回のコマンド例では、1024 ビットもしくは2048ビットの RSA 鍵ペアを生成し、「`server.key`」という名前のファイルに保存することを示しています。・1024ビットの場合 $ `openssl genrsa -des3 -rand randfile1:randfile2:randfile3 1024 >server.key` ・2048ビットの場合 $ `openssl genrsa -des3 -rand randfile1:randfile2:randfile3 2048 >server.key` 尚、有効期間が２４ヶ月の証明書を申請される場合には、2048ビットのRSA鍵ペアを生成してください。
1-3	プロンプトが表示されたら、パス・フレーズを入力してください。確認のため、1つのパス・フレーズを2度入力することになります。重要：このパス・フレーズは、サーバの再起動時および証明書のインストールに必要となる重要な情報です。忘れることがないよう、また、情報が他人に漏れることがないよう、何らかの方法で管理してください。
1-4	作成した鍵ペアのファイルを保存します。バックアップはフロッピー・ディスク等に保存し、安全な場所に保存してください。鍵ペアの中の秘密鍵を利用すれば、お使いのウェブ・サーバがSSLで保護して送受信したデータを、解読することができるからです。

2. CSRの生成

鍵ペアが作成されたことを確認後、 CSRを生成します。

2-1

次のコマンドを入力し、 CSRの生成を開始してください (お使いのブラウザによっては、 2行以上で表示、印字される可能性もありますが、実際は1行です)。

$ openssl req -new -key server.key -out server.csr -sha1

と入力し、 CSRの生成を開始します。ここで「server.key」は、手順1-2.で作成した鍵ペアのファイルの名前です。「server.csr」は、 CSRが保存されるファイルの名前です。

※現在利用中の鍵ファイルに上書きしないようご注意ください。

2-2

プロンプトが表示されたら、パス・フレーズを入力してください。

2-3

プロンプトが表示されたら、証明書内に組み込むウェブ・サーバ識別名 (DN)情報を入力してください。
更新用CSR生成時に指定するディスティングィッシュネーム（DN）情報は、前回申請した内容（現在利用中の証明書DN）と同一にしてください。会社名変更等により、ディスティングィッシュネーム情報が変更になる場合は、新規のお申込となります。

・Country Name：
ISOによる2文字の国名の符号になります。
日本国となりますので「JP」と入力してください。

・State or Province Name：
都道府県名になります。
東京都の場合、「Tokyo」のように入力してください。

・Locality Name：
通常、組織の本店（代表）が置かれている市区町村名になります。
千代田区の場合、「Chiyoda-ku」のように入力してください。

・Organization Name：
組織名になります。この情報は、 Web上で公開されている申込組織の「有価証券報告書」に記載されている組織名英語表記と同一である必要がございます。「有価証券報告書」が公開されていない場合、ご不明な場合はこちらをご覧ください。もし、お申込者とドメイン名所有者が異なる場合は、お申し込みいただくお客様の組織名となります。この項目を省略することは、できません。

・Organizational Unit Name：
部署名になります。
証明書を使用する部署又はグループの名前になります (この項目は省略可能です)。

・Common Name：
サーバのURLに表示されるウェブ・サーバの名前になります。
例えば、 SSLを行うウェブ・サイトのURLが www.secom.co.jp の場合には

コモン・ネーム	www.secom.co.jp
ドメイン名	secom.co.jp

となります。
この名称は、証明書を申し込んだウェブ・サーバのFQDN (Fully Qualified Domain Name)と同一でなければなりません。ウェブ・サーバ名が証明書のコモン・ネームと一致しない場合、ブラウザがサイトへの安全な接続を拒否する場合があります。
コモン・ネームに、プロトコル特定子(http://)、ポート番号、パス名は使用しないでください。また、 * や ? のワイルドカード文字や、 IPアドレスは使用しないでください。
注意：「A challenge password」 (challengePassword) 「An optional company name」 (unstructuredName) は指定しないでください。

2-4

要求された情報の入力が完了するとCSRが生成され、手順 2-1.で指定した名前のファイル (今回の例では、「server.csr」) に保存されます。ファイルの内容には、次の例のような部分があります。この部分がCSRです。

なお、このファイルもバックアップを取って、別途保管するようおすすめします。

2-5

次のコマンドを入力し、 CSRの内容をご確認ください (お使いのブラウザによっては、 2行以上で表示、印字されるかもしれませんが、実際は1行です)。

$ openssl req -noout -text -in server.csr

ここで「server.csr」は、 CSRを保存したファイルの名前です。

2-6

ここで生成したCSRは、「6 お申し込み」で申込み画面に貼り付けて申請していただきます。

※重要
作成したCSRおよび鍵ペアのファイルは、必ずバックアップを取っていただき安全な場所に保管してください。また、鍵ペアのファイル生成時に指定したパス・フレーズの管理も、確実に行ってください。鍵ペアのファイルの紛失、パス・フレーズ忘れ等が発生した場合、証明書のインストールが行えなくなります。この場合は、新たに証明書をご購入いただくことになりますので、ご注意ください。

[close]