鍵ペア/CSRの生成OpenSSL (Apacheや、nginxなど) 新規/更新用
次の手順に従い、鍵ペアと CSR を生成してください。
このページでは、Unix環境でOpenSSLを使用していることを前提に説明しています。
Apacheやnginxなど、各種のSSL/TLS対応サーバーの多くは、OpenSSLで鍵ペアとCSRを生成します。鍵ペアとCSRを生成する前に、サーバーとOpenSSLを最新版に更新しておくことをおすすめします。
≪0系列をご利用の場合≫
OpenSSLは、1以降の系列だけの対応です。0系列をご使用のお客様は、他のウェブ・サーバーへの移行をご検討ください。
OpenSSLのバージョンを確認するためのコマンド:
$ openssl version
≪Windows版をご利用の場合≫
実際の表記や用語が異なりますので、 読み替えて行ってください
環境 | Unix | DOS(Windows) |
---|---|---|
変数置換 | ${変数名} | %変数名% |
パス名 | /ディレクトリー名/ファイル名 | ドライブ名:\ディレクトリー名\ファイル名 |
プロンプト | #や$ | ドライブ名> |
コマンド・インタープリタ | シェル | コマンド プロンプト |
更新時も、必ず新たに鍵ペアおよびCSRを作成してください。
1.鍵ペアの生成
※1.1系列以降のOpenSSLやWindows環境でご利用の場合は、 鍵ペアの生成 (1-2.) のみ実行してください。
現在ご利用中の鍵ペアがある場合は、上書きしないようご注意ください。
1-1
ファイル生成マスクの値の記録および変更
ファイル生成マスクの値の記録
次のコマンドを実行し、 出力 (ファイル生成マスクの値) を記録します。
コマンド例:
$ umask
※正常に終了すれば、「22」「007」など 0〜7までの数字が1〜4桁 表示されます。
ここで出力された(記録した)数字は、手順 1-3.で使用します。
ファイル生成マスクの値の一時変更
出力された数字が 「77」「077」「0077」の3つ以外の場合
鍵情報の漏洩を防ぐため、 次のコマンドを実行してください (出力はありません)。
コマンド例:
$ umask 77
1-2
鍵ペアの生成
鍵ペアの生成コマンドの入力
以下の例では、 2048ビットの RSA 鍵ペアを生成し、「servername.key」 (ファイル名は任意) というファイル名で保存することを示しています。
どの系列のOpenSSLでも実行できるコマンド例:
$ openssl genrsa -aes128 -out servername.key 2048
3系列以降で推奨されるOpenSSLでのコマンド例:
$ openssl genpkey -algorithm rsa -aes128 -pkeyopt rsa_keygen_bits:2048 -out servername.key
「-aes128」:
パス・フレーズで保護するアルゴリズムを示すオプション
Windows環境や古いnginxなど、パス・フレーズによる保護をサポートしていないプラットホームやサーバーの場合、「-aes128」は省略してください。
パス・フレーズの入力
プロンプトが表示されましたら、パス・フレーズを入力してください(入力したパス・フレーズは表示されません)。
確認のため再度プロンプトが表示されますので、同じパス・フレーズを再入力してください。
重要:
このパス・フレーズは、 サーバーの再起動時および証明書のインストールに必要となる重要な情報です。
忘れることがないよう、また情報が他人に漏れることがないようご注意ください。
1-3
ファイル生成マスクの値の復旧
1-1.でumask 77コマンドを実行した場合のみ対応いただきます。
umask 77コマンドを実行した場合は、ファイル生成マスクの値を復旧するため、次のコマンドを実行してください (出力はありません)。
コマンド例:
$ umask 《ファイル生成マスク値》
「《ファイル生成マスク値》」:1-1.で記録した数字
2.CSRの生成
鍵ペアが作成されたことを確認後、 CSRを生成します。
2-1
CSRの生成
CSRの生成コマンドの入力
以下の例では、SHA-256アルゴリズムでCSRを作成し、「server.csr」 (ファイル名は任意) というファイル名で保存することを示しています。
コマンド例:
$ openssl req -new -key servername.key -out server.csr -sha256
「servername.key」:
“1.鍵ペアの作成“で作成した、鍵ペアのファイル名
「-sha256」:
アルゴリズムを示すオプション。
パス・フレーズの入力
プロンプトが表示されましたら、パス・フレーズを入力してください。
サーバー識別名 (DN) 情報の入力
証明書内に組み込むサーバー識別名 (DN) 情報を入力します。
入力には以下の点にご注意ください。
- ・64文字以内の半角文字で入力してください
- ・識別名に使用できるのは、算用数字、アルファベット、空白、アポストロフィー (')、コンマ (,)、ハイフン (-)、ピリオド (.)、コロン (:)、等号 (=) です
- ・「&」が含まれる場合は、半角英字の and 等に置き換えてください
- ・スペースのみの入力は控えてください。 スペースのみの入力項目がある場合、 証明書が発行されません
- ・CSRは、OUやemailAddressを含めないよう生成ください
- ・OU や emailAddress を含んだCSRを送付いただいても、証明書には OU も emailAddress も含まれません
- ・都道府県名、市区町村名は "ヘボン式ローマ字" で登録してください。
■各項目について
・Country Name:国名
ISO 3166による国名などの2文字の符号です。日本国となりますので「JP」と入力してください。
・State or Province Name:都道府県名
都道府県名になります。
≪登録例≫
都道府県【ST】
(例)東京都: 「Tokyo to」「Tokyo-to」「Tokyo pref.」
北海道:「Hokkaido」「Hokkaido pref.」
大阪府:「Osaka fu」「Osaka-fu」「Osaka pref.」
※行政区分(都、府、県)を示す単語(to, fu, ken, prefecture)は省略可能です。
・Locality Name:市区町村名
通常、組織の本店(代表)が置かれている市区町村名になります。
※市区町村以降の住所(町名、字、丁目、番地、号など)は含めないでください。
≪登録例≫
市区町村名【L】
- 特別区(東京23区)の場合
(例)千代田区:「Chiyoda ku」「Chiyoda-ku」「Chiyoda city」 - 市の場合
(例)市川市:「Ichikawa shi」「Ichikawa-shi」「Ichikawa-city」 - 政令指定都市の場合
(例)横浜市西区:「Yokohama-shi」「Yokohama-shi Nishi-ku」 - 町村の場合
(例)中郡二宮町:「Naka-gun Ninomiya-machi」「Naka-county Ninomiya-town」
西多摩郡檜原村:「Nishitama-gun Hinohara-mura」「Nishitama-county Hinohara-village」
NG例
- 「Mitaka-shi. Shimorenjaku」
- 「Shibuya-ku, jingumae 1-5-1」
町名、字、丁目、番地、号など含めたものはNGとなります。
・Organization Name:組織名
お申込み者の組織名になります。
例) セコムトラストシステムズの場合 「SECOM Trust Systems CO.,LTD.」
※申請組織とドメイン所有者が異なる場合
ドメイン所有者の組織名登録ではなく、証明書発行先となる申請組織名の登録となりますので、ご注意ください。
・Organizational Unit Name:省略してください
この項目は発行に先立ち削除されます。
2022年9月から禁止ですので、省略してください。
・Common Name:サーバー名
コモン・ネームになります。
例) SSL/TLS通信を行うサイトが www.example.jp の場合「www.example.jp」
※注意点
コモン・ネームに以下を使用することはできません。
- ・プロトコル特定子 (http://)
- ・IPアドレスやポート番号
- ・パス名
- ・「*」 や 「?」 のワイルドカード文字
サーバー名は、 SSL/TLS通信を行うサイトのFQDN (Fully Qualified Domain Name) と同一でなければなりません。 証明書に登録するサーバー名と一致しない場合、 ブラウザがサイトへの安全な接続を拒否する場合があります。
例えば、コモン・ネームを「example.jp」 とし証明書を発行した場合、<https://www.example.jp/>でアクセスすると、コモン・ネーム (example.jp) とFQDN (www.example.jp) が一致しないため、ブラウザでは警告が表示されます。
次は指定しないでください。
- ・Organizational Unit Name (OU)
- ・Email Address (emailAddress)
- ・A challenge password (challengePassword)
- ・An optional company name (unstructuredName)
2-2
生成されたファイルの確認
要求された情報の入力が完了するとCSRが生成され、指定した名前のファイル (例:server.csr) に保存されます。
以下のコマンドでCSRの内容(DN情報)を確認し、内容に間違いないことをご確認ください。
コマンド例:
$ openssl req -noout -text -in server.csr
「server.csr」:CSRを保存したファイル名
CSRおよび鍵ペアの生成は、以上で完了です。
CSRサンプル

ここで生成したCSRを、お申込み画面に貼り付けて申請してください。
※重要
作成したCSRおよび鍵ペアのファイルは、 必ずバックアップをとって、 安全な場所に保管してください。 また、鍵ペアのファイル生成時に指定したパス・フレーズも確実に管理してください。 鍵ペアのファイルの紛失、 パス・フレーズ忘れ等が発生した場合、 証明書のインストールが行えなくなりますので、 ご注意ください。