ターゲットサーバーへのSSL証明書の展開

一般に、認証局（CA）から取得したSSL証明書はリポジトリに保存され、その後、適切なターゲットシステムに手動で展開されます。PAM360は、リポジトリ内の証明書を正しいターゲットシステムに自動的に展開します。PAM360を使用して、要件に応じて各システムに個別に、またはまとめて証明書を展開できます。また、Key Manager Plusエージェントを使って、PAM360 Serverがあるドメイン外のDMZにあるサーバーで証明書を展開することもできます。

  1. Windowsサーバーへの証明書の展開
  2. MS証明書ストアへの証明書の展開
  3. Internet Information サービス(IIS)への証明書の展開
  4. IISサーバーへの証明書の展開とバインディング
  5. Linuxサーバーへの証明書の展開
  6. ブラウザへの証明書の展開
  7. ManageEngine MDMへの証明書の展開
  8. 証明書のAWS-ACMへの展開
  9. ロードバランサーへの証明書の展開
  10. Fortigate Firewallへの証明書の展開

PAM360を使って、選択したSSL証明書をターゲットサーバーに直接展開することができます。SSLサーバーをターゲットサーバーに展開するには、次の手順に従ってください：

  1. ［証明書］ >> ［証明書］に移動します。
  2. ターゲットサーバーの横にあるチェックボックスをクリックして、ターゲットサーバーに展開する証明書を選択します。
  3. 「展開」をクリックし、ターゲットサーバーのタイプを選択します。
  4. 開いた証明書の展開ウインドウで、サーバ名を選択し、必要な詳細事項を入力します。証明書は、指定されたパスの指定されたサーバーに展開されます。
    deploy_cert_1

1.Windowsサーバーへの証明書の展開


メモ：

  • Windowsシステム、MS証明書ストアおよびインターネットインフォメーションサービス(IIS)で証明書を展開するには、お使いのドメイン管理者アカウントをPAM360のサービスログインアカウントとして使用します。
  • ドメインサービスアカウントを使って、PAM360で実行するには、ローカル管理者グループでそのアカウントがすでに構成されていることを確認します。
  1. Windowsサーバーに証明書を展開するには、サーバーのタイプとしてWindowsを選択します。
  2. Deployment Typeを単一、複数(サーバー)またはエージェントを必要に応じて選択します。
    1. 単一サーバーの展開の場合、必要な詳細事項を入力します：サーバ名、ユーザー名、パスワード、パス、 ファイルタイプおよび証明書ファイル名。オプションとして可能なことは、証明書を有効にしてファイルタイプ選択を可能にすること、証明書ファイル名を記載すること、および/またはJKS/PKCSを有効にして鍵ストア種別を選択してストアのファイル名を記載することです。
      deploy_cert_1a
    2. チェックボックス「認証にPAM360サービスアカウントの認証情報を使用する」を選択した場合、PAM360に使用されているサービスアカウントの認証情報がここでも使用されるため、ユーザー名とパスワードを別途入力する必要はありません。
    3. チェックボックス［PAM360に保管されているアカウントを使用する］を選択する場合、PAM360がユーザーアカウント詳細をデータベースから直接取り込むため、パスワードの入力は不要です。
    4. 複数（サーバー）で証明書の展開をする場合、以下の詳細を含む.csvファイルをアップロードします：「サーバ名、ユーザー名、パスワード、パス、証明書ファイル名」（任意）、「ストアのファイル名」（任意）および「ファイルタイプ」。任意で「証明書」を有効にして「ファイルタイプ」を選択することや、「JKS/PKCS」を有効にして「鍵ストア種別」を選択することができます。
    5. 「Deployment Type」として「エージェント」を選択した場合は、「エージェントを選択してください」ドロップダウンからPAM360エージェントのホスト名を選択し、エージェントマシンの宛先ファイルパスを入力します。宛先パスが指定されていない場合、エージェントのインストールパスがデフォルトとして使用されます。オプションで、証明書を有効にしてファイルタイプを選択し、証明書ファイル名を指定するか、および・またはJKS / PKCSを有効にして鍵ストア種別を選択してストアファイル名を指定できます。
    6. 「保存」をクリックして詳細を保存します。
      deploy-ssl-certificates-5
  3. 次に、［展開］をクリックします。

証明書は、指定されたパスにエージェント経由またはエージェントを介さずに指定されたサーバーに直接デプロイされます。

メモ：

ファイルベースの展開の場合、証明書とストアのファイル名が入力されない場合、または複数の証明書が展開用に選択されない場合、コモンネームがファイル名として使用されます。

2.MS証明書ストアへの証明書の展開

  1. 証明書をMS証明書ストアに展開するには、サーバーのタイプとしてMicrosoft証明書ストアを選択します。
  2. Deployment Typeを単一、複数(サーバー)またはエージェントを必要に応じて選択します。
    1. 単一展開の場合、必要な詳細を入力します：サーバ名、ユーザー名、パスワード、パス。
      deploy_cert_2
    2. チェックボックス［PAM360に保管されているアカウントを使用する］を選択する場合、PAM360がユーザーアカウント詳細をデータベースから直接取り込むため、パスワードの入力は不要です。
    3. チェックボックス［認証に PAM360 サービス アカウントの認証情報を使用する］を選択する場合、PAM360がユーザーアカウント詳細をデータベースから直接取り込むため、ユーザー名とパスワードの入力は不要です。
    4. 複数(サーバー)に証明書を展開するには、次の詳細を含む.csvファイルをアップロードします：サーバ名、ユーザー名、パスワード、パス。
    5. ［アカウントの選択］でコンピュータおよび/またはユーザーを選択して、証明書を選択したアカウントに展開します。

      メモ：

      エージェント展開の場合、証明書をデプロイするユーザーアカウントで最新バージョンのPAM360エージェントが実行されている必要があります。

    6. Deployment Typeをエージェントとして選択する場合、PAM360エージェントのホスト名を［エージェントを選択してください］ドロップダウンから選択します。
      deploy-ssl-certificates-9
    7. 次に、［デプロイメント後に MS 証明書ストアからの秘密鍵のエクスポートを有効にします。］を選択して、証明書ストアから秘密鍵をエクスポートします。
    8. ［保存］をクリックして、エージェント詳細を保存します。詳細を入力した後、［展開］をクリックします。
    3. 選択した証明書は、
  3. Personal Certificatesに展開されます。
    deploy_cert_3

3.Internet Information サービス(IIS)への証明書の展開

下の手順にしたがって、証明書をIIS Serverに展開します。ただし、この手続きでは、サーバーに証明書が展開されるのみで、IISバインディングは個別に実行する必要があります。

  1. 証明書をInternet Information サービス(IIS)に展開するには、サーバーのタイプをIISとして選択します。
  2. Deployment Typeを単一、複数(サーバー)またはエージェントを必要に応じて選択します。
    1. 単一展開の場合、必要な詳細を入力します：サーバ名、ユーザー名、パスワード、パス。
      deploy_cert_3_iis
    2. チェックボックス［PAM360に保管されているアカウントを使用する］を選択する場合、PAM360がユーザーアカウント詳細をデータベースから直接取り込むため、パスワードの入力は不要です。
    3. チェックボックス［認証に PAM360 サービス アカウントの認証情報を使用する］を選択する場合、PAM360がユーザーアカウント詳細をデータベースから直接取り込むため、ユーザー名とパスワードの入力は不要です。
    4. 複数のサーバーに証明書を展開するには、次の詳細を含む.csvファイルをアップロードします：サーバ名、ユーザー名、パスワード、パス。
    5.  Deployment Typeをエージェントとして選択する場合、PAM360エージェントのホスト名を［エージェントを選択してください］ドロップダウンから選択し、［保存］をクリックして、エージェント詳細を保存します。
    6. 詳細を入力した後、［展開］をクリックします。
      deploy_cert_5.1

証明書は、指定されたサーバーのサーバー証明書にデプロイされます。

4.IISサーバーへの証明書の展開とバインディング

以下の手順に従って、IISサーバーに証明書を展開し、そのサーバーで実行されているサイトに証明書をバインドします。

メモ：

  • PAM360サーバーにIIS Managerがインストール/有効化されている必要があります。
  • Deployment Type「単一」のIISバインディングは、IISサーバーとPAM360が同じドメインにあり、かつ.NET Frameworkバージョン4以上のASP.NETが有効になっている場合にのみ機能します。ただし、IISサーバーが非武装地帯にある場合は、［Deployment Type］を［エージェント］として選択し、以下に示す同じ手順に進みます。
asp-net
  1. Microsoft IISサーバーに証明書を展開してIISバインディングを実行するには、サーバーのタイプをIISバインディングとして選択します。
  2. Deployment Typeを単一またはエージェントとして、必要に応じて選択します。
    1. Deployment Typeを単一として選択する場合、必要な詳細を入力します：サーバ名、ユーザー名、パスワード、パス、サイト名。
      deploy-ssl-certificates-13
    2. 証明書を展開する必要がある有効なIISサーバーの名前を指定し、ユーザーアカウントの認証情報を提供します。
    3. 証明書を配置する必要があるサーバー内のパスを指定します。
    4. チェックボックス［PAM360に保管されているアカウントを使用する］を選択する場合、PAM360がユーザーアカウント詳細をデータベースから直接取り込むため、パスワードの入力は不要です。
    5. チェックボックス［認証に PAM360 サービス アカウントの認証情報を使用する］を選択する場合、PAM360がユーザーアカウント詳細をデータベースから直接取り込むため、ユーザー名とパスワードの入力は不要です。
    6. Deployment Typeとして複数（サーバー）を選択した場合、「参照」をクリックしてファイルをアップロードし、「バインディングを更新」をクリックします。
      1. 3つの異なる方法でログインできます：認証情報を使う、サービス認証を使う、またはエージェントを使う。次の形式のコンテンツを含むファイルをアップロードします:
        • 単一証明書の選択の場合、
          <servername>, <CREDENTIALS>, <site name>, <binding information>, <server credentials>, <temp path>
          （および/または）
          <servername>, <SERVICE_AUTH>, <site name>, <binding information>, <temp path>
          （および/または）
          <servername>, <AGENT>, <site name>, <binding information>
        • 複数証明書の選択の場合、上記の形式に <domain name> を含めてください。
          例： testServer,CREDENTIALS,test.com,Default Web Site,*:443:myhost,testUSer,testPwd,C:\
        • 同じコモンネームを持つ複数の証明書の場合、上記の形式に <domain name> と <serial number> を含めてください。
          例：testServer,SERVICE_AUTH,test.com,se123245d,Default Web Site,*:443:myhost,C:\ 
    7. IISサーバーが非武装地帯（DMZ）に存在する場合は、Deployment Typeとしてエージェントを選択してください。ドロップダウンからエージェントを選択します。［サイトとバインディングを取得する］をクリックして、選択したサーバーで使用可能なすべてのサイトとそれぞれのバインディングを一覧表示します。［サイト名］フィールドにサイトの名前を入力し、［バインディングを取得する］をクリックして、そのサイトで使用可能なすべてのバインディングを一覧表示します。
      deploy-ssl-certificates-16
    8. ここで、新しいバインディングを追加するには、［新しいバインディングの追加］をクリックして、ホスト名、IPアドレス、ポートなどの属性を入力し、証明書を選択します。チェックボックスを選択し、［サーバー名の表示が必要］とし、IISバインディングを構成および更新します。新しく追加されたバインドは、「管理」>>「SSL設定」>>「IISバインディング」に表示されます。PAM360に追加された新しいサイトバインディングは、デプロイし、バインドするオプションを使ってサーバーに展開されるまでIIS Serverには反映されません。
      deploy-ssl-certificates-17
    9. IISサーバーに関連するサイトのリストを表示するには、「サイト名を取得」をクリックし、ドロップダウンからサイトを選択します。［サイト名］フィールドにサイト名を手動で入力するには、［リストを非表示］をクリックし、サイト名を入力して、［バインディングを取得］オプションをクリックします。
    10. サイトのホスト名、IPアドレス、ポートを手動で入力します。
    11. サイトを自動的に再起動するには、［サイトを再起動する］オプションを選択します。
    12. ［新しいバインディングの追加/バインディングを更新］をクリックして、IISサーバーで指定されたパスに証明書を展開し、IISサイトのバインディングを完了します。
    13. 複数のバインドを更新するには、リストから必要なバインドを選択し、「保存」をクリックします。「管理」>>「SSL設定」>>「IISバインディング」に移動し、バインドを選択して「デプロイし、バインドする」をクリックします。
      deploy-ssl-certificates-18
    14. 指定した詳細を保存し、後で証明書を展開するには、［保存］をクリックします。サーバーの詳細とそれぞれのサイトの詳細は、「管理」>>「SSL設定」>>「IISバインディング」の下で確認できます。
    15. バインディングの詳細を編集するには、サーバーの横にある［編集］アイコンをクリックします。開いたウィンドウで、指定された詳細を変更し、「保存」をクリックします。次に、サーバー名を選択し、トップバーから［デプロイし、バインドする］をクリックします。選択した証明書がサーバーに展開され、IISバインディングがIISサーバーで更新されます。
    16. 上のIISバインディングテーブルに表示されるサイトとIISバインディングの詳細は、PAM360にローカルのものです。ここでバインディングエントリをIISサーバーからのエントリで更新するには、必要なエントリを選択し、［Update Binding］をクリックします。
      deploy-ssl-certificates-19
    17. 上記の表からエントリを削除しても、IISサーバーからデータは削除されません。

5.Linuxサーバーへの証明書の展開

  1. Linuxサーバーに証明書を展開するには、サーバーのタイプとしてLinuxを選択します。
  2. Deployment Typeを単一または複数(サーバー)として、必要に応じて選択します。
    1. 「単一」サーバーへの展開の場合、必要な詳細を入力してください：サーバ名、ポート（ポート22がデフォルトで割り当てられています）、ユーザー名、パスワード、パス。オプションとして、証明書を有効にしてファイルタイプを選択した後に証明書ファイル名を指定する、および/またはJKS / PKCSを有効にして鍵ストア種別を選択してストアのファイル名を指定できます。
      deploy_cert_4
    2. 「鍵をインポート」をクレデンシャル種別で選択して、パスワードレスサーバーに対して鍵ベースの認証を使用することができます。ターゲットサーバーで必要なユーザーアカウントに関連付けられた［ユーザーの秘密鍵］をアップロードし、［鍵のパスフレーズ］を入力してください。
      deploy-ssl-certificates-21
    3. チェックボックス［PAM360に保管されているアカウントを使用する］を選択する場合、PAM360がユーザーアカウント詳細をデータベースから直接取り込むため、パスワードの入力は不要です。
    4. 複数サーバーで証明書の展開をする場合、以下の詳細を含む.csvファイルをアップロードします：サーバ名、ユーザー名、パスワード、パス、証明書ファイル名（オプション）、ストアのファイル名（オプション）。任意で「証明書」を有効にして「ファイルタイプ」を選択することや、「JKS/PKCS」を有効にして「鍵ストア種別」を選択することができます。
    5. ［鍵をインポート］をクレデンシャル種別で選択して、パスワードなしのサーバーの鍵ベースの認証を選択することもできます。必要なユーザーアカウントと関連づけられるユーザーの秘密鍵をターゲットシステムにアップロードし、鍵のパスフレーズを入力します。
  3. 詳細を入力した後、［展開］をクリックします。

証明書は、指定されたパスの指定されたサーバーに展開されます。

メモ：

  • 鍵ベースの認証オプションは、単一のDeployment Typeでのみ使用できます。
  • 鍵ベースの認証でアップロードされた秘密鍵は、一回限りの使用で、PAM360データベースのいずれにも保存されません。PAM360リポジトリにこのキーを保存する場合は、鍵をインポートオプションをSSHキータブから選択し、手動で追加します。

6.ブラウザへの証明書の展開

  1. ブラウザに証明書を展開するには、Deployment Typeとして「ブラウザ」を選択します。
  2. 必要に応じて、サーバ種別をWindows、Linux、またはMac OSとして選択します。
  3. チェックボックス ［PAM360に保存されているアカウントを使用する］を選択する場合、PAM360がユーザーアカウント詳細をデータベースから取り込むため、パスワードの入力は不要です。
    deploy_cert_5
  4. サーバーのタイプがWindowsの場合、
    1. サーバ名、ユーザー名、パスワード、パスを入力します。
    2. 「認証にPAM360サービスアカウントの認証情報を使用する」チェックボックスを選択した場合、PAM360に使用されているサービスアカウントの認証情報がここでも使用されるため、「ユーザー名」と「パスワード」を個別に入力する必要はありません。
  5. サーバーのタイプがLinuxの場合、
    1. サーバ名、ポート、ユーザー名、パスワードおよびパスを入力します。
    2. 証明書を展開する必要のあるブラウザ（Firefoxおよび/またはChrome）を選択します。
    3. Firefoxを選択した場合は、プロファイルを指定します。［プロファイルの取得］をクリックして、使用可能なプロファイルから選択します。

      メモ：

      プロファイルの取得オプションは、次の場所にあるprofiles.iniファイルからすべてのプロファイルパスを取得します。

      • Windows：APPDATA\Mozilla\Firefox\profiles.ini
      • Linux：$HOME/.mozilla/firefox/profiles.ini
      • Mac：$HOME/Library/Application Support/Firefox/profiles.ini
    4. NSSツールパスを入力します。

      メモ：

      • Linuxでは、ChromeとFirefoxはNSS共有DBを使用して証明書を管理します。このNSSツールは、次のコマンドを使用してインストールできます：sudo apt-get installlibnss3-tools。
      • Chrome の場合、証明書は次のパスの NSS DB に展開されます。$HOME/.pki/nssdb.
      • Firefoxの場合、プロファイルフォルダには証明書を管理するためのNSS DBが含まれています。
    5. ［鍵をインポート］をクレデンシャル種別で選択して、パスワードなしのサーバーの鍵ベースの認証を選択することもできます。必要なユーザーアカウントと関連づけられたユーザーの秘密鍵をターゲットシステムにアップロードし、鍵のパスフレーズを入力します。
  6. サーバーのタイプがMac OSの場合、
    1. サーバ名、ポート、ユーザー名、パスワード、パスを入力します。
    2. 証明書を展開する必要のあるブラウザ（Firefoxおよび/またはSafari/Chrome）を選択します。
    3. Firefoxを選択する場合、プロファイルとNSSツールパスを記載します。［プロファイルの取得］をクリックして、使用可能なプロファイルから選択します。
    4. Safari/Chromeを選択した場合、キーチェーンログインにログインパスワードを使用します。にチェックを入れるか、ログインキーチェーンパスワードを指定するかを選択できます。

      メモ：

      SafariとChromeの場合、Mac OSはシステムキーチェーンを使用して証明書を管理します。Firefoxの場合、プロファイルのNSS DBが証明書を管理します。NSS utilsをインストールするには、次のコマンドを使用します：brew install nss。

  7. ［展開］をクリックします。

これで、選択したブラウザに証明書が正常に展開されました。

7.ManageEngine MDMへの証明書の展開

ManageEngine MDMへの証明書の展開については、こちらをクリックしてください。

8.証明書のAWS-ACMへの展開

AWS-ACMへの証明書の展開については、こちらをクリックしてください。

9.ロードバランサーへの証明書の展開

  1. ロードバランサーに証明書を展開するには、Deployment TypeとしてLoadBalancerを選択します。
  2. 表示されるポップアップで、Citrix ADCをロードバランサーのタイプとして選択します。
  3. 必要なCitrix認証情報リストをドロップダウンから選択します。
    load-balancer-1
  4. ［証明書を管理］をクリックして、認証情報を追加または削除します。
    1. 表示されるポップアップで、Addをクリックし、認証情報名、サーバー名、Citrixのユーザー名およびCitrixのパスワードを入力します。
    2. ［テストログイン］をクリックし、認証情報をテストして、［Save Credentials］をクリックします。
    3. 認証情報を削除するには、削除する認証情報を選択し、［削除］をクリックし、表示されるポップアップで、［OK］をクリックします。
      load-balancer-2
  5. Citrixのパスワードとパスフレーズを入力します。「パスワードの生成」アイコンを使用して、安全なパスフレーズを生成することもできます。
  6. ロードバランサーディスカバリ中、REST APIを使って、［バイパスプロキシの設定］チェックボックスを選択して、プロキシサーバー設定のバイパスを選択できます。このオプションを使用すると、［管理］タブで有効にしたプロキシサーバーをバイパスし、インターネットを介して直接 CitrixLoadBalancerのディスカバリを実行できます。
  7. ［サービスのデプロイメント］を選択します。表示されるポップアップで、ロードバランサーを展開するサービスを選択して、［サービスを選択］をクリックします。
  8. ［仮想サーバーのデプロイメント］を選択します。表示されるポップアップで、ロードバランサーを展開する仮想サーバーを選択し、［仮想サーバーを選択］をクリックします。
  9. ［展開］をクリックします。

これで、選択したロードバランサーに証明書が正常に展開されました。

10.Fortigate Firewallへの証明書の展開

  1. 証明書を選択し、「展開」ドロップダウンから「LoadBalancer」をクリックします。
  2. 表示されるポップアップで、「ロードバランサーのタイプ」のドロップダウンから「FortiGate ファイアウォール」を選択します。
  3. 「FortiGate 認証情報リスト」ドロップダウンから必要な「FortiGate 認証情報」を選択します。
    fortigate-firewall1
  4. 「証明書を管理」をクリックして、認証情報を追加または削除します。表示されるポップアップで:
    1. 認証情報を追加するには、「Add」をクリックし、「認証情報名」、「サーバー名」、および「API キー」を入力します。
    2. 「Save Credentials」をクリックして、新しい FortiGate Firewall の認証情報を追加します。
    3. 認証情報を削除するには、削除する認証情報を選択し、「Delete」をクリックします。
    4. 表示されるポップアップで、「OK」をクリックして選択した認証情報を削除します。
  5. 証明書にキーストアファイルがある場合は、「アップロードタイプ」として「Regular」を選択します。それ以外の場合は、「Remote」を選択します。
  6. また、「バイパスプロキシの設定」チェックボックスを有効にすることで、プロキシサーバーの設定を迂回することができます。このオプションを使用すると、管理設定で有効にしたプロキシサーバーを直接迂回して、インターネット経由で FortiGate Firewall に証明書をデプロイすることができます。
  7. 「展開」をクリックして、選択した証明書を FortiGate Firewall にデプロイします。