GlobalSign SSL認証局とPAM360の統合

お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

PAM360はGlobalSign認証局（CA）との連携を容易にします。これにより企業は、一元化されたプラットフォームを使い、GlobalSignによって署名・発行されたWebサーバー証明書のエンドツーエンドの管理を自動化できます。本資料では、既存の注文書のインポート、および証明書の要求、プロビジョニング、展開、ならびに更新に至るまで、GlobalSign が発行する SSL 証明書のライフサイクル全体を PAM360 の Web インターフェースから直接管理するための手順を説明します。

GlobalSign CA を PAM360 に統合する手順は以下の通りです：

  1. GlobalSignアカウントをPAM360へ追加
  2. 証明書の注文
  3. DNSアカウントの設定
  4. ドメイン管理の検証と証明書の展開
  5. GlobalSign CA が発行する証明書の管理

注意

PAM360 が GlobalSign CA サービスに接続できるように、ファイアウォールまたはプロキシに以下のベース URL とポートを例外として追加してください。

1.GlobalSignアカウントをPAM360へ追加

以下の手順に従って、GlobalSign アカウントを PAM360 に追加します：

  1. 証明書 >> GlobalSignに移動し、GlobalSign認証情報を入力して認証を受けます。
  2. GlobalSign アカウントが検証され追加されると、証明書の注文とドメイン管理の検証に進むことができます。
  3. GlobalSignアカウントがPAM360に追加されない場合は、GlobalSignサポートに連絡し、ユーザーのIPアドレスの例外を取得し、再試行してください。

    詳細

    ユーザーの IP アドレスは PAM360 の監査セクションから確認できます。

    gs-1

2.証明書の注文

GlobalSign の認証情報を設定すると、GlobalSign の API を利用して、証明書署名要求 (CSR) の生成、および証明書の注文、調達、ならびに管理を PAM360 から直接行うことができます。

CSRの生成と証明書の注文を行うには、以下の手順に従います、

  1. 証明書 >> GlobalSignに移動し、証明書の注文 をクリックします。
  2. 開いたウィンドウで、コモンネーム、製品名、SSL証明書の種別、ドメインの検証種類、有効性を入力してください。
  3. PAM360 は、3 つのドメイン検証方法をすべてサポートしています：DNSベース、ファイル/HTTPベース、および電子メールベースの検証。
  4. 次に、SSL証明書の種類、署名アルゴリズム、アルゴリズム長、KeyStoreの種類、KeyStoreのパスワード、プライマリおよびセカンダリの連絡先の詳細を入力します。ユーザーには、既存のCSRまたは秘密鍵をインポートして使用するオプションもあります。
  5. 製品名をドメイン SSL として選択している場合は、SSL 証明書の種類をSingle/Wildcard と入力します。
  6. ドメインSSL以外の製品名の場合は、UCC SANと有効性を入力します。
  7. 承認者電子メール ID は、ドメイン制御検証（DCV）検証メールを送信する電子メール ID です。承認者の電子メール ID は、以下のいずれかの形式を取る必要があります：
    • <admin@domain>、 <administrator@domain>、 <hostmaster@domain>、 <webmaster@domain>、または<postmaster@domain>
    • ドメインの WHOIS レコードに記載され、CA システムで確認できる管理者、登録者、技術者、ゾー ン連絡先の電子メール・アドレス。
  8. 次に、組織の詳細（組織の検証および拡張された検証注文タイプにのみ適用）、管理者の連絡先、証明書の注文を行う技術者の連絡先を入力します。
  9. 詳細を入力したら、[作成]をクリックします。
  10. 表表示の右側に表示されるステータスとともに、発注された証明書の注文のリストを確認できるウィンドウが表示されます。

    詳細

    PAM360 では、アカウント内で実行された既存証明書の注文をGlobalSign からインポートし、ステータスを追跡することができます。 既存のオープンな注文をPAM360 にインポートするには、上部メニューの [詳細] から [既存の注文をインポート] をクリックします。

    gs-2

    gs-3

3.DNSアカウントの設定

証明書の注文で DNS ベースのドメイン検証を選択する場合は、PAM360 で DNS アカウントを設定し、チャレンジ検証手順を自動化するために注文の 'DNS' フィールドに指定する必要があります。DNS アカウントを設定するには、以下の手順に従います、

  1. GlobalSign >> 管理 に移動します。
  2. DNS タブに切り替えます。
  3. ここでは、サポートされている各DNSプロバイダに対して、最大1つのDNSアカウントを追加できます。PAM360は現在、Azure、Cloudflare、Amazon Route 53 DNS、RFC2136 DNS更新、ClouDNS、およびGoDaddy DNSの自動ドメイン制御検証をサポートしています。
  4. 追加をクリックします。開くポップアップで、DNSプロバイダを選択します。

3.1 Azure DNS

  1. Azure DNS ゾーンの [Overview] ページで選択可能なサブスクリプション ID を入力します。
  2. Microsoft Entra ID >> Propertiesで選択可能なディレクトリ ID を入力します。
  3. 既に存在する Azure アプリケーションがある場合は、そのアプリケーション ID とキーを入力します。
  4. ない場合は、以下の手順で Azure アプリケーションおよびキーを作成し、API 呼び出し用の DNS ゾーンへのアクセス権をアプリケーションに付与します。
  5. Azure アプリケーションおよびキーの作成手順：
    1. App registrations >> New application registrationに移動します。
    2. アプリケーション名を入力し、アプリケーションタイプを Web app / API から選択し、サインオン URL を入力します。Create をクリックします。
    3. 作成が成功すると、アプリケーション ID を表示する Window が表示されます。
    4. アプリケーションキーを取得するには、[Keys]に移動し、キーを作成します。
    5. キーの説明と期間を入力して、[Save]をクリックします。
    6. キーが保存されると、キー値が表示されます。今後の参考のために、キー値をコピーして保存します。
  6. アプリケーションにDNSゾーンへのアクセスを設定します、
    1. すべてのDNSゾーンが作成されているリソースグループに移動するか、特定のDNSゾーンに切り替えます。
    2. Access Control (IAM)に切り替えて、Addをクリックします。
    3. ロールとして Contributor を選択し、Microsoft Entra ID ユーザー、グループ、またはアプリケーションへのアクセスを割り当て、Azure Directory で作成したアプリケーションを検索して選択し、[Save] をクリックします。
    4. これで、作成したAzureアプリケーションに API 呼び出し用の DNS ゾーンへのアクセス権が付与されます。
  7. 最後に、DNS ゾーンを作成したグループ名であるリソースグループ名を入力し、[Save] をクリックします。
  8. DNSアカウントの詳細が保存され、管理 -> DNS下に一覧表示されます。
    azuredns

3.2 Cloudflare DNS

  1. メールアドレスフィールドには、Cloudflareアカウントに関連付け済みの電子メールアドレスを指定します。
  2. グローバルAPIキーのフィールドについては、Cloudflare DNSのドメイン概要ページの「Generate API」キーのオプションを使用してキーを生成し、このフィールドに値を貼り付けます。
  3. 保存をクリックします。DNSアカウントの詳細が保存され、管理 -> DNSの下に一覧表示されます。

    注意

    DNS ベースのドメイン検証タイプの場合、ドメイン制御検証の証明書の注文ですでに設定されている DNS アカウントを指定する場合は、そのステータスが管理 >> DNS で有効になっていることを確認してください。

    cloudflaredns

3.3 AWS Route 53 DNS

  1. AWS アカウントに関連付けられたアクセスキーIDと選択を生成して指定します。
  2. AWS アカウントがない場合は、以下の手順に従ってアカウントを作成し、［アクセスキーID］と［選択］を作成します：
    1. AWS コンソールにログインし、IAM Services >> Users に移動します。
    2. Add user をクリックします。ユーザ名を入力し、アクセスタイプをProgrammatic accessに選択します。
    3. 次のタブに切り替え、[Set Permissions]の下にある[Attach existing policies]をクリックし、[AmazonRoute53FullAccess]を検索します。
    4. リストされているポリシーを割り当て、次のタブに切り替えます。
    5. タグセクション内で、適切なタグ（オプション）を追加し、次のタブに切り替えます。
    6. 入力した情報をすべて確認し、Create userをクリックします。
    7. ユーザーアカウントが作成され、アクセスキーIDと選択が生成されます。キーIDと選択はコピーして安全な場所に保存してください。
  3. 既にAWSのユーザーアカウントを持っている場合は、そのユーザーにAmazonRoute53FullAccess権限を付与し、アクセスキーを持っていない場合はアクセスキーを生成する必要があります。また、ユーザーアカウントに関連付けられたアクセスキーが既にある場合は、必要な権限が付与されていることを確認するだけで十分です。

必要な権限を付与するには、以下の手順に従います：

  1. Permissionsタブに移動し、必要なユーザーアカウントを選択して[Add Permission]をクリックします。
  2. Set Permissionsの 直下にあるAttach existing policiesをクリックし、AmazonRoute53FullAccessを検索します。
  3. リストされたポリシーを割り当て、[Save]をクリックします。
  4. 以下の手順でアクセスキーを生成します。
    1. 特定のユーザアカウントを選択し、[ Security Credentials]タブに移動します。
    2. 開いたウィンドウで、[Create access key]をクリックします。
    3. アクセスキーIDと選択が生成されます。キーIDと選択は二度と表示されないため、コピーして安全な場所に保存してください。
      amazon-route-53-dns

3.4 RFC2136 DNS 更新

Bind、PowerDNS など、RFC2136 DNS 更新をサポートするオープンソース DNS サーバーを使用している場合、以下の手順に従い、PAM360 を使用して DNSベースのDCV手順を自動化します。

  1. ［DNSサーバーのIPアドレス/ホスト名］は、DNSサーバーがインストールまたは実行されているサーバー名/IPアドレスを表します。
  2. これらの詳細は、通常はサーバーのインストールディレクトリにあります。例えば、Bind9 DNSサーバーの場合、サーバーのインストールディレクトリにあるnamed.local.confというファイルに記載されています。
  3. シークレットキーを入力します。これは、サーバーのインストールディレクトリにあるキーの内容に他なりません。
  4. ［鍵名］を選択し、［アルゴリズム］を選択します。保存をクリックします。
    rfc2136update

3.5 GoDaddy DNS

DNS 検証に GoDaddy DNS を使用している場合、以下の手順に従って、PAM360 を使用して DNSベースのDCV手順を自動化します。

GoDaddy API認証情報を取得するには、以下の手順に従います：

  1. GoDaddy developer portalに進み、API Keysタブへ切り替えます。
  2. ログインしていない場合は、GoDaddyアカウントにログインします。
  3. ログインすると、APIキーを作成および管理できるAPIキーページにリダイレクトされます。 Create New APIキーをクリックします。
  4. アプリケーション名を選択し、環境タイプとしてProductionを選択し、[Next]をクリックします。
  5. APIキーとその選択が生成されます。選択は二度と表示されないので、コピーして安全な場所に保存してください。

次に、PAM360インターフェイスで、以下の手順に従って、GlobalSign証明書リポジトリにGoDaddy DNSを追加します：

  1. 証明書 >> GlobalSignに移動し、ページの右上にある[管理]をクリックします。
  2. DNSタブに切り替え、追加をクリックします。
  3. DNSプロバイダドロップダウンメニューからGoDaddyを選択します。
  4. GoDaddyポータルから以前に生成したキーおよび選択を入力します。保存をクリックします。
    godaddy-dns

3.6 ClouDNS

DNS検証にClouDNSを使用している場合、以下の手順に従って、PAM360を使用してDNSベースのドメイン制御検証手順を自動化します：

ClouDNS API認証情報を取得するには、以下の手順に従います：

  1. ClouDNSアカウントへログインし、Reseller APIへ進みます。
  2. APIユーザーIDを作成済みの場合は、API Usersの下にあります。そうでない場合は、Create APIをクリックして新しいAPIを生成します。

ClouDNS API認証IDの詳細については、ここをクリックしてください。

次に、PAM360インターフェイスで、以下のステップに従い、ClouDNSをGlobalSign CAに追加します：

  1. 証明書 >> GlobalSign に移動し、右端の管理をクリックします。
  2. DNSタブに切り替え、[追加]をクリックします。
  3. DNSプロバイダドロップダウンからClouDNSを 選択します。
  4. 以下のオプションのいずれかを選択します：認証ID、サブ認証ID、サブ認証ユーザー。
  5. 選択したClouDNS認証IDおよびそれに対応する認証パスワードを入力して、[保存]をクリックします。
    cloudns

3.7 DNS Made Easy

  1. 名前フィールドに任意の名前を入力します。
  2. キーおよび選択が、DNS Made Easyウェブページの[Config -> Account Information]から入手できます。これらの詳細をそれぞれのフィールドに入力します。
  3. 次に、保存をクリックしてDNSアカウントの詳細を保存します。保存したDNSの詳細は、[管理] >> [DNS]の下に表示されます。
    dnsmadeeasy

4.ドメイン管理の検証と証明書の展開

認証局が申請者の注文を受け取ると、申請者はドメイン名の利用権確認(DCV)と呼ばれるプロセスを実行して、ドメインの所有権を証明する必要があります。これらが完了すると、証明書を受領できます。

PAM360 は以下の DCV メソッドをサポートしています：

  1. 電子メールベースのDCV
  2. ファイルベースまたはHTTPベースのDCV
  3. DNSベースのDCV

注意

チャレンジファイルを展開するエンドサーバーがWindowsリソースの場合は、ここに記載されている手順でSSLエージェントをインストールしてください。

4.1 電子メールベースのDCV

  1. 電子メールベースのDCVでは、認証局は、証明書の注文時に指定された承認者の電子メール ID に検証メールを送信します。
  2. この電子メールでは、ドメイン管理検証手順を完了するために実行する必要がある手順を案内します。
  3. 手順を完了したら、PAM360 サーバーに移動し、GlobalSign タブに切り替えます。
  4. 注文を選択し、上部メニューから検証をクリックします。
  5. 証明書が正常に取得されましたら、認証局が証明書を発行し、取得された証明書はPAM360のセキュアリポジトリに追加されます。証明書は、[証明書] >> [証明書] タブからアクセスできます。
  6. ここから、証明書ストアやIISサーバーなど、必要なエンドポイントサーバーに証明書の展開をPAM360から直接行うことができます。

証明書の展開のさらなる詳細は、ここをクリックしてください。

4.2 ファイルベースまたはHTTP ベースのDCV

ファイルベースまたはHTTP ベースのDCVを選択した場合、証明書の注文作成時にチャレンジファイルが表示されます。ドメインサーバーに移動し、指定されたパスを作成し、そのパスにチャレンジファイルを展開します。

エンドポイントサーバーにチャレンジファイルを展開するプロセス全体は、PAM360 から自動化できます。この設定は、［管理］の下の［展開］タブでサーバーの詳細を設定することで実現できます。

DCVを自動化するには、以下の手順に従います：

  1. GlobalSign >> 管理に切り替え。
  2. 展開タブへ進み、[追加] をクリックします。
  3. ポップアップが開くので、チャレンジタイプを「http-01」に選択し、ドメイン名を入力し、サーバーの種類（WindowsエージェントまたはLinux）を選択し、サーバーの詳細を入力します。保存をクリックします。
  4. チャレンジファイルは、指定されたパスにある対応するエンドサーバーに自動的に展開されます。
  5. チャレンジファイルの展開が完了したら、PAM360 サーバーに移動し、GlobalSignタブに切り替え、注文を選択し、上部メニューから［検証］をクリックします。
  6. ドメイン検証が正常に取得されましたら、認証局が証明書を発行し、取得された証明書は PAM360 証明書リポジトリ（証明書 >> 証明書）に追加されます。

4.3 DNSベースのDCV

DNS ベースのドメイン検証を選択した場合、証明書の注文を作成する際に DNS チャレンジ値とテキストレコードが表示されます。テキストレコードを手動でコピーして、ドメインサーバーに貼り付けます。

HTTP チャレンジと同様に、チャレンジ検証プロセス全体を PAM360 から自動化できます。この設定は、[管理]の下の[展開]タブでサーバーの詳細を設定することで実現できます。DCVを自動化するには、以下のステップに従ってください：

  1. GlobalSign >> 管理 に切り替え。
  2. エンドサーバーがWindowsマシンの場合、前提条件のセクションに記載されている手順を使用してWindows用のPAM360エージェントをダウンロードし、インストールします。
  3. 展開タブに切り替え、[追加]をクリックします。
  4. 開いたポップアップで、チャレンジタイプを'dns-01'として選択し、ドメイン名を指定し、DNSプロバイダ（Azure、Cloudflare、Amazon Route 53 DNS、RFC2136 DNS update、ClouDNS、GoDaddy DNS）を選択し、サーバーの詳細を入力します。
  5. 証明書を展開オプションをチェックして、調達後に証明書をエンドサーバーに展開します。保存をクリックします。
  6. DNS チャレンジ値とテキストレコードが対応する DNS サーバーに自動的に作成されます。
  7. チャレンジが完了したら、PAM360 サーバーに移動し、GlobalSign タブに切り替え、注文を選択し、上部メニューから検証をクリックします。
  8. ドメインの有効検証が正常にされましたら、認証局が証明書を発行し、証明書が取得され、自動的にPAM360証明書リポジトリに追加されます。証明書は、[証明書 ] -> [証明書]タブからアクセスできます。
  9. ここから、証明書を証明書ストアやIISサーバーなどの必要なエンドポイントサーバーにPAM360から直接展開できます。証明書の展開のさらなる詳細については、ここをクリックしてください。

    詳細

    • DNS ベースのDCVでは、注文時に管理--> DNSで設定した DNS アカウントを選択していた場合、PAM360 はそのアカウントを使用してチャレンジ検証を自動化します。代わりに、[管理] >> [展開]でドメインとサーバーの詳細を設定済みの場合、チャレンジ検証、およびその後の証明書の展開は、特定のドメインとサーバーに対してのみ実行されます。
    • RFC2136 DNS 更新では、グローバル DNS 構成を選択した場合、ドメイン名自体がゾーン名として機能します（グローバル DNS 構成は、すべてのゾーンで同じシークレットキーを使用している場合にのみ可能です）。一方、ドメイン-エージェントマッピングを選択した場合、各ドメインのゾーン名、マップ名、およびシークレットキーを個別に提供する必要があります。

5.GlobalSign CA が発行する証明書の管理

PAM360 から第三者認証局への証明書の更新、再発行要求、または注文の削除を行うことができます。

5.1 証明書の更新済み

  1. 証明書 >> GlobalSign に移動します。
  2. 必要な注文を選択し、上部メニューから証明書の更新をクリックします。
  3. 必要に応じて、ドメイン制御検証（DCV）手順を完了します。

有効性確認が成功すると、証明書が発行され、[証明書] >> [証明書]タブに新しい証明書が自動的に更新されます。

注意

証明書の更新は、選択した証明書の有効期限の 90 日前までしか許可されません。

5.2 証明書の再発行

  1. 証明書 >> GlobalSign に移動します。
  2. 必要な注文を選択し、上部メニューから証明書の再発行をクリックします。
  3. 証明書が再発行され、[証明書] >> [証明書] タブに自動的に更新されます。

5.3 証明書要求の検証

  1. 証明書 >> GlobalSign に移動します。
  2. PAM360 で保留中の証明書の注文を選択し、上部メニューから[検証]をクリックします。
  3. 選択した証明書がドメイン検証 証明書の場合、PAM360 は GlobalSign でドメイン検証および URL 検証 を行い、検証が完了すると証明書を発行します。発行された証明書はPAM360のSSL証明書リポジトリに追加されます。
  4. 選択した証明書がドメイン検証証明書でない場合、PAM360 は GlobalSign から証明書のみのステータスを取得します。

5.4 証明書要求の削除

  1. 証明書 >> GlobalSign に移動します。
  2. 必要な証明書を選択し、上部メニューの[ 削除] をクリックします。
  3. 証明書要求が PAM360 から削除されます。

    詳細

    証明書要求を削除すると、PAM360からのみ削除されます。自身のアカウントのGlobalSignウェブサイトで、注文が開いていることを確認できます。>> GlobalSign >> 詳細 >> 既存の注文をインポートに進むと、必要に応じて PAM360 に注文をインポートできます。