組織内の証明書の検出

PAM360は組織全体の証明書ディスカバリを効率化し、堅牢なリポジトリを通じた一元管理を可能にします。認証局（CA）にかかわらず、PAM360はネットワーク内のすべての証明書を自動的に特定できます。オンデマンドで実行することも、継続的な管理のために定期実行するようスケジュールすることもできます。

ディスカバリオプションは非常に柔軟で、多様なニーズに対応します。単一のサーバー、複数のサーバー、または1回のスキャンでさまざまなポートから証明書を取得する場合でも、PAM360が対応します。さらに、「キーダッシュボード」の「証明書の有効期限」ウィジェットを使用して、期限切れおよび間もなく期限切れになる証明書をすばやく再検出できるため、証明書の見落としを防止できます。

  1. オンデマンドでの証明書の検出
  2. SMTPサーバーからの証明書の検出
  3. ロードバランサーからの証明書の検出
  4. 共有ディレクトリパスからの証明書の検出
  5. Active Directoryユーザーアカウントにマッピングされた証明書の検出
  6. Microsoft証明書ストアからの証明書の検出
  7. SSLエージェントを使用した証明書の検出
  8. AWS（ACMおよびIAM）でホストされている証明書の検出
  9. ManageEngine Mobile Device Manager Plusを使用した証明書の検出
  10. スケジュールによる証明書の検出
  11. ディスカバリ後の操作

メモ：

.keystoreや.pfxなどの拡張子を持つ証明書ファイルは暗号化され、パスフレーズで保護されているため、インポートには追加の認証が必要です。ディスカバリ時にこれらのファイルは証明書リポジトリへ自動的に追加されず、それぞれのパスフレーズを使用して手動でインポートする必要があります。これらのファイルをPAM360にインポートするには：

  1. ディスカバリウィンドウの右上隅にある「JKS / PKCS」をクリックします。
  2. ポップアップウィンドウで、インポートする証明書ファイルを選択し、上部メニューの「インポート」をクリックします。
  3. 次のポップアップで、選択したファイルに必要なパスフレーズを入力し、「インポート」をクリックしてプロセスを完了します。

パスフレーズが検証されると、証明書ファイルがPAM360の証明書リポジトリに正常にインポートされ、システム内で安全に管理されます。


1.オンデマンドでの証明書の検出

オンデマンドで証明書を手動検出するには、以下の手順に従います：

  1. 「証明書」タブ→「ディスカバリー」→「証明書」に移動します。
  2. 次の「ディスカバリー方法」オプションのいずれかを選択します：
    1. 「ホスト名/IPアドレス」：証明書を検出するサーバーのホスト名またはIPアドレスを入力します。

      メモ：

      ホスト名を特定のIPアドレスに解決する場合は、次に示すように、ホスト名の後にコロン（：）で区切ってIPアドレスを指定します：amp2k19:172.168.203.56
      同じ形式を「ファイル参照」オプションにも指定する必要があります。

    2. 「IPアドレスの範囲」：IP範囲を指定し、その範囲内のサーバーで利用可能なすべての証明書を検出します。
    3. 「ファイル参照」：ネットワーク内で証明書が利用可能なサーバーのリストをテキストファイルとして保存している場合は、そのファイルを直接読み込み、これらの証明書をすべて検出できます。

      メモ：

      インポートするファイルは、個々のサーバーのホスト名またはIPアドレスを別々の行に入力したテキストファイルである必要があります。以下の図に示すように、各サーバーでスキャンするポートをスペースで区切り、別々の行に入力します：

      • 0.0.0.0 6565
      • test-username-10 443
      • 192.168.20.20 7272
    4. 「サブネット」：このオプションを使用して、IP範囲内の特定のサブネットワークからリソースを検出します。
  3. 「IPアドレスの範囲」および「サブネット」オプションを使用した一括ディスカバリでは、特定のリソースをディスカバリー対象から除外できる「IPアドレスを除外する」フィールドがあります。除外する必要のあるリソースのIPアドレスを上下に指定します。

    メモ：

    証明書ディスカバリ時またはPAM360リポジトリへの証明書の手動追加時に、「管理」タブ→「SSL設定」→「証明書を除外」で詳細（コモンネームとシリアル番号）を指定することにより、特定の証明書を除外できます。指定された証明書は、ディスカバリーまたは手動追加中、PAM360証明書リポジトリへのインポートから除外されます。

  4. 「タイムアウト」および「ポート」オプションの値を指定します。
    1. タイムアウト：アプリケーションが証明書（それぞれ）の検出を試行する秒数を指します。デフォルト値は5秒です。
    2. ポート：SSH通信に使用されるエンドターミナルのポートを指します。証明書にはデフォルトでポート443が使用されます。

      メモ：

      1回のディスカバリーインスタンスで証明書を検出するために、コンマで区切って複数のポートを指定できます。

  5. 「管理設定」でプロキシサーバー設定を有効にしている場合は、「プロキシ設定をバイパス」チェックボックスを選択して設定をバイパスします。このオプションを選択する場合、PAM360は、プロキシサーバーをバイパスして直接、オンライン証明書ディスカバリーを実行します。また、スケジュール設定された証明書ディスカバリ中にプロキシサーバーをバイパスすることもできます。
  6. 「ディスカバリー」をクリックします。現在の検出インスタンスのステータスが更新される「ディスカバリ状態」ページにリダイレクトされます。
    certificate_ma_1

2.SMTPサーバーからの証明書の検出

ネットワーク内のメールサーバーで使用されている証明書を検出し、PAM360の一元化された証明書リポジトリに統合できます。メールサーバー証明書の検出を実行するには：

  1. [証明書] タブ→ [ディスカバリー] → [メールサーバー証明書]に移動します。
  2. 証明書の検出元のホスト名/IPアドレスを指定し、ポート番号を指定します。複数のポート値をコンマで区切って指定できます。
  3. [ディスカバリー]をクリックします。検出が正常に行われると、証明書が指定リソースから取り込まれ、PAM360のリポジトリに追加されます。
    certificate_ma_2

3.ロードバランサーからの証明書の検出

PAM360では、ネットワーク内のロードバランサーに展開されている証明書を検出し、安全な一元化リポジトリに統合できます。PAM360は、トンネル化されたSSHを介して処理されるLinuxベースのロードバランサーからの証明書ディスカバリをサポートします。ロードバランサー証明書の検出を実行するには：

  1. [証明書] → [ディスカバリー] → [ロードバランサー]の順に移動します。
  2. 「種別」ドロップダウンからロードバランサーのタイプを選択します。PAM360は、4種類のロードバランサーディスカバリをサポートしています：「一般」、「BIG-IP F5」、「Citrix」、および「FortiGate ファイアウォール」。
    certificate_ma_3
  3. ロードバランサーの「タイプ」として「一般」、「BIG-IP F5」、または「Citrix」を選択した場合は、該当する次の手順に従います：
    1. 「サーバー名」、「ポート」、「ユーザー名」、および「パスワード」を指定します。
    2. 証明書を検出するサーバー内の「パス」を指定します。
    3. 「鍵を選択」オプションを選択すると、パスワードなしのリソースに対して鍵ベースの認証を選択できます。必要なユーザーアカウントに関連付けられた秘密鍵をアップロードし、鍵のパスフレーズを指定します。
    4. 「証明書リストのディスカバリー」オプションをクリックして、指定したパスで利用可能なすべての証明書を取得します。これにより、検出してインポートする証明書を選択できます。
    5. 「ディスカバリー」ボタンをクリックすると、証明書が正常に検出され、PAM360の一元化された証明書リポジトリにインポートされます。

      メモ：

      Citrix REST APIベースのロードバランサーディスカバリーでは、指定するユーザー認証情報に、ファイルの読み取りおよびREST APIアクセスに十分な権限が必要です。したがって、ディスカバリを成功させるために、スーパー管理者ロールを持つアカウントの認証情報を指定することをお勧めします。

      certificate_ma_3.1
  4. 上記の方法がCitrixロードバランサーで失敗した場合は、以下の手順に従ってCitrixロードバランサーから証明書を検出します：

    メモ：

    Citrixタイプ検出は、CLIコマンドの使用とRESTAPIの使用の2つの方法で実行できます。デフォルトでは、PAM360はディスカバリーと証明書の取得にCLIコマンドを使用します。

    1. [認証情報を管理]をクリックして、認証情報を追加または削除します。
      1. 表示されるポップアップで「追加」をクリックし、「認証情報名」、「サーバーIP」、「Citrixのユーザー名」、および「Citrixのパスワード」を指定します。
      2. 「ログインをテスト」をクリックして認証情報をテストし、「認証情報を保存」をクリックします。
      3. 認証情報を削除するには、削除する認証情報を選択して「削除」をクリックし、表示されるポップアップで「OK」をクリックします。
    2. ドロップダウンから「Citrix認証情報」を選択し、「パス」を入力して、もう一度「ディスカバリー」します。
    3. 上記の方法も失敗した場合は、「REST APIを使用（デフォルトでは、PAM360はディスカバリと証明書の取得にCLIコマンドを使用します）」チェックボックスを有効にして、同じ手順を再度実行します。
      1. REST APIを使用したCitrixロードバランサーディスカバリでは、「プロキシ設定をバイパス」チェックボックスを選択して、プロキシサーバー設定をバイパスできます。このオプションを使用すると、「管理設定」 で有効にしたプロキシサーバーをバイパスし、インターネット経由でCitrixロードバランサーディスカバリを直接実行できます。
      2. [REST APIを使用(デフォルトではPAM360はCLIコマンドを使って証明書を検出および取り込み)]オプションを選択した場合のみ、Citrixロードバランサ検出のプロキシサーバー設定のバイパスを選択できますので、注意してください。プロキシサーバーバイパスオプションは、スケジュール設定されたCitrixロードバランサ検出中にも、利用できます。
        certificate_ma_3.2
    4. 上記の3つの方法のいずれかで証明書が正常に検出され、PAM360の一元化された証明書リポジトリにインポートされます。「証明書」タブ→「証明書」で確認できます。
  5. ネットワーク内のFortiGate Firewallに展開されている証明書を検出するには、以下の手順に従います：
    1. 「種別」ドロップダウンから「FortiGate ファイアウォール」を選択します。
    2. 「FortiGate認証情報リスト」ドロップダウンから「FortiGate認証情報」を選択します。
    3. 「認証情報を管理」をクリックして認証情報を追加または削除します。表示されるポップアップで:
      1. 認証情報を追加するには、「追加」をクリックし、「認証情報名」、「サーバーIP」、および「APIキー」を入力します。
      2. 「認証情報を保存」をクリックして、新しいFortiGate Firewall認証情報を追加します。
      3. 認証情報を削除するには、削除する認証情報を選択し、「削除」をクリックします。
      4. 表示されるポップアップで「OK」をクリックして、選択した認証情報を削除します。
    4. 「ポート」番号を指定します。デフォルトでは、ポート番号は22です。
    5. 「パス」を入力し、「証明書リストのディスカバリ」をクリックします。開いたリストから、PAM360の一元化された証明書リポジトリに追加する必要な証明書を選択します。
    6. さらに、「プロキシ設定をバイパス」チェックボックスを有効にして、プロキシサーバー設定をバイパスできます。このオプションを使用すると、「管理設定」で有効にしたプロキシサーバーをバイパスし、インターネット経由でFortiGate Firewallディスカバリを直接実行できます。
    7. 「ディスカバリー」ボタンをクリックすると、証明書が正常に検出され、PAM360の一元化された証明書リポジトリにインポートされます。
      certificate_ma_3.3

4.共有ディレクトリパスからの証明書の検出

PAM360では、ネットワーク内の共有ディレクトリパスに保存されている証明書を検出し、安全な一元化リポジトリに統合できます。このオプションを使用すると、特定のフォルダーに保存されているすべての証明書ファイルを検出してから、すべての証明書をリポジトリーに追加するか、インポートする証明書を選択できます。検出プロセス中、PAM360は、パスで指定したフォルダのみをスキャンし、ターゲットマシンの他のいずれ藻スキャンしません。共有ディレクトリパスから証明書を検出してインポートするには、以下の手順に従います：

  1. [証明書]タブ → [ディスカバリー] → [共有されたパス]に移動します。[タイプ]ドロップダウンから[Windows]または[Linux / Mac OS]を選択します。
  2. Windowsでディスカバリを行うには、以下の手順に従います：
    1. 共有パスが存在するターゲットマシンのサーバー名を入力します。ローカルマシンからディレクトリパスを入力する場合は、このフィールドを空のままにします。
    2. [認証に PAM360 サービス アカウントの認証情報を使用する]を選択するか、ユーザー名とパスワードを入力します。
    3. ターゲットマシンのディレクトリパスを指定します。例：D:\sharedpath\subsharedpath。
      cert-manage-sharedpath
  3. Linux/Mac OSでディスカバリを行うには、以下の手順に従います：
    1. 共有パスが存在するターゲットマシンのサーバー名、ポート、およびユーザー名を入力します。 
    2. 認証の場合は、「パスワード」オプションを選択してパスワードを直接入力するか、 「鍵を選択」オプションを選択して、SSH鍵ベースの認証用のパスフレーズを含む秘密キーをアップロードします。
    3. ターゲットマシンのディレクトリパスを指定します。例：\home\test\shared。
      cert-manage-sharedpath2
  4. [証明書リストのディスカバリ]オプションをクリックして、指定したパスで使用可能なすべての証明書をフェッチします。このリストから、必要な証明書を選択し、「ディスカバリー」をクリックします。特定のファイルを選択しない場合、共有パスで見つかったすべての証明書ファイルがインポートされます。

ディスカバリのステータスを確認するには、「ディスカバリー監査」タブをクリックします。

メモ：

サイズが30KBを超える証明書ファイルは、この検出操作中にインポートされません。


5.Active Directoryのユーザーアカウントにマッピングされた証明書の検出

PAM360は、Active Directoryのユーザーアカウントにマッピングされた証明書の検出と管理に役立ちます。ADユーザー証明書の検出を実行するには、

  1. [証明書] タブ→ [ディスカバリー] → [ADユーザー証明書]に移動します。
  2. ドロップダウンから、ADの一部を形成する必要な「ドメイン名」を選択します。
  3. ドメインコントローラーのDNS名を指定します。このドメインコントローラーがプライマリドメインコントローラーになります。
  4. プライマリドメインコントローラーがダウンしている場合は、セカンダリドメインコントローラーを使用できます。セカンダリドメインコントローラがある場合は、それらのDNS名をコンマ区切り形式で指定します。利用可能なセカンダリドメインコントローラーの1つが使用されます。「SSLモード」を使用する場合は、ここで指定するDNS名がドメインコントローラーの証明書に指定されているCN（コモンネーム）と一致することを確認してください。
  5. 特定のドメイン内のユーザーアカウントの有効なユーザー認証情報（「ユーザー名」と「パスワード」）を入力します。次に、証明書の検出を実行するユーザー/ユーザーグループ/OUを入力し、[インポート]をクリックします。グループ/OU全体の証明書検出を実行するには、[グループ/OUツリーのインポートタイプ]を選択し、ドロップダウンリストから必要なグループを選択します。
  6. PAM360には、証明書検出の実行中に、ADユーザーをインポートするオプションもあります。「ADユーザーをインポート」チェックボックスを有効にして、証明書ディスカバリが実行されたADユーザーアカウントをPAM360にインポートします。

検出された証明書は、PAM360の証明書リポジトリに自動的に追加されます。

certificate_ma_ad

6.MS証明書ストアからの証明書の検出

PAM360では、MS証明書ストアとローカル認証局が発行したものから証明書を要求、取得、検出、結合、追跡および管理できます。MS証明書ストアおよびローカルCAから証明書をインポート/取得する前に、ドメイン管理者アカウントをPAM360のサービスログオンアカウントとして使用していることを確認します。

  1. 「証明書」タブ→「ディスカバリー」→「MS証明書ストア」に移動します。
  2. Microsoft CAのみによって発行された証明書を検出してインポートするには、ドロップダウンから「Microsoft Certificate Authority」オプションを選択します。このプロセスでは、以下のチェックボックスの選択を解除して、期限切れまたは失効した証明書を除外できます。
    certificate_ma_msca-1
  3. MS証明書ストアからすべての証明書を検出するには、ドロップダウンメニューから「証明書ストア」タイプを選択します。
    certificate_ma_msca
  4. チェックボックスを選択し、[認証に PAM360 サービス アカウントの認証情報を使用する]するか、Windows Domainコントローラーマシンのサーバー名とドメイン管理者認証情報等、その他の詳細を指定できます。
  5. [認証に PAM360 サービス アカウントの認証情報を使用する]を選択する場合、[IPアドレスの範囲]を選択し、開始IPと終了IPを記載して、証明書を検出できます。
  6. 証明書を検出してインポートする証明書ストア名を指定します。つまり、証明書のストア名を指定する際は、次の形式を使用します：\\server_name\store_name
    • server_name\Root （信頼されたルート認証局から証明書を検出する場合）
    • server_name\My （個人証明書を検出する場合）
  7. 「ストアを取得」をクリックして、Windowsドメインコントローラーで利用可能なストアのリストを取得し、検出する証明書ストアを選択することもできます。
  8. [ディスカバリー]をクリックします。検出された証明書は「証明書」タブで確認できます。
  9. 特定のMSCAによって発行された証明書を検出するには、ドロップダウンからタイプとして「Microsoft Certificate Authority」を選択し、「サーバー名」と必要な認証情報を入力して、「Microsoft CA」テキストボックスにMSCA名を入力します。テキストボックスは、PAM360 ＳerverがWindows Serverマシンにインストールされている場合のみ表示されますので、注意してください。
  10. 検出中に、それぞれのチェックボックスを選択することにより、期限切れの失効した証明書を含めることを選択できます。[日付フィルター]を選択し、日付範囲を入力して、指定された範囲に従って検出された証明書をフィルターします。証明書のテンプレートオプションを選択して、証明書テンプレートを選択します。各検出操作に、証明書テンプレート5個まで追加できます。このオプションは、特定のMSCAによって発行された証明書のスケジュールされた検出中にも使用できます。

    メモ：

    「証明書ストア」ディスカバリ中にターゲットサーバー名が指定されていない場合、「ストアを取得」オプションを選択すると、ローカルホストで利用可能なすべての証明書ストアが一覧表示されます。

    メモ：

    Microsoft証明書ストアの証明書またはローカルCAによって発行された証明書を管理するには、ドメイン管理者アカウントでPAM360を起動する必要があります。PAM360がドメインサービスアカウントを使用して実行される場合は、そのアカウントがローカル管理者グループに含まれていることを確認してください。

7.SSLエージェントを使用した証明書の検出

PAM360 Webインターフェースから直接、SSLエージェントを使用してネットワーク全体に展開された証明書を検出できます。この機能により、Windows SSLエージェントをターゲットシステムにダウンロードして展開できます。また、証明書をそれらのシステムから中央証明書リポジトリに、PAM360 Webインターフェイスから直接検出およびインポートできます。エージェントが展開されているサーバーは、安全なHTTPS接続を介してPAM360サーバーに接続されます。

SSLエージェントを介した証明書の検出は、次のシナリオで役立ちます：

  • ディスカバリ操作の実行に必要なターゲットサーバーの管理者認証情報がPAM360サーバーで利用できない場合。
  • PAM360が直接アクセスできないサーバー（たとえば非武装地帯（DMZ）内のサーバー）から証明書を検出する必要がある場合。そのような場合、エージェントは通常、中間ジャンプサーバーにインストールされ、ここはリモートサーバーへのアクセス許可が必要で、必要な情報をPAM360 Serverにパスする必要があります。

SSLエージェントを使用して証明書を検出するには、最初にエージェントをダウンロードしてインストールする必要があります。以下の手順に従います：

7.1 SSLエージェントを介した証明書の検出

  1. [証明書] タブ→ [ディスカバリー] → [エージェント]に移動します。
  2. 実行する検出の種類（ドメインベース、証明書ストア、またはMicrosoft証明機関によって発行された証明書）を選択します。
  3. ドロップダウンから必要なエージェントを選択して操作を実行します。
    cert-manage-agent-1
  4. エージェントがビジー状態の場合は、しばらく待ってから再試行してください。
  5. Microsoft CA検出の場合、期限切れ/失効した証明書を除外するか、提供されたフィルターを使用して発行日または証明書テンプレートに基づいて検出を実行するかを選択できます。
  6. 「ディスカバリー」をクリックします。

証明書は、エージェントがインストールされ、PAM360の証明書リポジトリにインポートされるサーバーから検出されます。

7.2 リモートマシンのディレクトリパスからの証明書の検出

PAM360では、PAM360サーバーから直接アクセスできないリモートマシンのディレクトリパスに保存されている証明書を検出できます。これはPAM360 SSLエージェントを介して実現されます。証明書が検出されたら、PAM360の中央リポジトリで結合できます。このオプションを使用すると、特定のフォルダーに保存されているすべての証明書ファイルを検出し、すべての証明書をリポジトリーに追加するか、必要なものだけを選択できます。ディスカバリプロセス中、SSLエージェントはパスで指定されたフォルダーのみをスキャンし、ターゲットマシン内の他の場所はスキャンしません。

リモートマシンのディレクトリパスから証明書を検出してインポートするには、以下の手順に従います：

  1. 「証明書」タブ→「ディスカバリー」→「エージェント」に移動し、ディスカバリタイプとして「ディレクトリ」を選択します。
  2. ドロップダウンメニューからエージェントを選択します。
  3. ターゲットマシンのディレクトリ「パス」（例：D:\shared path\subsharedpath）を指定します。
    cert-manage-agent-2
  4. 「証明書リストをディスカバリー」オプションをクリックして、指定したパスで使用可能なすべての証明書をフェッチします。
  5. 「タイムアウト」間隔を秒単位で入力します。
  6. このリストから、必要な証明書を選択し、「ディスカバリー」をクリックします。

検出のステータスを確認するには、「ディスカバリー監査」タブをクリックします。

メモ：

サイズが30KBを超える証明書ファイルは、この検出操作中にインポートされません。


8.AWS（ACMおよびIAM）でホストされている証明書の検出

PAM360では、次のAmazon Web Servicesでホストされている証明書を検出、インポートし、有効期限通知を設定できます：AWS Certificate Manager（ACM）およびAWS Identity and Access Management（IAM）。以下の手順に従って、ACM / IAMからPAM360に証明書を検出してインポートします。

  1. [証明書] タブ→ [ディスカバリー] → [AWS]の順に移動します。
  2. PAM360にAWS-IAMリソースを追加していない場合は、以下の手順に従います：
    1. [AWS認証情報を管理]をクリックして、[追加]をクリックします。
    2. 開いた「AWS認証情報を追加」ウィンドウで、「資格情報名、説明、アクセスキー」および「シークレットキー」を指定します。
    3. [ログインのテスト]オプションを使用して、ログインが成功したかどうかを確認します。ログインに成功すると通知されます
    4. 次に、[保存]をクリックします。認証情報は、正常にPAM360に保存されました。
    5. 次に、「証明書」タブ→「ディスカバリ」→「AWS」に移動し、ドロップダウンから適切な「AWS資格情報」を選択するか、「アクセスキー」と「シークレットキー」を手動で指定します。
      aws-1
  3. PAM360にAWS-IAMリソースをすでに追加している場合は、以下の手順に従います：
    1. アクセスキーと秘密鍵を手動で指定するか、アクセスキーと秘密鍵をPAM360で使用するかチェックします。
    2. アクセスキーと秘密鍵を制定するを選択した場合は、アクセスキーと秘密鍵を入力します。
    3. 「PAM360に保存されているアクセスキーとシークレットキーを使用」を選択した場合は、ドロップダウンから「リソース名」、「アクセスキー」、および「シークレットキー」を選択します。
  4. 証明書のインポート元となる必要な「AWSサービス」を選択します：ACMまたはIAM。
  5. ACMから証明書をインポートするには、AWSサービスでACMを選択し、サービスリージョンを選択します。
  6. [ディスカバリー]をクリックします。
  7. 選択したリージョン内のリソースから証明書が検出され、PAM360にインポートされます。
  8. 証明書をIAMからインポートするには、必要なAWSユーザー名を指定するか、 AWSユーザー名を一覧表示オプションを使って、ユーザー名を取り込みます。必要なユーザー名を選択し、[ディスカバリー]をクリックします。
  9. [サーバー証明書を含める]オプションをオンにして、対応するAWSユーザーのサーバー証明書をインポートすることもできます。

9.ManageEngine Mobile Device Manager Plusを使用した証明書の検出

PAM360は、ManageEngine Mobile Device Manager Plus（MDM）と統合されます。連携が完了すると、MDMサーバーを介して管理されている装置から証明書を検出してインポートし、PAM360リポジトリに保存できます。PAM360からMDM環境に一覧表示されているモバイル装置に証明書を展開することもできます。ManageEngine MDMを使用して証明書を検出する手順については、このドキュメントを参照してください。

10.スケジュールを介した証明書の自動検出

証明書ディスカバリを定期的に実行するようにスケジュールすることもできます。

  1. 「管理」タブ→「PKI管理」→「SSH/SSLスケジュール」に移動します。
  2. 「スケジュールを追加」ボタンをクリックします。
  3. スケジュール追加ウインドウで、スケジュールの名前を入力しスケジュールのタイプをSSLのディスカバリーとして選択します。
  4. SSL証明書を確認するために、開始IPアドレスと終了IPアドレス、および終了端末のポートを指定します。
  5. 繰り返しタイプ（毎時、毎日、毎週、毎月、または1回のみ）を選択します。選択したオプションに対応する開始時刻、日付、または曜日を設定します。
  6. 通知するユーザーのメールアドレスを入力します。電子メール設定は、 [サーバー設定] → [メールサーバー設定]タブから構成できます。
  7. 「保存」ボタンをクリックします。

新しいスケジュールの追加を確認するメッセージが表示されます。

11.ディスカバリ後の操作

11.1 一元化された証明書リポジトリ

手動で検出された証明書と、スケジュール設定されたディスカバリ操作を通じて検出された証明書を含む、検出されたすべての証明書は、PAM360の一元化されたリポジトリに自動的に追加されます。これらの証明書は、ユーザーインターフェースの「証明書」タブ→「証明書」で確認できます。

PAM360では、「コモンネーム、DNS名、発行者、鍵のサイズ、署名アルゴリズム、説明」、追加フィールド、などを使用して証明書を検索することもできます。テーブルヘッダーの右隅にある「検索アイコン」をクリックし、表示されるテキストボックスに検索語句を入力します。

certificate_ma_4

11.2 証明書の再検出

ビルド5300以降、PAM360では、前回のディスカバリ操作時に入力したサーバーの詳細を使用して、同じソースから証明書を再検出できます。「証明書」タブに移動し、必要な証明書を選択して、「詳細」→「再ディスカバリー」をクリックします。

再検出操作はすぐに開始されます。検出ステータスは、ディスカバリー監査ページで追跡できます。エージェントベースのディスカバリを正しく機能させるには、ディスカバリ操作を開始する前にSSLエージェントをバージョン6000にアップグレードしてください。

11.3 秘密鍵/キーストアファイルのエクスポート

PAM360では、証明書リポジトリに保存されている証明書の秘密鍵/キーストアファイルを識別してエクスポートできます。PKCS12 / PFXやPEM形式などの他の形式で証明書をエクスポートすることもできます。PAM360を使用して秘密鍵が管理されている証明書の横にあるキーストアアイコンをクリックします。秘密鍵または証明書ファイルをエクスポートするには、以下の手順に従います：

  1. [証明書] タブ→ [証明書]に移動します。
  2. 秘密鍵をエクスポートする証明書の横にある「キーストア」アイコンをクリックします。
  3. ドロップダウンから、要件に応じて次のオプションを選択します：
    1. キーストア/ JKSのエクスポート：選択した証明書のキーストアファイルがダウンロードされます。
    2. PKCS12 / PFXのエクスポート：選択した証明書がPFX形式でダウンロードされます。
    3. PEMのエクスポート：選択した証明書は、PEM（Privacy Enhanced Mail）形式でダウンロードされます。
    4. 秘密鍵をエクスポート：選択した証明書の秘密キーがダウンロードされます。
  4. 対応する証明書が選択した形式でダウンロードされます。

11.4 証明書バージョンの管理

同じドメインの異なるエンドサーバーで異なる証明書を使用しなければならない状況が発生する場合があります。このような状況では、これらの証明書が共通のドメインを表している場合でも、これらすべての証明書の使用状況と有効期限を個別に追跡する必要があります。このようなさまざまな証明書バージョンを手動で監視することは、困難でエラーが発生しやすくなります。PAM360では、単一ウインドウから、各種の証明書バージョンの使用状況と有効期限を同時に追跡および管理できます。証明書バージョンを追跡するには、

  1. 「証明書」タブに移動します。
  2. 必要な証明書に対応する、テーブルビューの右隅にある「証明書履歴」アイコンをクリックします。
  3. 開いた証明書履歴ウインドウで、管理する証明書バージョンを選択し、証明書設定アイコン（人型アイコン）をクリックします。「証明書の管理」をクリックします。
  4. 特定の証明書バージョンは、管理用に設定され、PAM360は、そのバージョンの使用状況と有効期限の追跡を個別に開始します。 
  5. 管理するすべての証明書バージョンに対して同じ手順を繰り返します。

11.5 最新の証明書バージョンによるサーバーの更新

ワイルドカード証明書または複数のサーバーに展開された単一の証明書の場合、証明書が展開されているサーバーを追跡し、最新バージョンの証明書が使用されているかどうかも確認する必要があります。PAM360では、以下が可能になります。.

  1. [証明書] タブ→ [証明書]に移動します。
  2. 必要な証明書に対応する「証明書履歴」アイコンをクリックします。
  3. ウィンドウが開き、証明書のさまざまなバージョンが一覧表示されます。証明書の最新バージョンがメイン証明書として設定されていることを確認してください。最新バージョンが使用されていない場合は、必要なバージョンの横にある「証明書履歴」アイコンをクリックし、そのバージョンの証明書をPAM360リポジトリのメイン証明書として設定します。
  4. 再度「証明書」タブ→「証明書」に移動し、必要な証明書に対応する「Multiple Servers」アイコンをクリックします。
  5. ウィンドウが開き、証明書が展開されているサーバーと、IPアドレス、ポート、証明書の有効性などの他の情報が一覧表示されます。
  6. 一覧に表示されたサーバーのいずれかで古いバージョンまたは期限切れバージョンの証明書が使用されている場合は、直ちに最新バージョンに更新します。サーバーを選択し、「展開」をクリックします。展開の詳細な手順については、こちらを参照してください。
  7. 必要なサーバーに対応する[編集]アイコンをクリックし、サーバー詳細を修正します。
  8. [追加]をクリックして、新しいサーバーを追加します。表示されるポップアップで、「DNS名、IPアドレス」および「ポート」を指定し、「保存」をクリックします。
    certificate_ma_5
  9. 必要なサーバーに対応する[編集]アイコンをクリックし、サーバー詳細を修正します。
  10. 証明書を選択して、[ステータスの確認]をクリックし、証明書の同期ステータスをチェックします。

また、該当する証明書を選択して「詳細」ドロップダウンをクリックすると、その証明書に関する詳細を編集したり、不要な証明書を削除したりできます。