TLS/SSL 証明書

Unified Access Gateway アプライアンスでは TLS/SSL 証明書を構成する必要があります。クライアントが Unified Access Gateway アプライアンスに接続するには、TLS/SSL が必要です。クライアントに面した Unified Access Gateway アプライアンスと、TLS/SSL 接続を終了させる中間サーバには、TLS/SSL サーバ証明書が必要です。

TLS/SSL サーバ証明書は、認証局 (CA) によって署名されています。CA は、証明書とその作成者の身元を保証する信頼された機関です。証明書が信頼された CA によって署名されている場合は、証明書の検証を求めるメッセージは表示されず、追加の構成をしなくてもシン クライアント デバイスから接続できます。

**注：**Unified Access Gateway アプライアンスに構成する TLS/SSL 証明書は、Horizon および Web リバース プロキシのみに適用されます。

デフォルトの TLS/SSL サーバ証明書は、Unified Access Gateway アプライアンスのデプロイ時に生成されます。本番環境では、デフォルト証明書をできるだけ早く置き換えることをお勧めします。デフォルト証明書は、信頼された CA によって署名されていません。デフォルト証明書は、本番環境以外でのみ使用してください。

TLS サーバに RSA キーベースの証明書を使用することをお勧めします。証明書とプライベート キーは、PKCS12/PFX キーストアとして、または PEM 形式の個別のプライベート キーおよび証明書チェーン ファイルとして提供できます。

PKCS12/PFX を PEM 形式の証明書チェーン ファイルに変換するには、次の openssl コマンドを実行します。

openssl pkcs12 -in mycaservercert.pfx -nokeys -out mycaservercert.pem

PKCS12/PFX を PEM 形式のプライベート キー ファイルに変換するには、次の openssl コマンドを実行します。

openssl pkcs12 -in mycaservercert.pfx -nodes -nocerts -out mycaservercertkey.pem

PEM 形式で証明書とキーを指定する場合、プライベート キーは PKCS1 形式にする必要があります。プライベート キーを PKCS8 から PKCS1 に変換する（「BEGIN PRIVATE KEY」形式から「BEGIN RSA PRIVATE KEY」形式に変換する）には、次の openssl コマンドを実行します。

openssl rsa -in mycaservercertkey.pem -check -out mycaservercertkeyrsa.pem

管理者および TLS 証明書の変更

Unified Access Gateway (UAG) アプライアンスをデプロイする場合、管理者は INI 設定で適切なパラメータを指定して、管理インターフェイスとインターネット インターフェイスの証明書を構成できます。構成された証明書は、管理ユーザー インターフェイスの [TLS サーバ証明書設定] に表示されます。デプロイ中に証明書が指定されていない場合は、管理インターフェイスとインターネット インターフェイスの両方に自己署名証明書が自動的に生成されます。

これらの証明書に関連付けられているプライベート キーと証明書チェーンを置き換えることができます。

プライベート キーと証明書を置き換えるには、次の手順を実行します。

1. UAG 管理コンソールの [手動構成] セクションで、[選択] をクリックします。
2. [詳細設定] セクションで、[TLS サーバ証明書設定] ギアボックス アイコンをクリックします。構成済みの証明書のリストが表示されます。
3. 置き換える証明書に対して [編集] をクリックします。
4. ドロップダウン リストから [証明書タイプ] を選択します。
5. [PEM] の場合は、[プライベート キー] と [証明書チェーン] を PEM 形式で選択します。
6. [PFX] の場合は、以下の詳細を入力します。
   • [選択] をクリックして PFX 証明書をアップロードします。
   • [PFX パスワード] を入力します。
   • アップロードされた PFX に複数の証明書がある場合は、[エイリアス] を入力して、使用する証明書を指定します。
7. [保存] をクリックします。

複数の TLS 証明書/インターネット インターフェイスの追加

1. UAG 管理コンソールの [手動構成] セクションで、[選択] をクリックします。
2. [詳細設定] セクションで、[TLS サーバ証明書設定] ギアボックス アイコンをクリックします。
3. [インターネット証明書の追加] ボタンをクリックします。[インターネット TLS サーバ証明書設定] ウィンドウが表示されます。

4. [保存] をクリックします。

INI サンプルとガイドライン

INI 設定の次のセクションを使用して、デプロイ中に複数の TLS 証明書を構成します。

[SSLCert1]
identifier=cert1
defaultSSL=true
pemPrivKey=resources\\test-key1.pem
pemCerts=resources\\test-chain1.pem

[SSLCert2]
identifier=cert2
defaultSSL=false
pemPrivKey=resources\\test-key2.pem
pemCerts=resources\\test-chain2.pem

[SSLCert3]
identifier=cert3
defaultSSL=false
pfxCerts=resources\\test-cert1.pem
pfxCertAlias=

PowerShell の構成とデプロイの問題を回避するには、次のガイドラインを使用します。

• 複数の証明書を追加する場合は、順番に追加する必要があります。たとえば、3 つの証明書を追加する場合、セクションは「[SSLCert1], [SSLCert2], [SSLCert3]」のように表示されます。セクションの不足や順序の誤りによって、構成エラーが発生する可能性があります。
• PowerShell デプロイで個々の証明書を管理するには、各証明書セクションに identifier パラメータを含める必要があります。
• いずれか 1 つの証明書に対し、defaultSSL=true を指定してデフォルトとして設定する必要があります。
• 複数の証明書をデフォルトとして設定することはできません。

既存の「デフォルト」の TLS 証明書/インターネット インターフェイスの置き換え

1. [TLS サーバ証明書設定] ウィンドウで、「デフォルト」としてマークする証明書の [編集] をクリックします。
2. [デフォルトとしてマーク] トグルをオンにします。
3. [保存] をクリックします。