第 1 世代テナント - 証明書ファイルを第 1 世代 Horizon Cloud ポッドのデプロイに必要な PEM 形式に変換する

第 1 世代ポッドの Unified Access Gateway 機能には、クライアント接続用の SSL が必要です。ポッドに Unified Access Gateway 構成を設定する場合、ポッド デプロイ ウィザードでは、SSL サーバ証明書チェーンをポッドの Unified Access Gateway 構成に提供するために PEM 形式のファイルが必要です。1 つの PEM ファイルに、SSL サーバ証明書、必要な中間 CA 証明書、ルート CA 証明書、プライベート キーを含む完全な証明書チェーンが含まれている必要があります。

重要: この情報は、第 1 世代の制御プレーンで第 1 世代のテナント環境にアクセスできる場合にのみ適用されます。KB-92424 で説明されているように、第 1 世代の制御プレーンは提供終了 (EOA) となりました。詳細については、その記事を参照してください。

Unified Access Gateway で使用される証明書タイプの詳細については、 Unified Access Gateway 製品ドキュメントの「正しい証明書タイプの選択」というタイトルのトピックを参照してください。

ゲートウェイ設定のポッド デプロイ ウィザードの手順で、証明書ファイルをアップロードします。デプロイ プロセス中に、このファイルはデプロイされた Unified Access Gateway インスタンスの構成に送信されます。ウィザード インターフェイスでアップロード手順を実行すると、ウィザードはアップロードしたファイルが次の要件を満たしていることを確認します。

• ファイルは PEM 形式として解析できます。
• 有効な証明書チェーンとプライベート キーが含まれています。
• そのプライベート キーは、サーバ証明書のパブリック キーと一致します。

証明書情報用の PEM 形式のファイルがない場合は、証明書情報を上記の要件を満たすファイルに変換する必要があります。PEM 形式以外のファイルを PEM 形式に変換し、完全な証明書チェーンとプライベート キーを含む単一の PEM ファイルを作成する必要があります。また、ファイルの解析中にウィザードで問題が発生しないように、余分な情報が表示されている場合はファイルを編集して削除する必要があります。手順の概要は次のとおりです。

1. 証明書情報を PEM 形式に変換し、証明書チェーンとプライベート キーを含む単一の PEM ファイルを作成します。
2. ファイルを編集して、 ----BEGIN CERTIFICATE---- と -----END CERTIFICATE----- の各マーカー間の証明書情報の外部に余分な証明書情報がある場合は削除します。

次の手順のコード例では、ルート CA 証明書、中間 CA 証明書の情報、およびプライベート キーを含む mycaservercert.pfx という名前のファイルで開始することを前提としています。

前提条件

• 証明書ファイルがあることを確認します。ファイルは、PKCS#12(.p12 または .pfx)形式、または Java JKS または JCEKS 形式にすることができます。

  重要: 証明書チェーン内のすべての証明書には、有効期間が設定されている必要があります。Unified Access Gateway 仮想マシンでは、中間証明書を含むチェーン内のすべての証明書の有効期間が設定されている必要があります。チェーン内のいずれかの証明書が期限切れの場合、後で証明書が Unified Access Gateway 構成にアップロードされるときに予期しない障害が発生する可能性があります。

• 証明書の変換に使用できる openssl コマンドライン ツールについて理解しておきます。ドキュメントについては、OpenSSL ソフトウェアを入手したベンダーのサイトを確認するか、 openssl.org マニュアル ページを見つけます。

• 証明書が Java JKS または JCEKS 形式の場合、Java keytool コマンドライン ツールについて理解し、.pem ファイルに変換する前に、まず証明書を .p12 または .pks 形式に変換してください。

手順

1. 証明書が Java JKS または JCEKS 形式の場合、 keytool を使用して証明書を .p12 または .pks 形式に変換します。

   重要: この変換中は、ソースとターゲットで同じパスワードを使用します。

2. 証明書が PKCS#12(.p12 または .pfx)形式の場合、または証明書を PKCS#12 形式に変換した後は、 openssl を使用して証明書を .pem ファイルに変換します。

   たとえば、証明書の名前が mycaservercert.pfx の場合、次のコマンドを使用して証明書を変換できます。

   
   openssl pkcs12 -in mycaservercert.pfx -nokeys -out mycaservercertchain.pem
   openssl pkcs12 -in mycaservercert.pfx -nodes -nocerts -out mycaservercertkey.pem
   
   

   上記の最初の行は、 mycaservercert.pfx で証明書を取得し、PEM 形式で mycaservercertchain.pemに書き込みます。上記の 2 行目は、 mycaservercert.pfx からプライベート キーを取得し、PEM 形式で に書き込みます mycaservercertkey.pem

3. プライベート キーが RSA 形式でない場合は、プライベート キーを RSA プライベート キー形式に変換します。

   Unified Access Gateway インスタンスには、RSA プライベート キー形式が必要です。この手順を実行する必要があるかどうかを確認するには、PEM ファイルを確認し、プライベート キー情報が で始まるかどうかを確認します。

   -----BEGIN PRIVATE KEY-----
   

   プライベート キーがこの行で始まる場合は、プライベート キーを RSA 形式に変換する必要があります。プライベート キーが -----BEGIN RSA PRIVATE KEY----- で始まる場合は、この手順を実行してプライベート キーを変換する必要はありません。

   プライベート キーを RSA 形式に変換するには、次のコマンドを実行します。

   openssl rsa -in mycaservercertkey.pem -check -out mycaservercertkeyrsa.pem
   

   PEM ファイルのプライベート キーは RSA 形式(-----BEGIN RSA PRIVATE KEY----- および -----END RSA PRIVATE KEY-----)になりました。

4. 証明書チェーンの PEM ファイルとプライベート キーの PEM ファイルの情報を組み合わせて、1 つの PEM ファイルを作成します。

   次の例は、 mycaservercertkeyrsa.pem の内容が最初に(RSA 形式のプライベート キー)、その後にプライマリ SSL 証明書である mycaservercertchain.pem の内容、1 つの中間証明書、ルート証明書の順で続くサンプルを示しています。

   
   -----BEGIN CERTIFICATE-----
   .... (your primary SSL certificate)
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   .... (the intermediate CA certificate)
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   .... (the trusted root certificate)
   -----END CERTIFICATE-----
   -----BEGIN RSA PRIVATE KEY-----
   .... (your server key from mycaservercertkeyrsa.pem)
   -----END RSA PRIVATE KEY-----
   

   メモ: サーバ証明書が最初で、次に中間証明書、そして信頼されたルート証明書が続きます。

5. BEGINマーカーとENDマーカーの間に不要な証明書エントリまたは無関係な情報がある場合は、ファイルを編集して削除します。

タスクの結果

作成される PEM ファイルは、ポッド デプロイ ウィザードの要件を満たします。