Horizon Universal Console の「ポッド証明書のアップロード」ワークフローを実行して Horizon Cloud ポッドのマネージャ仮想マシンで SSL 証明書を構成するための前提条件

[ポッド証明書のアップロード] ワークフローを実行する前に、次の前提条件を満たしていることを確認します。[ポッド証明書のアップロード] ウィンドウの条件を満たし、ワークフローを正常に完了するには、以下で説明する証明書関連のファイルが必要です。

注意: これらの証明書に SHA-1 ハッシュ関数を使用することはサポートされていません。

DNS サーバ

DNS サーバで、完全修飾ドメイン名 (FQDN) を、ポッドの詳細ページに表示され、 ポッド マネージャのロード バランサの IP アドレス とラベル付けされた IP アドレスにマッピングします。[キャパシティ] ページからポッドの詳細ページに移動し、ポッドの名前をクリックします。

ポッド マネージャ ロード バランサの IP アドレス ラベルの横に表示される IP アドレスの意味については、主にシングルポッド ブローカ環境のポッドを備えた Access Connector によって使用される、Horizon Cloud ポッドのマネージャ仮想マシンでの SSL 証明書の構成の概要を参照してください。

この FQDN は、次のセクションで説明するように、SSL 証明書ファイルを取得するときに使用します。

SSL 証明書ファイル

コンソールの ポッド証明書のアップロード ウィンドウでは、相互に関連する 3 つの異なるファイルを指定する必要があります。

次のスクリーンショットは、3 つのファイルを指定するときに [ポッド証明書のアップロード] ウィンドウがどのように表示されるかを示しています。

次のリストでは、上記のように、コンソール ウィンドウで使用されるラベルに関連するファイルについて説明します。

• CA 証明書ファイル (CA.crt)

  この CA.crt ファイルは、認証局 (CA) によって発行されます。このファイルは、以下で説明する他の 2 つのファイルの信頼性を確認するために使用されます。

• SSL 証明書ファイル (SSL.crt)

  このファイルは、RSA 暗号化アルゴリズムを使用したデータの暗号化に使用されるパブリック キー ファイルです。ポッド マネージャ インスタンスは、シングルポッド ブローカとポッド マネージャと通信する Access Connector を使用するシナリオで、この SSL.crt ファイルを使用してポッド マネージャ インスタンスによって送信されるデータを暗号化します。Horizon Cloud ポッドのマネージャ仮想マシンでの SSL 証明書の構成の概要を参照してください。

• SSL キー ファイル (.key)

  このファイルは、RSA 暗号化アルゴリズムを使用して、上記の SSL.crt パブリック キー ファイルによって暗号化されたデータの復号化に使用されるプライベート キー ファイルです。

要件

ファイルが次の要件を満たしていることを確認します。

• 有効な信頼された SSL 証明書は、DNS サーバでポッド マネージャのロード バランサの IP アドレスにマッピングした FQDN に基づいています。

• CA 証明書ファイル (CA.crt) と SSL 証明書ファイル (SSL.crt) は PEM 形式です。PEM 形式とは、X.509 証明書を BASE64 でエンコードした DER 形式です。両方とも .crt 拡張子が必要です。

  次のブロックは、ファイルの内容がどのように表示されるかの例です。

  
  -----BEGIN CERTIFICATE----- 
  MIIFejCCA2KgAwIBAgIDAIi/MA0GCSqG 
  ............... 
  -----END CERTIFICATE-----
  
  

• プライベート キー ファイル (.key) にパスワードまたはパスフレーズが関連付けられていない。次のブロックは、ファイルの内容がどのように表示されるかの例です。

  
  -----BEGIN RSA PRIVATE KEY -----
  MIIEpQIBAAKCAQEAoJmURboiFut+R34CNFibb9fjtI+cpDarUzqe8oGKFzEE/jmj
  ...................... 
  -----END RSA PRIVATE KEY-----
  
  

• 証明書ファイルでは、SHA-1 より新しいハッシュ関数を使用する必要があります。ポッド マネージャ インスタンスでの SHA-1 証明書の使用はサポートされていません。

• CA 証明書ファイルに関連する特別な考慮事項の次のセクションを確認し、CA 証明書ファイルがチェーン ルート CA タイプの場合は、説明されている要件が満たされていることを確認します。

CA 証明書ファイル - 特別な考慮事項

CA 証明書ファイルは、信頼できる認証局 (CA) から発行されている必要があります。

その結果、 CA.crt ファイルの生成は、使用する CA によって異なります。たとえば、一般的な CA には、DigiCert、Verisign、Google などがあります。

使用する CA に応じて、次のいずれかのタイプが提供されます。

• 単一ルート CA 証明書

  このタイプでは、CA が証明書に直接署名します。

• チェーン ルート CA 証明書

  このタイプでは、ルート認証局とともに 1 つ以上のサードパーティの中間認証局が関与します。

CA 証明書ファイルに 1 つ以上の中間認証局が含まれている場合は、 CA.crt ファイルに中間証明書とルート CA が含まれている必要があります。ファイルは、先頭の中間証明書で始まり、ファイルの下部にルート証明書が含まれている必要があります。

次のステップ

ポッドのマネージャ仮想マシンで SSL 証明書を構成する手順については 、Access Connector アプライアンスを Microsoft Azure の Horizon Cloud ポッドと統合して、Connector がポッド マネージャ仮想マシンへの接続を信頼できるようにする場合など、ポッド マネージャ仮想マシンで SSL 証明書を直接構成するを参照してください。

ポッドのマニフェストが 3139.x より低い場合は、手順を実行する前に Horizon Cloud のサポートにお問い合わせください。不正な形式または不適切な形式の SSL 証明書ファイルをアップロードしてポッドに保存すると、ポッドへのアクセスが失われる可能性があり、サービスの デフォルトのバックアップとリストア には 3139.x 以降のマニフェストが必要であるため、ポッド証明書のアップロード ワークフローを実行する前に、ポッドのマニフェストが 3139.x 未満の場合は、Horizon Cloud サポートに問い合わせてサポートを受けることが重要です。