ApsaraDB RDS:クライアントCA証明書の設定

手順1: クライアント証明書の作成

この例では、CentOSが使用されます。 Windowsオペレーティングシステムを使用している場合は、CentOSで使用しているのと同じopenssl構成を使用して、opensslコマンドを構成できます。

1. 自己署名証明書と自己署名証明書の秘密鍵を作成します。 自己署名証明書は、client-ca.crtという名前のファイルに保存されます。 秘密鍵はclient-ca.keyという名前のファイルに保存されます。

   openssl req -new -x509 -days 3650 -nodes -out client-ca.crt -keyout client-ca.key -subj "/CN=root-client-ca"

2. 証明書署名要求 (CSR) とクライアント証明書の秘密鍵を作成します。 CSRはクライアント証明書を要求するために使用され、client.csrという名前のファイルに保存されます。 秘密鍵は、client.keyという名前のファイルに保存されます。

   openssl req -new -nodes -text -out client.csr -keyout client.key -subj "/CN=<クライアントからのログオンに使用されるユーザー名>"

   説明

   上記のコマンドでは、CNパラメーターは-subjパラメーターの後に続きます。 CNパラメーターは、クライアントからRDSインスタンスに接続するために使用されるアカウントのユーザー名に設定する必要があります。

3. クライアント証明書を作成します。 クライアント証明書はclient.crtという名前のファイルに保存されます。

   openssl x509 -req -in client.csr -text -days 365 -CA client-ca.crt -CAkey client-ca.key -CAcreateserial -out client.crt

# ls
client.crt client.csr client.key 

手順2: クライアントCA証明書の設定

1. [インスタンス] ページに移動します。 上部のナビゲーションバーで、RDS インスタンスが存在するリージョンを選択します。 次に、RDSインスタンスを見つけ、インスタンスのIDをクリックします。

2. 表示されるページの左側のナビゲーションウィンドウで、[データセキュリティ] をクリックします。 表示されるページで、[SSL] タブをクリックします。

3. [クライアントCA証明書の有効化] をクリックします。

   

4. 表示されるダイアログボックスで、client-ca.crtファイルの内容を [公開鍵] フィールドにコピーします。 次に、[OK] をクリックします。

   説明

   client-ca.crtファイルの取得方法の詳細については、「手順1: クライアント証明書の作成」をご参照ください。 ----- BEGIN CERTIFICATE ----- から ----- END CERTIFICATE ----- までのすべてのコンテンツがこのフィールドにコピーされていることを確認します。

   

手順3: クライアントからRDSインスタンスに接続

SSL経由でクライアントからRDSインスタンスに接続できます。 詳細については、「SSL経由でApsaraDB RDS For PostgreSQLインスタンスに接続する」をご参照ください。

ステップ4: (オプション) CRLファイルの設定

クライアント証明書が不要になった場合は、クライアント証明書を取り消すことができます。 クライアント証明書が取り消された後、RDSインスタンスはクライアントからのアクセス要求を拒否します。

1. 構成ファイルを準備する

   タッチ /etc/pki/CA/index.txt
   エコー1000 > /etc/pki/CA/crlnumber 

   説明

   Windowsオペレーティングシステムを使用する場合は、次の操作を実行する必要があります。

   1. OpenSSL\binディレクトリにCAフォルダを作成します。

   2. CAフォルダにindex.txtという名前のファイルを作成します。

   3. PostgreSQL CLIを使用して次のコマンドを実行します。

      echo 1000 > <OpenSSLのインストールディレクトリ>\bin\CA\crlnumber

   4. C:\Program Files\Common Files\SSL\ でopenssl.cn fファイルを変更します。

      # [CA_default] 設定項目を見つけます。
      
      dir = "<OpenSSLのインストールディレクトリ >\\ bin\\CA" 

2. client.crtファイルに含まれているクライアント証明書を取り消します。

   openssl ca -revoke client.crt -cert client-ca.crt -keyfile client-ca.key

   説明

   上記のコマンドには、自己署名証明書と自己署名証明書の秘密鍵が必要です。 自己署名証明書はclient-ca.crtファイルに含まれ、自己署名証明書の秘密鍵はclient-ca.keyファイルに含まれる。 詳細については、「手順1: クライアント証明書の作成」をご参照ください。

3. CRLを作成します。 CRLは、client.crlという名前のファイルに保存されます。

   openssl ca -gencrl -out client.crl -cert ca.crt -keyfile ca.key

4. 表示されるページの左側のナビゲーションウィンドウで、[データセキュリティ] をクリックします。 表示されるページで、[SSL] タブをクリックします。

5. [証明書失効ファイルの有効化] をクリックします。

   

6. 表示されるダイアログボックスで、client.crlファイルの内容を [Revocation file] フィールドにコピーします。

   

手順5: (オプション) クライアント証明書の更新