Skip to main content
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

StorageGRID でクライアント証明書を設定

PDF

クライアント証明書を使用すると、承認された外部クライアントが StorageGRID の Prometheus データベースにアクセスできるようになり、外部ツールが StorageGRID を監視するための安全な方法が提供されます。

外部監視ツールを使用して StorageGRID にアクセスする必要がある場合は、Grid Manager を使用してクライアント証明書をアップロードまたは生成し、証明書情報を外部ツールにコピーする必要があります。

"セキュリティ証明書を管理する"および"カスタムサーバー証明書の設定"を参照してください。

メモ サーバー証明書の不具合によって運用が中断されないようにするため、このサーバー証明書の有効期限が近づくと、「証明書」ページで設定されているクライアント証明書の有効期限切れアラートがトリガーされます。必要に応じて、Configuration > Security > Certificates を選択し、「クライアント」タブでクライアント証明書の有効期限を確認することで、現在の証明書の有効期限を確認できます。
メモ 特別に構成されたアプライアンスノードのデータを保護するためにキー管理サーバー（KMS）を使用している場合は、"KMSクライアント証明書のアップロード"に関する詳細情報を参照してください。
開始する前に

  • ルートアクセス権限があります。

  • "対応ウェブブラウザ" を使用して Grid Manager にサインインしています。

  • クライアント証明書を設定するには：

    • 管理ノードのIPアドレスまたはドメイン名を持っています。

    • StorageGRID の管理インターフェイス証明書を設定済みの場合は、管理インターフェイス証明書の設定に使用した CA、クライアント証明書、および秘密鍵が必要です。

    • 独自の証明書をアップロードするには、証明書の秘密鍵がローカルコンピュータに保存されている必要があります。

    • 秘密鍵は、作成時に保存または記録されていなければなりません。元の秘密鍵をお持ちでない場合は、新しい秘密鍵を作成する必要があります。

  • クライアント証明書を編集するには：

    • 管理ノードのIPアドレスまたはドメイン名を持っています。

    • 独自の証明書または新しい証明書をアップロードするには、秘密鍵、クライアント証明書、および CA （使用する場合）がローカルコンピュータで使用可能である必要があります。

クライアント証明書を追加する

クライアント証明書を追加するには、以下のいずれかの手順を使用してください。

管理インターフェイス証明書は既に設定されています。

管理インターフェイス証明書が、顧客から提供された CA、クライアント証明書、および秘密鍵を使用してすでに構成されている場合に、クライアント証明書を追加するにはこの手順を使用します。

手順

  1. Grid Manager で、Configuration > Security > Certificates を選択し、Client タブを選択します。

  2. *追加*を選択します。

  3. 証明書名を入力してください。

  4. 外部監視ツールを使用して Prometheus メトリクスにアクセスするには、*Prometheusを許可する*を選択してください。

  5. *続行*を選択します。

  6. 「証明書の添付」ステップでは、管理インターフェイス証明書をアップロードします。

    1. 「証明書をアップロード」を選択します。

    2. 「参照」を選択して、管理インターフェイス証明書ファイル(.pem）を選択します。

      • 「クライアント証明書の詳細」を選択すると、証明書のメタデータと証明書 PEM が表示されます。

      • 証明書の内容をコピーして別の場所に貼り付けるには、*証明書のPEMをコピー*を選択してください。

    3. 証明書をグリッドマネージャーに保存するには、*作成*を選択します。

      新しい証明書は「クライアント」タブに表示されます。

  7. 外部監視ツールの設定（Grafanaなど）。

CAが発行したクライアント証明書

管理インターフェイス証明書が設定されておらず、CAが発行したクライアント証明書と秘密鍵を使用する Prometheus 用のクライアント証明書を追加する予定がある場合は、この手順を使用して管理者クライアント証明書を追加します。

手順

  1. 以下の手順を実行してください"管理インターフェイス証明書を設定する"。

  2. Grid Manager で、Configuration > Security > Certificates を選択し、Client タブを選択します。

  3. *追加*を選択します。

  4. 証明書名を入力してください。

  5. 外部監視ツールを使用して Prometheus メトリクスにアクセスするには、*Prometheusを許可する*を選択してください。

  6. *続行*を選択します。

  7. *証明書の添付*手順では、クライアント証明書、秘密鍵、およびCAバンドルファイルをアップロードしてください。

    1. 「証明書をアップロード」を選択します。

    2. 「参照」を選択し、クライアント証明書、秘密鍵、およびCAバンドルファイルを選択します (.pem）。

      • 「クライアント証明書の詳細」を選択すると、証明書のメタデータと証明書 PEM が表示されます。

      • 証明書の内容をコピーして別の場所に貼り付けるには、*証明書のPEMをコピー*を選択してください。

    3. 証明書をグリッドマネージャーに保存するには、*作成*を選択します。

      新しい証明書は「クライアント」タブに表示されます。

  8. 外部監視ツールの設定（Grafanaなど）。

グリッドマネージャーから生成された証明書

管理インターフェイス証明書が設定されておらず、Grid Manager の証明書生成機能を使用して Prometheus 用のクライアント証明書を追加する予定がある場合は、この手順を使用して管理者クライアント証明書を追加してください。

手順

  1. Grid Manager で、Configuration > Security > Certificates を選択し、Client タブを選択します。

  2. *追加*を選択します。

  3. 証明書名を入力してください。

  4. 外部監視ツールを使用して Prometheus メトリクスにアクセスするには、*Prometheusを許可する*を選択してください。

  5. *続行*を選択します。

  6. 「証明書を添付する」手順では、「証明書を生成する」を選択します。

  7. 証明書情報を指定します：

    • 件名（オプション）：証明書所有者の X.509 サブジェクトまたは識別名（DN）。

    • 有効日数：生成された証明書が、生成された時点から有効となる日数。

    • キー使用拡張機能の追加：選択した場合（デフォルトかつ推奨）、キー使用と拡張キー使用拡張機能が生成された証明書に追加されます。

      これらの拡張機能は、証明書に含まれる鍵の目的を定義します。

    メモ 証明書にこれらの拡張機能が含まれている場合に、古いクライアントで接続の問題が発生しない限り、このチェックボックスは選択したままにしてください。

  8. * Generate * を選択します。

  9. *クライアント証明書の詳細*を選択すると、証明書のメタデータと証明書のPEMが表示されます。

    ヒント ダイアログを閉じると、証明書の秘密鍵を表示できなくなります。キーを安全な場所にコピーまたはダウンロードしてください。

    • 証明書の内容をコピーして別の場所に貼り付けるには、*証明書のPEMをコピー*を選択してください。

    • 証明書ファイルを保存するには、*証明書をダウンロード*を選択してください。

      証明書ファイル名とダウンロード場所を指定してください。拡張子 `.pem`を付けてファイルを保存します。

    例： storagegrid_certificate.pem

    • 証明書の秘密鍵をコピーして別の場所に貼り付けるには、「秘密鍵をコピー」を選択してください。

    • 秘密鍵をファイルとして保存するには、*秘密鍵をダウンロード*を選択してください。

      秘密鍵ファイル名とダウンロード場所を指定してください。

  10. 証明書をグリッドマネージャーに保存するには、*作成*を選択します。

    新しい証明書は「クライアント」タブに表示されます。

  11. Grid Manager で、Configuration > Security > Certificates を選択し、Global タブを選択します。

  12. 「管理インターフェイス証明書」を選択します。

  13. 「カスタム証明書を使用する」を選択します。

  14. クライアント証明書の詳細 のステップから certificate.pem および private_key.pem ファイルをアップロードします。CA バンドルをアップロードする必要はありません。

    1. 「証明書をアップロード」を選択し、「続行」を選択します。

    2. 各証明書ファイルをアップロードします (.pem）。

    3. 証明書を Grid Manager に保存するには、*保存*を選択します。

      新しい証明書は、管理インターフェイスの証明書ページに表示されます。

  15. 外部監視ツールの設定（Grafanaなど）。

外部監視ツールの設定

手順

  1. Grafanaなどの外部監視ツールで、以下の設定を行ってください。

    1. 名前：接続の名前を入力してください。

      StorageGRID はこの情報を必要としませんが、接続をテストするには名前を入力する必要があります。

    2. URL：管理ノードのドメイン名またはIPアドレスを入力してください。HTTPSとポート9091を指定してください。

      例： https://admin-node.example.com:9091

    3. *TLSクライアント認証*と*CA証明書を使用*を有効にします。

    4. TLS/SSL認証の詳細の下に、以下をコピーして貼り付けてください：+

      • 管理インターフェイスのCA証明書をCA Certに

      • クライアント証明書をクライアント証明書に

      • クライアントキーの秘密鍵

    5. ServerName：管理ノードのドメイン名を入力してください。

      ServerName は、管理インターフェイス証明書に表示されるドメイン名と一致する必要があります。

  2. StorageGRID またはローカルファイルからコピーした証明書と秘密鍵を保存してテストします。

    外部監視ツールを使用して、StorageGRID から Prometheus メトリクスにアクセスできるようになりました。

    指標に関する情報については、"StorageGRID の監視に関する手順"を参照してください。

クライアント証明書を編集する

管理者クライアント証明書を編集することで、名前の変更、Prometheus へのアクセスの有効化または無効化、あるいは現在の証明書の有効期限が切れた場合の新しい証明書のアップロードを行うことができます。

手順

  1. Configuration > Security > Certificates を選択し、Client タブを選択します。

    証明書の有効期限とPrometheusへのアクセス権限は、表に記載されています。証明書の有効期限が間もなく切れる場合、または既に切れている場合は、テーブルにメッセージが表示され、アラートがトリガーされます。

  2. 編集する証明書を選択してください。

  3. 「編集」を選択し、次に「名前と権限の編集」を選択します。

  4. 証明書名を入力してください。

  5. 外部監視ツールを使用して Prometheus メトリクスにアクセスするには、*Prometheusを許可する*を選択してください。

  6. 証明書を Grid Manager に保存するには、続行 を選択します。

    更新された証明書は「クライアント」タブに表示されます。

新しいクライアント証明書を添付する

現在使用している証明書の有効期限が切れた場合は、新しい証明書をアップロードできます。

手順

  1. Configuration > Security > Certificates を選択し、Client タブを選択します。

    証明書の有効期限とPrometheusへのアクセス権限は、表に記載されています。証明書の有効期限が間もなく切れる場合、または既に切れている場合は、テーブルにメッセージが表示され、アラートがトリガーされます。

  2. 編集する証明書を選択してください。

  3. Edit を選択し、次に編集オプションを選択します。

    証明書をアップロード

    証明書のテキストをコピーして、別の場所に貼り付けてください。

    1. 「証明書をアップロード」を選択し、「続行」を選択します。

    2. クライアント証明書名をアップロードしてください（(.pem）。

      「クライアント証明書の詳細」を選択すると、証明書のメタデータと証明書 PEM が表示されます。

      • 証明書ファイルを保存するには、*証明書をダウンロード*を選択してください。

        証明書ファイル名とダウンロード場所を指定してください。拡張子 `.pem`を付けてファイルを保存します。

      例： storagegrid_certificate.pem

      • 証明書の内容をコピーして別の場所に貼り付けるには、*証明書のPEMをコピー*を選択してください。

    3. 証明書をグリッドマネージャーに保存するには、*作成*を選択します。

      更新された証明書は「クライアント」タブに表示されます。

    証明書を生成する

    証明書のテキストを生成し、別の場所に貼り付けます。

    1. 「証明書の生成」を選択します。

    2. 証明書情報を指定します：

      • 件名（オプション）：証明書所有者の X.509 サブジェクトまたは識別名（DN）。

      • 有効日数：生成された証明書が、生成された時点から有効となる日数。

      • キー使用拡張機能の追加：選択した場合（デフォルトかつ推奨）、キー使用と拡張キー使用拡張機能が生成された証明書に追加されます。

        これらの拡張機能は、証明書に含まれる鍵の目的を定義します。

      メモ 証明書にこれらの拡張機能が含まれている場合に、古いクライアントで接続の問題が発生しない限り、このチェックボックスは選択したままにしてください。

    3. * Generate * を選択します。

    4. 「クライアント証明書の詳細」を選択すると、証明書のメタデータと証明書 PEM が表示されます。

      ヒント ダイアログを閉じると、証明書の秘密鍵を表示できなくなります。キーを安全な場所にコピーまたはダウンロードしてください。

      • 証明書の内容をコピーして別の場所に貼り付けるには、*証明書のPEMをコピー*を選択してください。

      • 証明書ファイルを保存するには、*証明書をダウンロード*を選択してください。

        証明書ファイル名とダウンロード場所を指定してください。拡張子 `.pem`を付けてファイルを保存します。

      例： storagegrid_certificate.pem

      • 証明書の秘密鍵をコピーして別の場所に貼り付けるには、「秘密鍵をコピー」を選択してください。

      • 秘密鍵をファイルとして保存するには、*秘密鍵をダウンロード*を選択してください。

        秘密鍵ファイル名とダウンロード場所を指定してください。

    5. 証明書をグリッドマネージャーに保存するには、*作成*を選択します。

      新しい証明書は「クライアント」タブに表示されます。

クライアント証明書をダウンロードまたはコピーする

クライアント証明書をダウンロードまたはコピーして、他の場所で使用することができます。

手順

  1. Configuration > Security > Certificates を選択し、Client タブを選択します。

  2. コピーまたはダウンロードする証明書を選択してください。

  3. 証明書をダウンロードまたはコピーしてください。

    証明書ファイルをダウンロードする

    証明書 `.pem`ファイルをダウンロードします。

    1. 「証明書をダウンロード」を選択します。

    2. 証明書ファイル名とダウンロード場所を指定してください。拡張子 `.pem`を付けてファイルを保存します。

      例： storagegrid_certificate.pem

    証明書のコピー

    証明書のテキストをコピーして、別の場所に貼り付けてください。

    1. 「証明書のコピー（PEM形式）」を選択します。

    2. コピーした証明書をテキストエディタに貼り付けます。

    3. テキストファイルを拡張子 `.pem`付きで保存します。

      例： storagegrid_certificate.pem

クライアント証明書を削除する

管理者クライアント証明書が不要になった場合は、削除できます。

手順

  1. Configuration > Security > Certificates を選択し、Client タブを選択します。

  2. 削除する証明書を選択してください。

  3. 「削除」を選択し、確認してください。

メモ 最大 10 個の証明書を削除するには、クライアント タブで削除する証明書をそれぞれ選択し、アクション > 削除 を選択します。

証明書が削除されると、その証明書を使用していたクライアントは、StorageGRID Prometheus データベースにアクセスするために新しいクライアント証明書を指定する必要があります。