Skip to main content
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

StorageGRID で管理インターフェイス証明書を設定する

PDF

デフォルトの管理インターフェイス証明書を、ユーザーがセキュリティ警告を表示せずに Grid Manager および Tenant Manager にアクセスできるようにする単一のカスタム証明書に置き換えることができます。デフォルトの管理インターフェイス証明書に戻すか、新しい証明書を生成することもできます。

タスク概要

デフォルトでは、すべての管理ノードにはグリッドCAによって署名された証明書が発行されます。これらのCA署名証明書は、単一の共通カスタム管理インターフェイス証明書および対応する秘密鍵に置き換えることができます。

単一のカスタム管理インターフェイス証明書がすべての管理ノードで使用されるため、クライアントがGrid ManagerおよびTenant Managerに接続する際にホスト名を検証する必要がある場合は、証明書をワイルドカード証明書またはマルチドメイン証明書として指定する必要があります。グリッド内のすべての管理ノードに一致するように、カスタム証明書を定義します。

サーバー上で設定を完了する必要があります。また、使用しているルート認証局（CA）によっては、ユーザーがGrid ManagerおよびTenant Managerにアクセスするために使用するWebブラウザーにGrid CA証明書をインストールする必要がある場合もあります。

メモ サーバー証明書の障害によって運用が中断されないようにするため、このサーバー証明書の有効期限が近づくと、「管理インターフェイスのサーバー証明書の有効期限」アラートがトリガーされます。必要に応じて、設定 > セキュリティ > 証明書 を選択し、グローバルタブで管理インターフェイス証明書の有効期限を確認することで、現在の証明書の有効期限を確認できます。
メモ

IPアドレスではなくドメイン名を使用してGrid ManagerまたはTenant Managerにアクセスしている場合、以下のいずれかの事象が発生すると、ブラウザに証明書エラーが表示され、回避するオプションが表示されません。

カスタム管理インターフェイス証明書を追加する

カスタムの管理インターフェイス証明書を追加するには、独自の証明書を用意するか、Grid Manager を使用して生成することができます。

手順

  1. Configuration > Security > Certificates を選択します。

  2. 「グローバル」タブで、「管理インターフェイス証明書」を選択します。

  3. 「カスタム証明書を使用する」を選択します。

  4. 証明書をアップロードまたは生成してください。

    証明書をアップロード

    必要なサーバー証明書ファイルをアップロードしてください。

    1. 「証明書をアップロード」を選択します。

    2. 必要なサーバー証明書ファイルをアップロードします。

      • サーバー証明書：カスタムサーバー証明書ファイル（PEM エンコード）。

      • 証明書の秘密鍵: カスタムサーバー証明書の秘密鍵ファイル(.key）。

        メモ ECの秘密鍵は224ビット以上である必要があります。RSA秘密鍵は2048ビット以上である必要があります。

      • CA バンドル：各中間発行認証局（CA）からの証明書を含む単一のオプションファイル。ファイルには、PEM 形式でエンコードされた各 CA 証明書ファイルが、証明書チェーンの順序で連結されて含まれている必要があります。

    3. *証明書の詳細*を展開すると、アップロードした各証明書のメタデータが表示されます。オプションの CA バンドルをアップロードした場合、各証明書はそれぞれ別のタブに表示されます。

      • 証明書ファイルを保存するには「証明書のダウンロード」を選択し、証明書バンドルを保存するには「CA バンドルのダウンロード」を選択してください。

        証明書ファイル名とダウンロード場所を指定してください。拡張子 `.pem`を付けてファイルを保存します。

      例： storagegrid_certificate.pem

      • 証明書の内容をコピーして別の場所に貼り付けるには、*証明書のPEMをコピー*または*CAバンドルのPEMをコピー*を選択してください。

    4. 「保存」を選択します。+ カスタム管理インターフェイス証明書は、Grid Manager、Tenant Manager、Grid Manager API、またはTenant Manager APIへの以降のすべての新規接続に使用されます。

    証明書を生成する

    サーバー証明書ファイルを生成します。

    メモ 本番環境のベストプラクティスは、外部認証局によって署名されたカスタム管理インターフェイス証明書を使用することです。

    1. 「証明書の生成」を選択します。

    2. 証明書情報を指定します：

      フィールド 説明

      ドメイン名

      証明書に含める1つ以上の完全修飾ドメイン名。複数のドメイン名を表すには、ワイルドカードとして * を使用します。

      IP

      証明書に含めるIPアドレスを1つ以上指定します。

      件名（任意）

      証明書所有者の X.509 サブジェクトまたは識別名（DN）。

      このフィールドに値が入力されない場合、生成される証明書は最初のドメイン名またはIPアドレスをサブジェクト共通名（CN）として使用します。

      有効日数

      証明書が発行されてから有効期限が切れるまでの日数。

      キー使用拡張機能を追加する

      選択した場合（デフォルトかつ推奨）、鍵使用法と拡張鍵使用法の拡張機能が生成された証明書に追加されます。

      これらの拡張機能は、証明書に含まれる鍵の目的を定義します。

      注: 証明書にこれらの拡張機能が含まれている場合に、古いクライアントで接続の問題が発生する場合を除き、このチェックボックスは選択したままにしてください。

    3. * Generate * を選択します。

    4. 生成された証明書のメタデータを表示するには、*証明書の詳細*を選択してください。

      • 証明書ファイルを保存するには、*証明書をダウンロード*を選択してください。

        証明書ファイル名とダウンロード場所を指定してください。拡張子 `.pem`を付けてファイルを保存します。

      例： storagegrid_certificate.pem

      • 証明書の内容をコピーして別の場所に貼り付けるには、*証明書のPEMをコピー*を選択してください。

    5. 「保存」を選択します。+ カスタム管理インターフェイス証明書は、Grid Manager、Tenant Manager、Grid Manager API、またはTenant Manager APIへの以降のすべての新規接続に使用されます。

  5. ウェブブラウザが最新の状態であることを確認するために、ページを更新してください。

    メモ 証明書をアップロードまたは新規生成した後、関連する証明書の有効期限切れアラートが解消されるまで最大1日かかる場合があります。

  6. カスタム管理インターフェイス証明書を追加すると、管理インターフェイス証明書ページに使用中の証明書の詳細情報が表示されます。+ 必要に応じて、証明書の PEM をダウンロードまたはコピーできます。

デフォルトの管理インターフェイス証明書を復元する

Grid Manager および Tenant Manager 接続用のデフォルトの管理インターフェイス証明書の使用に戻すことができます。

手順

  1. Configuration > Security > Certificates を選択します。

  2. 「グローバル」タブで、「管理インターフェイス証明書」を選択します。

  3. 「デフォルトの証明書を使用する」を選択します。

    デフォルトの管理インターフェイス証明書に戻すと、設定したカスタムサーバー証明書ファイルが削除され、システムから復元できなくなります。デフォルトの管理インターフェイス証明書は、以降のすべての新規クライアント接続に使用されます。

  4. ウェブブラウザが最新の状態であることを確認するために、ページを更新してください。

スクリプトを使用して新しい自己署名管理インターフェイス証明書を生成する

ホスト名の厳密な検証が必要な場合は、スクリプトを使用して管理インターフェイス証明書を生成できます。

開始する前に
タスク概要

本番環境のベストプラクティスは、外部の認証局によって署名された証明書を使用することです。

手順

  1. 各管理ノードの完全修飾ドメイン名（FQDN）を取得します。

  2. プライマリ管理ノードにログインします。

    1. 次のコマンドを入力します： ssh admin@primary_Admin_Node_IP

    2. `Passwords.txt`ファイルに記載されているパスワードを入力してください。

    3. 以下のコマンドを入力して root に切り替えます： su -

    4. `Passwords.txt`ファイルに記載されているパスワードを入力してください。

      rootとしてログインすると、プロンプトが `$`から `#`に変わります。

  3. 新しい自己署名証明書を使用して StorageGRID を設定します。

    $ sudo make-certificate --domains wildcard-admin-node-fqdn --type management

    • `--domains`には、ワイルドカードを使用してすべての管理ノードの完全修飾ドメイン名を表します。例えば、 `*.ui.storagegrid.example.com`は * ワイルドカードを使用して `admin1.ui.storagegrid.example.com`と `admin2.ui.storagegrid.example.com`を表します。

    • `--type`を `management`に設定すると、Grid ManagerとTenant Managerで使用される管理インターフェイス証明書を設定できます。

    • デフォルトでは、生成された証明書は1年間（365日間）有効であり、有効期限が切れる前に再作成する必要があります。 `--days`引数を使用して、デフォルトの有効期間を上書きできます。

      メモ 証明書の有効期間は、 `make-certificate`を実行したときに開始されます。管理クライアントが StorageGRID と同じタイムソースに同期されていることを確認してください。同期されていない場合、クライアントが証明書を拒否する可能性があります。 
      $ sudo make-certificate --domains *.ui.storagegrid.example.com --type management --days 720

      出力結果には、管理APIクライアントが必要とする公開証明書が含まれています。

  4. 証明書を選択してコピーします。

    選択範囲にはBEGINタグとENDタグを含めてください。

  5. コマンドシェルからログアウトしてください。 $ exit

  6. 証明書が設定されていることを確認します。

    1. グリッドマネージャーにアクセスします。

    2. Configuration > Security > Certificates を選択します。

    3. 「グローバル」タブで、「管理インターフェイス証明書」を選択します。

  7. 管理クライアントを設定して、コピーした公開証明書を使用するようにしてください。BEGIN タグと END タグを含めてください。

管理インターフェイス証明書のダウンロードまたはコピー

管理インターフェイス証明書の内容を保存またはコピーして、他の場所で使用することができます。

手順

  1. Configuration > Security > Certificates を選択します。

  2. 「グローバル」タブで、「管理インターフェイス証明書」を選択します。

  3. 「サーバー」または「CA バンドル」タブを選択し、証明書をダウンロードまたはコピーしてください。

    証明書ファイルまたはCAバンドルをダウンロードする

    証明書またはCAバンドル `.pem`ファイルをダウンロードします。オプションのCAバンドルを使用している場合、バンドル内の各証明書はそれぞれ別のサブタブに表示されます。

    1. 「証明書をダウンロード」または「CA バンドルをダウンロード」を選択します。

      CAバンドルをダウンロードする場合、CAバンドルのセカンダリタブにあるすべての証明書は、単一のファイルとしてダウンロードされます。

    2. 証明書ファイル名とダウンロード場所を指定してください。拡張子 `.pem`を付けてファイルを保存します。

      例： storagegrid_certificate.pem

    証明書またはCAバンドルPEMのコピー

    証明書のテキストをコピーして、別の場所に貼り付けてください。オプションの CA バンドルを使用している場合、バンドル内の各証明書はそれぞれ別のサブタブに表示されます。

    1. 「証明書のコピー（PEM形式）」または「CAバンドルのコピー（PEM形式）」を選択します。

      CAバンドルをコピーする場合、CAバンドルのセカンダリタブにあるすべての証明書が一緒にコピーされます。

    2. コピーした証明書をテキストエディタに貼り付けます。

    3. テキストファイルを拡張子 `.pem`付きで保存します。

      例： storagegrid_certificate.pem