Skip to main content
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

StorageGRIDでS3 API証明書を設定

PDF

S3クライアントがストレージノードまたはロードバランサーのエンドポイントに接続するために使用されるサーバー証明書を交換または復元できます。交換用のカスタムサーバー証明書は、お客様の組織専用のものです。

ヒント このバージョンのドキュメントサイトからは、Swiftに関する詳細情報が削除されました。参照してください "StorageGRID 11.8：S3およびSwift API証明書の設定"。
タスク概要

デフォルトでは、すべてのストレージノードには、グリッドCAによって署名されたX.509サーバー証明書が発行されます。これらの認証局署名付き証明書は、単一の共通カスタムサーバー証明書とそれに対応する秘密鍵に置き換えることができます。

すべてのストレージノードで単一のカスタムサーバー証明書が使用されるため、クライアントがストレージエンドポイントに接続する際にホスト名を検証する必要がある場合は、証明書をワイルドカード証明書またはマルチドメイン証明書として指定する必要があります。グリッド内のすべてのストレージノードに一致するように、カスタム証明書を定義します。

サーバーの設定が完了したら、使用しているルート認証局（CA）によっては、システムへのアクセスに使用するS3 APIクライアントにGrid CA証明書をインストールする必要がある場合もあります。

メモ サーバー証明書の不具合によって運用が中断されないようにするため、ルートサーバー証明書の有効期限が近づくと、「S3 API のグローバルサーバー証明書の有効期限切れ」アラートがトリガーされます。必要に応じて、「設定」>「セキュリティ」>「証明書」を選択し、「グローバル」タブで S3 API 証明書の有効期限を確認することで、現在の証明書の有効期限を確認できます。

カスタムS3 API証明書をアップロードまたは生成できます。

カスタムS3 API証明書を追加する

手順

  1. Configuration > Security > Certificates を選択します。

  2. 「グローバル」タブで、「S3 API証明書」を選択します。

  3. 「カスタム証明書を使用する」を選択します。

  4. 証明書をアップロードまたは生成してください。

    証明書をアップロード

    必要なサーバー証明書ファイルをアップロードしてください。

    1. 「証明書をアップロード」を選択します。

    2. 必要なサーバー証明書ファイルをアップロードします。

      • サーバー証明書：カスタムサーバー証明書ファイル（PEM エンコード）。

      • 証明書の秘密鍵: カスタムサーバー証明書の秘密鍵ファイル(.key）。

        メモ ECの秘密鍵は224ビット以上である必要があります。RSA秘密鍵は2048ビット以上である必要があります。

      • CA bundle：各中間発行認証局からの証明書を含む、単一のオプションファイル。ファイルには、PEM 形式でエンコードされた各 CA 証明書ファイルが、証明書チェーンの順序で連結されて含まれている必要があります。

    3. 証明書の詳細を選択すると、アップロードされた各カスタム S3 API 証明書のメタデータと PEM が表示されます。オプションの CA バンドルをアップロードした場合、各証明書はそれぞれ別のタブに表示されます。

      • 証明書ファイルを保存するには「証明書のダウンロード」を選択し、証明書バンドルを保存するには「CA バンドルのダウンロード」を選択してください。

        証明書ファイル名とダウンロード場所を指定してください。拡張子 `.pem`を付けてファイルを保存します。

      例： storagegrid_certificate.pem

      • 証明書の内容をコピーして別の場所に貼り付けるには、*証明書のPEMをコピー*または*CAバンドルのPEMをコピー*を選択してください。

    4. * 保存 * を選択します。

      カスタムサーバー証明書は、以降の新しいS3クライアント接続に使用されます。

    証明書を生成する

    サーバー証明書ファイルを生成します。

    1. 「証明書の生成」を選択します。

    2. 証明書情報を指定します：

      フィールド 説明

      ドメイン名

      証明書に含める1つ以上の完全修飾ドメイン名。複数のドメイン名を表すには、ワイルドカードとして * を使用します。

      IP

      証明書に含めるIPアドレスを1つ以上指定します。

      件名（任意）

      証明書所有者の X.509 サブジェクトまたは識別名（DN）。

      このフィールドに値が入力されない場合、生成される証明書は最初のドメイン名またはIPアドレスをサブジェクト共通名（CN）として使用します。

      有効日数

      証明書が発行されてから有効期限が切れるまでの日数。

      キー使用拡張機能を追加する

      選択した場合（デフォルトかつ推奨）、鍵使用法と拡張鍵使用法の拡張機能が生成された証明書に追加されます。

      これらの拡張機能は、証明書に含まれる鍵の目的を定義します。

      注: 証明書にこれらの拡張機能が含まれている場合に、古いクライアントで接続の問題が発生する場合を除き、このチェックボックスは選択したままにしてください。

    3. * Generate * を選択します。

    4. 「証明書の詳細」を選択すると、生成されたカスタム S3 API 証明書のメタデータと PEM が表示されます。

      • 証明書ファイルを保存するには、*証明書をダウンロード*を選択してください。

        証明書ファイル名とダウンロード場所を指定してください。拡張子 `.pem`を付けてファイルを保存します。

      例： storagegrid_certificate.pem

      • 証明書の内容をコピーして別の場所に貼り付けるには、*証明書のPEMをコピー*を選択してください。

    5. * 保存 * を選択します。

      カスタムサーバー証明書は、以降の新しいS3クライアント接続に使用されます。

  5. デフォルトの StorageGRID サーバー証明書、アップロードされた CA 署名付き証明書、または生成されたカスタム証明書のメタデータを表示するには、タブを選択してください。

    メモ 証明書をアップロードまたは新規生成した後、関連する証明書の有効期限切れアラートが解消されるまで最大1日かかる場合があります。

  6. ウェブブラウザが最新の状態であることを確認するために、ページを更新してください。

  7. カスタム S3 API 証明書を追加すると、S3 API 証明書ページに、使用中のカスタム S3 API 証明書の詳細な証明書情報が表示されます。+ 必要に応じて、証明書の PEM をダウンロードまたはコピーできます。

デフォルトの S3 API 証明書を復元する

S3クライアントからストレージノードへの接続には、デフォルトのS3 API証明書を使用するように戻すことができます。ただし、ロード バランシングのエンドポイントには、デフォルトのS3 API証明書を使用することはできません。

手順

  1. Configuration > Security > Certificates を選択します。

  2. 「グローバル」タブで、「S3 API証明書」を選択します。

  3. 「デフォルトの証明書を使用する」を選択します。

    グローバル S3 API 証明書のデフォルトバージョンを復元すると、設定したカスタムサーバー証明書ファイルは削除され、システムから復元できなくなります。デフォルトの S3 API 証明書は、以降の Storage Nodes への新しい S3 クライアント接続に使用されます。

  4. 警告を確認してデフォルトの S3 API 証明書を復元するには、OK を選択します。

    ルートアクセス権限があり、ロード バランシングのエンドポイント接続にカスタム S3 API 証明書が使用されていた場合、デフォルトの S3 API 証明書ではアクセスできなくなるロード バランシングのエンドポイントの一覧が表示されます。影響を受けるエンドポイントを編集または削除するには、"ロードバランサーのエンドポイントを設定する"に移動してください。

  5. ウェブブラウザが最新の状態であることを確認するために、ページを更新してください。

S3 API証明書をダウンロードまたはコピー

S3 API証明書の内容を保存またはコピーして、他の場所で使用することができます。

手順

  1. Configuration > Security > Certificates を選択します。

  2. 「グローバル」タブで、「S3 API証明書」を選択します。

  3. 「サーバー」または「CA バンドル」タブを選択し、証明書をダウンロードまたはコピーしてください。

    証明書ファイルまたはCAバンドルをダウンロードする

    証明書またはCAバンドル `.pem`ファイルをダウンロードします。オプションのCAバンドルを使用している場合、バンドル内の各証明書はそれぞれ別のサブタブに表示されます。

    1. 「証明書をダウンロード」または「CA バンドルをダウンロード」を選択します。

      CAバンドルをダウンロードする場合、CAバンドルのセカンダリタブにあるすべての証明書は、単一のファイルとしてダウンロードされます。

    2. 証明書ファイル名とダウンロード場所を指定してください。拡張子 `.pem`を付けてファイルを保存します。

      例： storagegrid_certificate.pem

    証明書またはCAバンドルPEMのコピー

    証明書のテキストをコピーして、別の場所に貼り付けてください。オプションの CA バンドルを使用している場合、バンドル内の各証明書はそれぞれ別のサブタブに表示されます。

    1. 「証明書のコピー（PEM形式）」または「CAバンドルのコピー（PEM形式）」を選択します。

      CAバンドルをコピーする場合、CAバンドルのセカンダリタブにあるすべての証明書が一緒にコピーされます。

    2. コピーした証明書をテキストエディタに貼り付けます。

    3. テキストファイルを拡張子 `.pem`付きで保存します。

      例： storagegrid_certificate.pem

関連情報