Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

管理インターフェイス証明書を設定

共同作成者
PDF

デフォルトの管理インターフェイス証明書を単一のカスタム証明書に置き換えると、ユーザがグリッドマネージャとテナントマネージャにアクセスする際にセキュリティの警告が表示されなくなります。デフォルトの管理インターフェイス証明書に戻すか、新しい証明書を生成することもできます。

タスクの内容

デフォルトでは、管理ノードごとに、グリッド CA によって署名された証明書が 1 つずつ発行されます。これらの CA 署名証明書は、単一の共通するカスタム管理インターフェイス証明書および対応する秘密鍵に置き換えることができます。

Grid Manager および Tenant Manager への接続時にクライアントがホスト名を確認する必要がある場合は、単一のカスタム管理インターフェイスの証明書がすべての管理ノードに対して使用されるため、ワイルドカード証明書またはマルチドメイン証明書として指定する必要があります。グリッド内のすべての管理ノードに一致するカスタム証明書を定義してください。

設定はサーバ上で行う必要があります。また、使用しているルート認証局（ CA ）によっては、ユーザが Grid Manager および Tenant Manager へのアクセスに使用する Web ブラウザに Grid CA 証明書をインストールすることも必要になります。

メモ サーバ証明書の問題によって処理が中断されないようにするために、このサーバ証明書の有効期限が近づくと* Expiration of server certificate for Management Interface *アラートがトリガーされます。必要に応じて、 ［ グローバル ］ タブで ［ * 設定 * ］ > ［ * セキュリティ * ］ > ［ * 証明書 * ］ を選択し、管理インターフェイス証明書の有効期限を確認することで、現在の証明書の有効期限を確認できます。
メモ

IP アドレスではなくドメイン名を使用して Grid Manager または Tenant Manager にアクセスする場合は、次のいずれかの場合に証明書のエラーが表示され、バイパスするオプションはありません。

カスタム管理インターフェイス証明書を追加します

カスタムの管理インターフェイス証明書を追加するには、 Grid Manager を使用して独自の証明書を指定するか、証明書を生成します。

手順

  1. [ * configuration * > * Security * > * Certificates * ] を選択します。

  2. [* グローバル * ] タブで、 [* 管理インターフェイス証明書 * ] を選択します。

  3. [ * カスタム証明書を使用する * ] を選択します。

  4. 証明書をアップロードまたは生成します。

    証明書をアップロードする

    必要なサーバ証明書ファイルをアップロードします。

    1. [ 証明書のアップロード ] を選択します。

    2. 必要なサーバ証明書ファイルをアップロードします。

      • * サーバ証明書 * ：カスタムサーバ証明書ファイル（ PEM エンコード）。

      • 証明書の秘密鍵：カスタムサーバ証明書の秘密鍵ファイル(.key）。

        メモ EC 秘密鍵は 224 ビット以上にする必要があります。RSA 秘密鍵は 2048 ビット以上にする必要があります。

      • CA Bundle ：各中間発行認証局（ CA ）の証明書を含む単一のオプションファイル。このファイルには、PEMでエンコードされた各CA証明書ファイルが、証明書チェーンの順序で連結されている必要があります。

    3. [ * 証明書の詳細 * ] を展開して、アップロードした各証明書のメタデータを表示します。オプションの CA バンドルをアップロードした場合は、各証明書が独自のタブに表示されます。

      • 証明書ファイルを保存するには、 * 証明書のダウンロード * を選択します。証明書バンドルを保存するには、 * CA バンドルのダウンロード * を選択します。

        証明書ファイルの名前とダウンロード先を指定します。拡張子を付けてファイルを保存します .pem。

      例： storagegrid_certificate.pem

      • 証明書の内容をコピーして他の場所に貼り付けるには、 * 証明書の PEM のコピー * または * CA バンドル PEM のコピー * を選択してください。

    4. [ 保存（ Save ） ] を選択します。+ Grid Manager 、 Tenant Manager 、 Grid Manager API 、または Tenant Manager API への以降のすべての新しい接続にはカスタムの管理インターフェイス証明書が使用されます。

    証明書の生成

    サーバ証明書ファイルを生成します。

    メモ 本番環境では、外部の認証局によって署名されたカスタム管理インターフェイス証明書を使用することを推奨します。

    1. [* 証明書の生成 * ] を選択します。

    2. 証明書情報を指定します。

      フィールド 製品説明

      ドメイン名

      証明書に含める1つ以上の完全修飾ドメイン名。複数のドメイン名を表すには、ワイルドカードとして * を使用します。

      IP

      証明書に含める1つ以上のIPアドレス。

      件名（オプション）

      証明書所有者のX.509サブジェクト名または識別名（DN）。

      このフィールドに値を入力しない場合、生成される証明書では、最初のドメイン名またはIPアドレスがサブジェクト共通名（CN）として使用されます。

      有効な日数

      作成後に証明書の有効期限が切れる日数。

      キー使用の拡張機能を追加します

      選択されている場合（デフォルトおよび推奨）、キー使用と拡張キー使用拡張が生成された証明書に追加されます。

      これらの拡張機能は、証明書に含まれるキーの目的を定義します。

      注:証明書にこれらの拡張機能が含まれている場合、古いクライアントで接続の問題が発生する場合を除き、このチェックボックスをオンのままにします。

    3. [*Generate （生成） ] を選択します

    4. 生成された証明書のメタデータを表示するには、 [ 証明書の詳細 ] を選択します。

      • 証明書ファイルを保存するには、 [ 証明書のダウンロード ] を選択します。

        証明書ファイルの名前とダウンロード先を指定します。拡張子を付けてファイルを保存します .pem。

      例： storagegrid_certificate.pem

      • 証明書の内容をコピーして他の場所に貼り付けるには、 * 証明書の PEM をコピー * を選択します。

    5. [ 保存（ Save ） ] を選択します。+ Grid Manager 、 Tenant Manager 、 Grid Manager API 、または Tenant Manager API への以降のすべての新しい接続にはカスタムの管理インターフェイス証明書が使用されます。

  5. Web ブラウザが更新されたことを確認するには、ページをリフレッシュしてください。

    メモ 新しい証明書をアップロードまたは生成したあと、関連する証明書の有効期限アラートがクリアされるまでに最大 1 日かかります。

  6. カスタムの管理インターフェイス証明書を追加すると、使用中の証明書の詳細な証明書情報が管理インターフェイスの証明書ページに表示されます。+ 必要に応じて証明書 PEM をダウンロードまたはコピーできます。

管理インターフェイスのデフォルトの証明書をリストア

Grid Manager 接続と Tenant Manager 接続でのデフォルトの管理インターフェイス証明書を使用するように戻すことができます。

手順

  1. [ * configuration * > * Security * > * Certificates * ] を選択します。

  2. [* グローバル * ] タブで、 [* 管理インターフェイス証明書 * ] を選択します。

  3. [ * デフォルト証明書を使用する * ] を選択します。

    管理インターフェイスのデフォルトの証明書をリストアすると、設定したカスタムサーバ証明書ファイルは削除され、システムからはリカバリできなくなります。以降すべての新しいクライアント接続には、デフォルトの管理インターフェイス証明書が使用されます。

  4. Web ブラウザが更新されたことを確認するには、ページをリフレッシュしてください。

スクリプトを使用して、新しい自己署名管理インターフェイス証明書を生成します

ホスト名の厳密な検証が必要な場合は、スクリプトを使用して管理インターフェイス証明書を生成できます。

開始する前に
タスクの内容

本番環境では、外部の認証局によって署名された証明書を使用することを推奨します。

手順

  1. 各管理ノードの完全修飾ドメイン名（ FQDN ）を取得します。

  2. プライマリ管理ノードにログインします。

    1. 次のコマンドを入力します。 ssh admin@primary_Admin_Node_IP

    2. ファイルに記載されているパスワードを入力し `Passwords.txt`ます。

    3. 次のコマンドを入力してrootに切り替えます。 su -

    4. ファイルに記載されているパスワードを入力し `Passwords.txt`ます。

      rootとしてログインすると、プロンプトがからに #`変わります `$。

  3. 新しい自己署名証明書を使用して StorageGRID を設定します。

    $ sudo make-certificate --domains wildcard-admin-node-fqdn --type management

    • では --domains、ワイルドカードを使用してすべての管理ノードの完全修飾ドメイン名を表します。たとえば、は *.ui.storagegrid.example.com`ワイルドカード*を使用してとを `admin2.ui.storagegrid.example.com`表します `admin1.ui.storagegrid.example.com。

    • に `management`設定 `--type`して、管理インターフェイスの証明書を設定します。この証明書はGrid ManagerとTenant Managerで使用されます。

    • デフォルトでは、生成された証明書の有効期間は 1 年間（ 365 日）です。この期間を過ぎる前に証明書を再作成する必要があります。引数を使用すると、デフォルトの有効期間を上書きできます --days。

      メモ 証明書の有効期間は、の実行時から開始され `make-certificate`ます。管理クライアントが StorageGRID と同じ時間ソースと同期されるようにしてください。同期されていないと、クライアントが証明書を拒否する可能性があります。 
      $ sudo make-certificate --domains *.ui.storagegrid.example.com --type management --days 720

      出力には、管理 API クライアントで必要なパブリック証明書が含まれています。

  4. 証明書を選択してコピーします。

    BEGIN タグと END タグも含めて選択してください。

  5. コマンドシェルからログアウトします。 $ exit

  6. 証明書が設定されたことを確認します。

    1. Grid Manager にアクセスします。

    2. [ * configuration * > * Security * > * Certificates * ] を選択します

    3. [* グローバル * ] タブで、 [* 管理インターフェイス証明書 * ] を選択します。

  7. コピーしたパブリック証明書を使用するように管理クライアントを設定します。BEGIN タグと END タグを含めてください。

管理インターフェイス証明書をダウンロードまたはコピーします

管理インターフェイスの証明書の内容を保存またはコピーして、他の場所で使用することができます。

手順

  1. [ * configuration * > * Security * > * Certificates * ] を選択します。

  2. [* グローバル * ] タブで、 [* 管理インターフェイス証明書 * ] を選択します。

  3. [Server ] タブまたは [CA Bundle] タブを選択し、証明書をダウンロードまたはコピーします。

    証明書ファイルまたは CA バンドルをダウンロードします

    証明書またはCAバンドルファイルをダウンロードし `.pem`ます。オプションの CA バンドルを使用している場合は、バンドル内の各証明書が独自のサブタブに表示されます。

    1. [ 証明書のダウンロード *] または [ CA バンドルのダウンロード *] を選択します。

      CA バンドルをダウンロードする場合、 CA バンドルのセカンダリタブにあるすべての証明書が単一のファイルとしてダウンロードされます。

    2. 証明書ファイルの名前とダウンロード先を指定します。拡張子を付けてファイルを保存します .pem。

      例： storagegrid_certificate.pem

    証明書または CA バンドル PEM をコピーしてください

    証明書のテキストをコピーして別の場所に貼り付けてください。オプションの CA バンドルを使用している場合は、バンドル内の各証明書が独自のサブタブに表示されます。

    1. [Copy certificate PEM* （証明書のコピー） ] または [* Copy CA bundle PEM* （ CA バンドル PEM のコピー）

      CA バンドルをコピーする場合、 CA バンドルのセカンダリタブにあるすべての証明書が一緒にコピーされます。

    2. コピーした証明書をテキストエディタに貼り付けます。

    3. 拡張子を付けてテキストファイルを保存します .pem。

      例： storagegrid_certificate.pem