証明書の登録

開始する前に、以下を実行します。

• 公開キーと秘密キーのペアを生成します。自己署名デジタル証明書を参照してください。

• 認証局プロファイルを設定します。「例 ：CA プロファイルの設定.

• SCEP の場合は、CA 証明書を登録します。SCEPを使用したCA証明書のオンライン登録を参照してください。

この例では、ローカル証明書をオンラインで取得し、SCEP で指定された証明書 ID のオンライン登録を開始するようにジュニパーネットワークス デバイスを構成します。CA プロファイル名 ca-profile-ipsecで CA サーバーへの URL パスを指定します。

request security pki local-certificate enroll scep コマンドを使用して、指定した証明書 ID のオンライン登録を開始します。(Junos OS リリース 15.1X49-D40 および Junos OS リリース 17.3R1 以降では、 scep キーワードがサポートされ、必須となります。)CA プロファイル名( ca-profile-ipsecなど)、以前に生成されたキーペアに対応する証明書 ID( qqqなど)、および次の情報を指定する必要があります。

• 証明書の登録と再登録のために CA 管理者から提供されたチャレンジ パスワード。

• 次の値の少なくとも 1 つ:

  • IKE ネゴシエーションで証明書所有者を識別するためのドメイン名( qqq.example.net など)。

  • 電子メール ステートメントとの IKE ネゴシエーションの証明書所有者の ID( qqq@example.net など)。

  • デバイスが静的 IP アドレス用に設定されている場合の IP アドレス( 10.10.10.10 など)。

ドメイン コンポーネント (DC)、共通名 (CN)、シリアル番号 (SN)、組織単位名 (OU)、組織名 (O)、地域 (L)、州 (ST)、および国 (C) を含む識別名の形式でサブジェクト名を引用符で囲んで指定します。

デバイス証明書が取得され、証明書 ID のオンライン登録が開始されると。コマンドは非同期的に処理されます。

設定が正常に機能していることを確認するには、 show security pki コマンドを入力します。

開始する前に、以下を実行します。

• オンラインまたは手動で証明書を取得します。デジタル証明書を参照してください。

• ローカル証明書を取得します。「例 ：SCEP を使用したローカル証明書のオンライン登録

デバイスで、オンライン登録によって取得された証明書、または手動で読み込まれた証明書を自動的に更新できます。証明書の自動更新により、有効期限が切れる前にデバイス上の証明書を更新することを覚えておく必要がなくなり、常に有効な証明書を維持するのに役立ちます。

証明書の自動更新は、既定では無効になっています。証明書の自動更新を有効にし、有効期限が切れる前に証明書を再登録する要求を自動的に送信するようにデバイスを構成できます。証明書の再登録要求をいつ送信するかを指定できます。再登録のトリガーは、有効期限が切れる前に残っている証明書の有効期間の割合です。たとえば、証明書の残りの有効期間が 10% のときに更新要求を送信する場合は、再登録トリガーに 10 を構成します。

この機能を使用するには、デバイスが CA サーバに到達でき、更新プロセス中に証明書がデバイスに存在する必要があります。さらに、証明書を発行する CA が同じ DN を返すことができることも確認する必要があります。CA は、新しい証明書のサブジェクト名または代替サブジェクト名の拡張子を変更してはなりません。

SCEP 証明書の自動更新は、すべての SCEP 証明書に対して、または証明書ごとに有効または無効にできます。set security pki auto-re-enrollment scep コマンドを使用して、証明書の再登録を有効にして構成します。この例では、CA 証明書の証明書 ID を ca-ipsec として指定し、証明書に関連付けられている CA プロファイル名を ca-profile-ipsec に設定します。CA 証明書のチャレンジ パスワードは、CA 管理者から提供されたチャレンジ パスワードに設定します。このパスワードは、以前に CA に設定したパスワードと同じである必要があります。また、再登録トリガーの割合を 10 に設定します。自動再登録中、ジュニパーネットワークス デバイスはデフォルトで既存のキーペアを使用します。適切なセキュリティプラクティスは、再登録のために新しいキーペアを再生成することです。新しいキーペアを生成するには、 re-generate-keypair コマンドを使用します。

設定が正常に機能していることを確認するには、 show security pki local-certificate detail operational mode コマンドを入力します。

公開キーと秘密キーを生成します。自己署名デジタル証明書を参照してください。

この例では、以前に生成した公開キーと秘密キーのペア(ca-ipsec)の証明書 ID を使用して証明書要求を生成します。次に、ドメイン名 (example.net) と関連する共通名 (abc) を指定します。証明書要求は PEM 形式で表示されます。

生成された証明書要求をコピーして CA Web サイトの適切なフィールドに貼り付け、ローカル証明書を取得します。(証明書要求を貼り付ける場所を決定するには、CA サーバーのドキュメントを参照してください)。PKCS #10 コンテンツが表示されると、PKCS #10 ファイルの MD5 ハッシュと SHA-1 ハッシュも表示されます。

証明書署名要求を表示するには、 show security pki certificate-request detail コマンドを入力します。

開始する前に、以下を実行します。

• 公開キーと秘密キーのペアを生成します。自己署名デジタル証明書を参照してください。

• CA プロファイルを作成します。認証局プロファイルについてを参照してください。

  CA プロファイルは CA 証明書にのみ必要で、ローカル証明書には必要ありません

• 証明書要求を生成します。「例 ：ローカル証明書の CSR を手動で生成し、CA Serverに送信します。

この例では、local.cert および ca.cert の証明書をダウンロードし、デバイスの /var/tmp/ ディレクトリに保存します。

CA から証明書をダウンロードした後、証明書をデバイスに転送し (FTP などを使用して)、読み込みます。

Junos OS を実行しているデバイスに、次の証明書ファイルを読み込むことができます。

• ローカルデバイスを識別するローカルまたはエンドエンティティ(EE)証明書。この証明書は公開キーです。

• CA の公開キーを含む CA 証明書。

• CA によって失効した証明書を一覧表示する CRL。

  複数の EE 証明書をデバイスにロードできます。

証明書が正しく読み込まれたことを確認するには、動作モードで show security pki local-certificate コマンドと show security pki ca-certificate コマンドを入力します。