メインコンテンツまでスキップ
バージョン: 3.8

CFSSL で CA サーバーを起動する方法

注記

このページは英語版のページが機械翻訳されたものです。英語版との間に矛盾または不一致がある場合は、英語版を正としてください。

このドキュメントでは、CFSSL を使用して CA サーバーを起動する方法について説明します。

前提条件​

基本的に、CA サーバーと証明書の処理には CFSSL コンポーネントを使用します。

ルート CA 証明書を作成する​

以下のようにjson形式でCSRファイルを作成します。

[ca-csr.json]
{
  "CN": "Sample Root CA",
  "key": {
    "algo": "ecdsa",
    "size": 256
  },
  "names": [
    {
      "C":  "JP",
      "L":  "Tokyo",
      "O":  "Sample Root CA",
      "ST": "Tokyo"
    }
  ]
}

CSR に基づいて自己署名証明書と秘密キーを生成します。

$ cfssl gencert -initca ca-csr.json | cfssljson -bare ca

$ ls
ca-csr.json ca-key.pem  ca.csr      ca.pem

証明書を保存するためのデータベースを作成する​

キー/証明書情報を保存するためのデータベースが必要です。 CFSSL は現在、MySQL、PostgreSQL、SQLite をサポートしています。 今回は簡単にするために SQLite を使用します。

$ go get bitbucket.org/liamstask/goose/cmd/goose   
$ goose -path $GOPATH/src/github.com/cloudflare/cfssl/certdb/sqlite up

これにより、現在の場所に certstore_development.db が作成されます。

CA サーバーの構成ファイルを作成する​

署名アルゴリズム、エンドポイント URL、中間サーバーの使用法などを構成します。 サーバーがローカル環境でのみ実行されることを前提としています。

[cfssl-config.json]
{
  "signing": {
    "default": {
      "ocsp_url": "http://localhost:8889",
      "crl_url": "http://localhost:8888/crl",
      "expiry": "26280h",
      "usages": [
        "signing",
        "key encipherment",
        "client auth"
      ]
    },
    "profiles": {
      "ocsp": {
        "usages": ["digital signature", "ocsp signing"],
        "expiry": "26280h"
      },
      "intermediate": {
        "usages": ["cert sign", "crl sign"],
        "expiry": "26280h",
        "ca_constraint": {"is_ca": true}
      },
      "server": {
        "usages": ["signing", "key encipherment", "server auth"],
        "expiry": "26280h"
      },
      "client": {
        "usages": ["signing", "key encipherment", "client auth"],
        "expiry": "26280h"
      }
    }
  }
}

TODO: 設定について詳しく調べる

次に、前のセクションで作成したデータベース ファイルを指すデータベースの構成ファイルを作成します。

[db-config.json]
{
  "driver":"sqlite3",
  "data_source":"certstore_development.db"
}

Create an intermediate CA certificate​

この手順は、ルート CA 証明書の生成に似ています。

[server-ca.csr.json]
{
  "CN": "Sample Intermediate CA",
  "key": {
    "algo": "ecdsa",
    "size": 256
  },
  "names": [
    {
      "C":  "JP",
      "L":  "Tokyo",
      "O":  "Sample Intermediate CA",
      "ST": "Tokyo"
    }
  ]
}

主な違いは、 -initca オプションの代わりにルート CA (-ca -ca-key) と cfssl config (-cfssl-config) を指定することです。

$ cfssl gencert -ca ca.pem -ca-key ca-key.pem -config cfssl-config.json -profile "intermediate" server-ca.csr.json | cfssljson -bare ca-server

OCSP サーバー証明書を生成する​

注記: OCSP は、X.509 デジタル証明書の失効ステータスを取得するために使用されるインターネット プロトコルです。

[ocsp.csr.json]
{
  "CN": "Sample OCSP",
  "key": {
    "algo": "ecdsa",
    "size": 256
  },
  "names": [
    {
      "C":  "JP",
      "L":  "Tokyo",
      "O":  "Sample OCSP",
      "ST": "Tokyo"
    }
  ]
}
$ cfssl gencert -ca ca-server.pem -ca-key ca-server-key.pem -config cfssl-config.json -profile "ocsp" ocsp.csr.json | cfssljson -bare server-ocsp

サーバーを起動する​

これで準備は完了です。 サーバーを起動しましょう。

CA サーバー​

$ cfssl serve -db-config db-config.json -ca-key ca-server-key.pem -ca ca-server.pem -config cfssl-config.json -responder server-ocsp.pem -responder-key server-ocsp-key.pem

OCSP サーバー​

$ cfssl ocsprefresh -db-config db-config.json -responder server-ocsp.pem -responder-key server-ocsp-key.pem -ca ca-server.pem

// Bundle the Root CA and Intermediate CA
$ cat ca.pem ca-server.pem | tee bundle.pem

// Pre-generate the OCSP response
$ cfssl ocspdump -db-config db-config.json > ocspdump.txt

// Start the server
cfssl ocspserve -port=8889 -responses=ocspdump.txt

参考文献​