自己署名SSL証明書

デフォルトでは、SUSE Multi-Linux Managerは自己署名証明書を使用します。 この場合、証明書はSUSE Multi-Linux Managerによって作成され、署名されます。 この方法では、証明書の詳細が正しいことを保証するために独立したCAを使用しません。 第三者のCAは、証明書に含まれる情報が正しいことを確認するためのチェックを行います。

このセクションでは、新規または既存のインストールで自己署名証明書を作成または再作成する方法について説明します。

SSLキーおよび証明書のホスト名はそれらを配備するマシンの完全修飾ホスト名に一致する必要があります。

1. 既存のサーバ証明書の再作成

既存の証明書の有効期限が切れているか、何らかの理由で動作を停止している場合は、既存のCAから新しいサーバ証明書を生成できます。

プロシージャ:既存のサーバ証明書の再作成

  1. SUSE Multi-Linux Managerコンテナホストのコマンドプロンプトで、サーバ証明書を再生成します:

    mgrctl exec -ti -- 'rhn-ssl-tool --gen-server --dir="/root/ssl-build" --set-country="COUNTRY" \
--set-state="STATE" --set-city="CITY" --set-org="ORGANIZATION" \
--set-org-unit="ORGANIZATION UNIT" --set-email="name@example.com" \
--set-hostname="susemanager.example.com" --set-cname="example.com"'

    `set-cname`パラメータが、お使いのSUSE Multi-Linux Managerサーバーの完全修飾ドメイン名であることを確認してください。 複数のエイリアスが必要な場合は、`set-cname`パラメータを複数回使用できます。

秘密鍵とサーバ証明書は、サーバコンテナ内の`/root/ssl-build/susemanager/ディレクトリに、それぞれ`server.key`および`server.crt`として格納されています。 最後のディレクトリの名前は、--set-hostname`オプションで使用されるホスト名によって異なります。

コンテナのホストpodmanシークレットを更新して、新しい証明書とキーをデプロイまたはインポートします。 生成したばかりの証明書のインポートに関する詳細は、administration:ssl-certs-imported.adoc#ssl-certs-import-replaceを参照してください。

2. 新しいCAおよびサーバ証明書の作成

ルートCAを置き換える必要がある場合は注意してください。 サーバとクライアント間の信頼チェーンが破損する可能性があります。 その場合、すべてのクライアントにログインし、CAを直接デプロイするために管理者ユーザーが必要です。
プロシージャ:新しい証明書の作成

  1. SUSE Multi-Linux Managerコンテナホストのコマンドプロンプトで、古い証明書ディレクトリを新しい場所に移動します。

    mgrctl exec -- mv /root/ssl-build /root/old-ssl-build

  2. 新しいCA証明書を生成します。

    mgrctl exec -ti -- 'rhn-ssl-tool --gen-ca --dir="/root/ssl-build" --set-country="COUNTRY" \
--set-state="STATE" --set-city="CITY" --set-org="ORGANIZATION" \
--set-org-unit="ORGANIZATION UNIT" --set-common-name="SUSE Manager CA Certificate" \
--set-email="name@example.com"'

  3. 新しいサーバ証明書を生成します。

    mgrctl exec -ti -- 'rhn-ssl-tool --gen-server --dir="/root/ssl-build" --set-country="COUNTRY" \
--set-state="STATE" --set-city="CITY" --set-org="ORGANIZATION" \
--set-org-unit="ORGANIZATION UNIT" --set-email="name@example.com" \
--set-hostname="susemanager.example.top" --set-cname="example.com"'

    `set-cname`パラメータが、お使いのSUSE Multi-Linux Managerサーバーの完全修飾ドメイン名であることを確認してください。 複数のエイリアスが必要な場合は、`set-cname`パラメータを複数回使用できます。

    ホスト名とcnameを使用して、各プロキシのサーバ証明書も生成する必要があります。