SSL証明書のインポート

Table of Contents

1. 新しいインストール用証明書のインポート
2. 新しいプロキシインストール用の証明書のインポート
3. 証明書を置き換える

このセクションでは、新しいSUSE ManagerのインストールにSSL証明書を設定する方法、および既存の証明書を置き換える方法について説明します。

開始する前に、以下があることを確認します。

認証局(CA) SSLパブリック証明書。 CAチェーンを使用している場合は、すべての中間CAも使用できる必要があります。
SSLサーバ秘密鍵
SSLサーバ証明書

すべてのファイルがPEM形式である必要があります。

SSLサーバ証明書のホスト名は、配備先マシンの完全修飾ホスト名と一致している必要があります。ホスト名は、証明書のX509v3 Subject Alternative Nameセクションで設定できます。環境で必要な場合は、複数のホスト名を一覧にすることもできます。サポートされているキーの種類は、RSAとEC (Elliptic Curve)です。

サードパーティの機関は通常、中間CAを使用して、要求されたサーバ証明書に署名します。この場合、チェーン内のすべてのCAが使用できる必要があります。中間CAを指定するために使用できる追加のパラメータまたはオプションがない場合は、すべてのCA (ルートCAおよび中間CA)が1つのファイルに保存されるように注意してください。

1. 新しいインストール用証明書のインポート

デフォルトで、SUSE Managerは自己署名証明書を使用します。初期セットアップを完了した後、デフォルトの証明書を、インポートされた証明書に置き換えることができます。

プロシージャ: 新しいSUSE Managerサーバへの証明書のインポート

SUSE Manager 5.0 Server Deploymentの手順に従ってSUSE Managerサーバを配備します。必ず、正しいファイルをパラメータとしてmgradm install podmanに渡してください。パラメータは次のとおりです。

3rd Party SSL Certificate Flags:
      --ssl-ca-intermediate 文字列   中間CA証明書のパス
      --ssl-ca-root 文字列            ルートCA証明書のパス
      --ssl-server-cert 文字列        サーバ証明書のパス
      --ssl-server-key 文字列         サーバキーのパス

2. 新しいプロキシインストール用の証明書のインポート

デフォルトでは、SUSE Managerプロキシは自己署名証明書を使用します。初期セットアップを完了した後で、デフォルトの証明書を、インポートされた証明書に置き換えることができます。

プロシージャ: 新しいSUSE Managerプロキシへの証明書のインポート

SLE MicroへのSUSE Manager 5.0プロキシの配備の手順に従ってSUSE Managerプロキシをインストールします。
プロンプトに従ってセットアップを完了します。

サーバとプロキシのすべてのサーバ証明書に署名するには、同じ認証局を使用します。異なるCAで署名された証明書は一致しません。

3. 証明書を置き換える

次のプロシージャはコンテナ内で実行する必要があります。実行する前に、mgrctl termを使用してコンテナ内で端末を開きます。

SUSE Managerのインストールでアクティブな証明書を新しい証明書に置き換えることができます。証明書を置き換えるには、インストールされているCA証明書を新しいCAに置き換えてから、データベースを更新します。

プロシージャ: 既存の証明書を置き換える

SUSE Managerコンテナホストのコマンドプロンプトで、証明書ファイルをコンテナに一時的にコピーします。
```
for f in <Root_CA_Certificate> <Server_Cert_File> <Server_Key_File>; do
  mgrctl cp $f server:/tmp
done
```
SUSE Managerコンテナホストで、次のコマンドを呼び出して、パラメータとして証明書を提供するコンテナ内でmgr-ssl-cert-setupを実行します。
```
mgrctl exec -ti -- mgr-ssl-cert-setup --root-ca-file=/tmp/<Root_CA_Certificate> \
  --server-cert-file=/tmp/<Server_Cert_File> --server-key-file=/tmp/<Server_Key_File>
```

コンテナから一時的にコピーされたファイルを削除します。

mgrctl exec -ti -- rm /tmp/<Root_CA_Certificate> /tmp/<Server_Cert_File> \
  /tmp/<Server_Key_File>

中間CAは、--root-ca-fileで指定されたファイルで使用することも、--intermediate-ca-fileで追加オプションとして指定することもできます。 --intermediate-ca-fileオプションは複数回指定できます。このコマンドは、提供されたファイルに対していくつかのテストを実行し、それらが有効であり、要求されたユースケースに使用できるかどうかをテストします。

手順

サービスを再起動して変更を取得します。
```
mgradm restart
```

プロキシを使用している場合は、ホスト名とcnameを使用して、各プロキシのサーバ証明書RPMを生成する必要があります。新しい設定tarballを生成して配備します。

詳細については、 installation-and-upgrade:container-deployment/suma/proxy-deployment-suma.adoc#_generate_proxy_configurationを参照してください。

ルートCAが変更された場合は、SUSE Managerに接続されているすべてのクライアントに配備する必要があります。

プロシージャ: Saltクライアント上のルートCAのデプロイ

SUSE Manager Web UIで、システム 概要に移動します。
すべてのSaltクライアントをチェックして、システムセットマネージャに追加します。
システム システムセットマネージャ 概要に移動します。
［状態］フィールドで、適用をクリックして、システムの状態を適用します。
［highstate］ページで、highstateの適用をクリックして、クライアントに変更を伝播します。