UPKI-FAQ

Space shortcuts

Page tree

問題

サーバの冗長化など，同一FQDNの複数サーバで証明書を利用する場合はどうすればよいですか。

解決方法

以下の方法いずれかで可能です。
2022年7月26日にサーバ証明書のOUが廃止されるため、対応に変更点があります。

2022年7月26日までの解決方法

  1. 同一FQDNであれば，発行された1枚のサーバ証明書を，必要とする複数の機器にコピーしてご利用いただくことができます。
    これは，同一FQDNのサーバを使用するケースの多くは負荷分散のためであり，負荷分散装置配下に並列設置されるサーバの鍵ペア漏洩リスクは同等とみなせるためです。
    従って，同一FQDNのサーバであるものの，設置場所が異なるなど鍵ペア漏洩リスクが異なる場合には，下記2.，3.の方法で対応いただくことを推奨します。

  2. サーバ毎にCSRを作成し，各サーバに証明書を発行する方法でも対応可能です。次の点に留意して，CSRを作成してください。
    1. Common Name（コモンネーム, CN）は同一にする。
    2. Organizational Unit Name（組織部門, OU）は，最後に1，2，3等の数字をつける等，各サーバ毎に名称を変更する。
    ※これは証明書を一意にするために行っていただくものです。

  3. 2と同様ですが，各サーバに個別のFQDNも割り当てられている場合，下記の方法でも対応可能です。
    次の点に留意して，CSRを作成してください。
    1. Common Name（コモンネーム, CN）は個別のFQDNにする。
    2. Organizational Unit Name（組織部門, OU）は、各サーバで同一で結構です。
    3. dNSNameに共通のFQDNを指定する。

2022年7月26日以降の解決方法（OU廃止後）

  1. 同一FQDNであれば，発行された1枚のサーバ証明書を，必要とする複数の機器にコピーしてご利用いただくことができます。
    これは，同一FQDNのサーバを使用するケースの多くは負荷分散のためであり，負荷分散装置配下に並列設置されるサーバの鍵ペア漏洩リスクは同等とみなせるためです。
    従って，同一FQDNのサーバであるものの，設置場所が異なるなど鍵ペア漏洩リスクが異なる場合には，下記2. の方法で対応いただくことを推奨します。

  2. 各サーバに個別のFQDNも割り当てられている場合，下記の方法でも対応可能です。
    次の点に留意して，CSRを作成してください。
    1. Common Name（コモンネーム, CN）は個別のFQDNにする。
    2. dNSNameに共通のFQDNを指定する。

    例：1枚目の主体者DN ”CN=certs1.nii.ac.jp, O=NII, L=Chiyoda-ku,ST=Tokyo,C=JP"
    　　2枚目の主体者DN ”CN=certs2.nii.ac.jp, O=NII, L=Chiyoda-ku,ST=Tokyo,C=JP"
    　　1枚目のSANsの値 "dNSName=certs1.nii.ac.jp, dNSName=certs.nii.ac.jp"
    　　2枚目のSANsの値 "dNSName=certs2.nii.ac.jp, dNSName=certs.nii.ac.jp"


関連記事