自己証明書の作成 SSL-VPN時での証明書によるクライアント認証用

NO IMAGE

プライベート認証局における自己証明書の作成についての覚え書き。
証明書の用途は、Fortigateでクライアント証明書を使用したSSL-VPN接続(Forticlient使用)を行うため。

SSL-VPNで証明書認証をする場合、以下の証明書が必要となる。

・CA証明書(ルート証明書)
・サーバ証明書
・クライアント証明書

この3つの証明書をCentOSで作ってみる。
一般的には、シマンテック等の公的な認証局にお金を払って証明書を作ってもらうけど、
自分でも作れる。

ちなみに
Fortigateへは、CA証明書とサーバ証明書をインポートする。
クライアントには、CA証明書とクライアント証明書をインポートする。

■環境

 cat /etc/redhat-release
CentOS Linux release 7.4.1708 (Core)

証明書作成用のアプリケーション(Open-SSL)をインストールする。

yum -y install openssl

sudo  yum -y install openssl
インストールされた確認

[localhost ~]$ rpm -qa|grep openssl
xmlsec1-openssl-1.2.20-7.el7_4.x86_64
openssl-1.0.2k-19.el7.x86_64
openssl-libs-1.0.2k-19.el7.x86_64
[localhost ~]$
openssl version -a
OpenSSL 1.0.2k-fips  26 Jan 2017
built on: reproducible build, date unspecified
platform: linux-x86_64
options:  bn(64,64) md2(int) rc4(16x,int) des(idx,cisc,16,int) idea(int) blowfish(idx)
compiler: gcc -I. -I.. -I../include  -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -DKRB5_MIT -m64 -DL_ENDIAN -Wall -O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches   -m64 -mtune=generic -Wa,--noexecstack -DPURIFY -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DRC4_ASM -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM -DECP_NISTZ256_ASM
OPENSSLDIR: "/etc/pki/tls"  ⇒これがOpenSSL用の規定のフォルダ
engines:  rdrand dynamic

設定ファイルは、これ

/etc/pki/tls/openssl.cnf

この設定ファイルから証明書を作る。
設定ファイルをそれぞれ、CA証明書用、サーバ証明書用、クライアント証明書用でコピーする。
各証明書で同じ情報を使う部分があるので、その共通部分について、設定ファイルに記載しておく

設定ファイルのイメージ
証明書イメージ

デフォルトは3年だが、変更できる。

udo vi /etc/pki/tls/misc/CA 					
					
CADAYS="-days 1095"    # 3 years				この部分の数字を変更する	
⇒					
CADAYS="-days 1825"     # 3 years				左記では3年(365×3)


共通設定	
 ※赤字部分を編集する		
	sudo vi /etc/pki/tls/openssl.cnf			
				
	[ req_distinguished_name ]			この部分以下を更新
						
	countryName                     = Country Name (2 letter code)			
	#countryName_default            = XX			
	countryName_default             = JP			
	countryName_min                 = 2			
	countryName_max                 = 2			
				
	stateOrProvinceName             = State or Province Name (full name)			
	#stateOrProvinceName_default    = Default Province			
	stateOrProvinceName_default     = Osaka			
				
	localityName                    = Locality Name (eg, city)			
	#localityName_default           = Default City			
	localityName_default            = Osaka			
				
	0.organizationName              = Organization Name (eg, company)			
	#0.organizationName_default     = Default Company Ltd			
	0.organizationName_default      = Koooza Company			
				
	# we can do this but it is not needed normally :-)			
	#1.organizationName             = Second Organization Name (eg, company)			
	#1.organizationName_default     = World Wide Web Pty Ltd			
				
	organizationalUnitName          = Organizational Unit Name (eg, section)			
	#organizationalUnitName_default =			
				
	commonName                      = Common Name (eg, your name or your server\'s hostname)			
	commonName_max                  = 64			
				
	emailAddress                    = Email Address			
	emailAddress_max                = 64			
				
	emailAddress                    = Email Address			
	emailAddress_max                = 64			
				
	# SET-ex3                       = SET extension number 3			

OpenSSLの設定ファイル(/etc/pki/tls/openssl.cnf)をCA証明書用、サーバー証明書用、クライアント証明書用でコピーする。

	cp openssl.cnf openssl-ca.cnf			
	cp openssl.cnf openssl-server.cnf			
	cp openssl.cnf openssl-client.cnf

CA証明書を作成する。
openssl-ca.cnfの編集

	
	[ usr_cert ]
	
	# These extensions are added when 'ca' signs a request.
	
	# This goes against PKIX guidelines but some CAs do it and some software
	# requires this to avoid interpreting an end user certificate as a CA.
	
	basicConstraints=CA:FALSE
	⇒
	basicConstraints=CA:True
	
	・
	・
	・
	
	[ v3_ca ]
	
	
	# Extensions for a typical CA
	
	
	# PKIX recommendation.
	
	subjectKeyIdentifier=hash
	
	authorityKeyIdentifier=keyid:always,issuer
	
	# This is what PKIX recommends but some broken software chokes on critical
	# extensions.
	#basicConstraints = critical,CA:true
	# So we do this instead.
	basicConstraints = CA:true
	
	# Key usage: this is typical for a CA certificate. However since it will
	# prevent it being used as an test self-signed certificate it is best
	# left out by default.
	# keyUsage = cRLSign, keyCertSign
	
	# Some might want this also
	# nsCertType = sslCA, emailCA    頭の#を消す
	⇒
	 nsCertType = sslCA, emailCA



suでルートに移行
CA証明書作成コマンド

CADAYS="-days 1825" SSLEAY_CONFIG="-config /etc/pki/tls/openssl-ca.cnf" /etc/pki/tls/misc/CA -newca									
									
	CADAYS="-days 1825" で証明書の有効期限の日数を決めれる。左記は5年								

実行例

[root@localhost tls]# CADAYS="-days 1825" SSLEAY_CONFIG="-config /etc/pki/tls/openssl-ca.cnf" /etc/pki/tls/misc/CA -newca									
CA certificate filename (or enter to create)									
									
Making CA certificate ...									
Generating a 2048 bit RSA private key									
.......................................+++									
..........+++									
writing new private key to '/etc/pki/CA/private/./cakey.pem'									
Enter PEM pass phrase:					testtest				
Verifying - Enter PEM pass phrase:				再度	testtest				
-----									
You are about to be asked to enter information that will be incorporated									
into your certificate request.									
What you are about to enter is what is called a Distinguished Name or a DN.									
There are quite a few fields but you can leave some blank									
For some fields there will be a default value,									
If you enter '.', the field will be left blank.									
-----									
Country Name (2 letter code) [JP]:							そのままエンター		
State or Province Name (full name) [Osaka]:							そのままエンター		
Locality Name (eg, city) [Osaka]:							そのままエンター		
Organization Name (eg, company) [Koooza Company]:							そのままエンター		
Organizational Unit Name (eg, section) []:							そのままエンター		
Common Name (eg, your name or your server's hostname) []:Koooza CA							好きな証明機関の名前を入力		
Email Address []:									
									
Please enter the following 'extra' attributes									
to be sent with your certificate request							そのままエンター		
A challenge password []:							そのままエンター		
An optional company name []:							そのままエンター		
Using configuration from /etc/pki/tls/openssl-ca.cnf									
Enter pass phrase for /etc/pki/CA/private/./cakey.pem:							はじめに入力したパスワードを入力		
Check that the request matches the signature									
Signature ok									
Certificate Details:									
        Serial Number:									
            8a:86:58:83:d3:bf:da:67									
        Validity									
            Not Before: Dec 21 02:44:52 2019 GMT									
            Not After : Dec 19 02:44:52 2024 GMT									
        Subject:									
            countryName               = JP									
            stateOrProvinceName       = Osaka									
            organizationName          = Koooza Company									
            commonName                = Koooza CA									
        X509v3 extensions:									
            X509v3 Subject Key Identifier:									
                0A:DD:87:4D:95:B0:4E:8C:E8:9F:F7:D0:5F:C9:26:7D:BD:E3:3F:E4									
            X509v3 Authority Key Identifier:									
                keyid:0A:DD:87:4D:95:B0:4E:8C:E8:9F:F7:D0:5F:C9:26:7D:BD:E3:3F:E4									
									
            X509v3 Basic Constraints:									
                CA:TRUE									
            Netscape Cert Type:									
                SSL CA, S/MIME CA									
Certificate is to be certified until Dec 19 02:44:52 2024 GMT (1825 days)									
									
Write out database with 1 new entries									
Data Base Updated

これでCA証明書のできあがり
できた証明書を確認する

$ ls -1 /etc/pki/CA/*return									
/etc/pki/CA/cacert.pem      # CA証明書(CAのcakey.pem で署名した公開鍵)								これがCA証明書	
/etc/pki/CA/careq.pem       # CAのCSR (CAの自己署名する前の公開鍵)									
/etc/pki/CA/index.txt       # CA管理ファイル(証明書管理情報)									
/etc/pki/CA/index.txt.attr  # CA管理ファイル(属性)									
/etc/pki/CA/index.txt.old   # CA管理ファイル(一つ前)									
/etc/pki/CA/serial									
/etc/pki/CA/certs:          # 証明書ディレクトリ

/etc/pki/CA/newcerts: # 新しい証明書ディレクトリ
8A865883D3BFDA67.pem # 新規に作成した証明書が、随時、作成されていきます。(ファイル名は、作成した時、環境によって異なる)
# このファイルは、./CA/cacert.pem と同じです。管理用なので特に意識する必要はありません、

/etc/pki/CA/private: # 秘密鍵ディレクトリ
cakey.pem # CA秘密鍵 これが秘密鍵

サーバ証明書の作成
/etc/pki/tls/openssl-server.cnf を修正

[ CA_default ]配下							
								
	default_days    = 1825                  # how long to certify for	ここでサーバ証明書の有効期限を決める	5
    

     [ usr_cert ]配下										
										
basicConstraints=CA:FALSE 				これがFALSEであること(CA証明書として使用しません)						
										
# nsCertType                    = server										
⇒この部分の頭の#を消す										
nsCertType                    = server				証明書のタイプをサーバ証明書にする						

CSRの作成

[root@localhost tls]# SSLEAY_CONFIG="-config /etc/pki/tls/openssl-server.cnf" /etc/pki/tls/misc/CA -newreq										
Generating a 2048 bit RSA private key										
................................................................................................................................................+++										
..................................................+++										
writing new private key to 'newkey.pem'										
Enter PEM pass phrase:					testserver					
Verifying - Enter PEM pass phrase:					testserver					
-----										
You are about to be asked to enter information that will be incorporated										
into your certificate request.										
What you are about to enter is what is called a Distinguished Name or a DN.										
There are quite a few fields but you can leave some blank										
For some fields there will be a default value,										
If you enter '.', the field will be left blank.										
-----										
Country Name (2 letter code) [JP]:								そのままエンター		
State or Province Name (full name) [Osaka]:								そのままエンター		
Locality Name (eg, city) [Osaka]:								そのままエンター		
Organization Name (eg, company) [Koooza Company]:								そのままエンター		
Organizational Unit Name (eg, section) []:								そのままエンター		
Common Name (eg, your name or your server's hostname) []:koooza.net								サイトのURL(サイト名)に合わす。これを間違うと機能しない		
Email Address []:								そのままエンター		
										
Please enter the following 'extra' attributes										
to be sent with your certificate request								そのままエンター		
A challenge password []:								そのままエンター		
An optional company name []:								そのままエンター		
Request is in newreq.pem, private key is in newkey.pem										
[root@localhost tls]#										
										
										
作成されたものを確認										
[root@localhost tls]# ls -l										
										
newkey.pem			サイト用の秘密鍵							
newreq.pem			サイト用の証明書要求(CSR)							

CSRよりサーバ証明書を作成する

	[root@localhost tls]# SSLEAY_CONFIG="-config /etc/pki/tls/openssl-server.cnf" /etc/pki/tls/misc/CA -sign										
	Using configuration from /etc/pki/tls/openssl-server.cnf										
	Enter pass phrase for /etc/pki/CA/private/cakey.pem:							CA証明書作成時のパスワードを入力する			
	Check that the request matches the signature							CA証明書作成時のパスワードを再度入力する			
	Signature ok										
	Certificate Details:										
	        Serial Number:										
	            8a:86:58:83:d3:bf:da:68										
	        Validity										
	            Not Before: Dec 21 03:08:42 2019 GMT										
	            Not After : Dec 19 03:08:42 2024 GMT										
	        Subject:										
	            countryName               = JP										
	            stateOrProvinceName       = Osaka										
	            localityName              = Osaka										
	            organizationName          = Koooza Company										
	            commonName                = koooza.net/										
	        X509v3 extensions:										
	            X509v3 Basic Constraints:										
	                CA:FALSE										
	            Netscape Cert Type:										
	                SSL Server										
	            Netscape Comment:										
	                OpenSSL Generated Certificate										
	            X509v3 Subject Key Identifier:										
	                83:E2:DC:94:94:08:D9:EB:B4:CB:07:EC:2D:58:AC:41:83:C7:44:27										
	            X509v3 Authority Key Identifier:										
	                keyid:0A:DD:87:4D:95:B0:4E:8C:E8:9F:F7:D0:5F:C9:26:7D:BD:E3:3F:E4										
											
	Certificate is to be certified until Dec 19 03:08:42 2024 GMT (1825 days)								ちゃんと1825日になってる		
	Sign the certificate? [y/n]:y								yでエンター		
											
											
	1 out of 1 certificate requests certified, commit? [y/n]y								yでエンター		
	Write out database with 1 new entries										
	Data Base Updated										
	Certificate:										
	    Data:										
	        Version: 3 (0x2)										
	        Serial Number:										
	            8a:86:58:83:d3:bf:da:68										
	    Signature Algorithm: sha256WithRSAEncryption										
	        Issuer: C=JP, ST=Osaka, O=Koooza Company, CN=Koooza CA										
	        Validity										
	            Not Before: Dec 21 03:08:42 2019 GMT										
	            Not After : Dec 19 03:08:42 2024 GMT										
	        Subject: C=JP, ST=Osaka, L=Osaka, O=Koooza Company, CN=koooza.net/										
	        Subject Public Key Info:										
	            Public Key Algorithm: rsaEncryption										
	                Public-Key: (2048 bit)										
	                Modulus:										
	                    00:b4:93:7c:54:9b:aa:ac:95:2d:31:38:99:58:8f:										
	                    09:79:7b:52:4c:4b:9e:44:da:b0:ed:b3:63:24:8a:										
	                    53:a5:5c:d0:e4:c9:48:a9:37:63:b1:72:ee:ec:1c:										
	                    6a:b6:b5:13:8f:15:23:4c:b8:35:cf:96:49:08:91:										
	                    3e:a1:1b:04:42:35:11:dc:a7:f3:20:c6:69:2f:1a:										
	                    d0:7a:30:fb:8c:9b:3d:9c:d2:53:80:af:3e:5b:f0:										
	                    e2:6f:e4:51:c8:68:24:f4:26:0b:c4:5a:7d:96:da:										
	                    70:42:b0:75:3f:14:45:db:29:ae:93:1d:20:f5:f2:										
	                    46:dc:7c:fb:1e:f8:37:67:e7:cd:f7:20:08:b1:e2:										
	                    f0:fa:fb:ad:aa:d7:46:9c:5e:b7:11:4d:43:43:5c:										
	                    02:a1:d4:4e:a7:ca:dc:17:9b:04:51:6d:c3:a8:b0:										
	                    59:e3:6c:f8:d5:a1:5e:5c:e4:18:f0:1b:f0:a0:f8:										
	                    68:b9:9e:d2:d9:49:a2:de:db:ca:9f:4e:70:91:27:										
	                    10:66:9c:0e:8d:87:3c:8b:76:8f:ed:0a:c4:84:78:										
	                    5a:b5:2e:97:d4:a4:a7:87:b4:b2:03:c1:3a:e4:57:										
	                    27:95:e9:40:ef:aa:ef:ac:71:e4:b6:b2:1e:a3:c1:										
	                    d3:26:c6:10:5f:dd:7a:6a:2a:c6:37:2b:4f:14:df:										
	                    c6:e1										
	                Exponent: 65537 (0x10001)										
	        X509v3 extensions:										
	            X509v3 Basic Constraints:										
	                CA:FALSE										
	            Netscape Cert Type:										
	                SSL Server										
	            Netscape Comment:										
	                OpenSSL Generated Certificate										
	            X509v3 Subject Key Identifier:										
	                83:E2:DC:94:94:08:D9:EB:B4:CB:07:EC:2D:58:AC:41:83:C7:44:27										
	            X509v3 Authority Key Identifier:										
	                keyid:0A:DD:87:4D:95:B0:4E:8C:E8:9F:F7:D0:5F:C9:26:7D:BD:E3:3F:E4										
											
	    Signature Algorithm: sha256WithRSAEncryption										
	         9e:00:37:53:60:ee:fe:ec:c3:74:47:33:0e:c4:34:63:8b:28:										
	         6c:69:3a:4b:b9:ce:b9:7b:08:6e:a2:22:6a:17:0f:d2:2d:2d:										
	         47:95:23:73:96:e2:ab:2d:c6:b9:87:65:c9:d1:e4:20:b3:93:										
	         b4:3a:1c:3f:28:05:ee:06:aa:df:88:7d:21:a8:a1:f7:2d:0e:										
	         9c:a1:47:4b:14:35:61:1d:cb:95:ef:bf:3c:e0:4b:e7:d6:12:										
	         6d:4e:cb:f5:d2:bf:e1:7f:77:e1:c2:dd:7a:b4:04:85:14:9a:										
	         e7:39:b6:1d:6a:05:71:17:e9:b7:8a:4c:4a:91:b0:ef:44:3d:										
	         5b:0a:d9:77:9c:60:a6:60:2a:cf:09:d3:c4:f7:92:fe:7e:02:										
	         c2:8c:79:08:1d:ee:39:60:af:1f:fd:16:3e:11:13:a5:55:ea:										
	         15:38:0a:43:58:03:85:e5:99:09:ba:c4:d6:d9:f9:e5:05:66:										
	         7a:bc:0e:68:25:62:f6:db:00:42:45:b0:c9:78:ad:b3:0d:a5:										
	         ea:12:03:b0:00:00:fa:75:8e:ca:35:1e:88:9a:c0:70:98:bd:										
	         5c:a3:3f:2a:c6:5d:25:aa:02:9e:f3:01:cf:10:7d:b8:02:ad:										
	         25:d8:ba:87:a6:ca:de:8f:d9:9c:c5:c9:5a:fd:f2:25:ed:f1:										
	         fa:87:91:5b										
	-----BEGIN CERTIFICATE-----										
	MIIDuTCCAqGgAwIBAgIJAIqGWIPTv9poMA0GCSqGSIb3DQEBCwUAMEoxCzAJBgNV										
	BAYTAkpQMQ4wDAYDVQQIDAVPc2FrYTEXMBUGA1UECgwOS29vb3phIENvbXBhbnkx										
	EjAQBgNVBAMMCUtvb296YSBDQTAeFw0xOTEyMjEwMzA4NDJaFw0yNDEyMTkwMzA4										
	NDJaMFwxCzAJBgNVBAYTAkpQMQ4wDAYDVQQIDAVPc2FrYTEOMAwGA1UEBwwFT3Nh										
	a2ExFzAVBgNVBAoMDktvb296YSBDb21wYW55MRQwEgYDVQQDDAtrb29vemEubmV0										
	LzCCASIwDQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEBALSTfFSbqqyVLTE4mViP										
	CXl7UkxLnkTasO2zYySKU6Vc0OTJSKk3Y7Fy7uwcara1E48VI0y4Nc+WSQiRPqEb										
	BEI1Edyn8yDGaS8a0How+4ybPZzSU4CvPlvw4m/kUchoJPQmC8RafZbacEKwdT8U										
	RdsprpMdIPXyRtx8+x74N2fnzfcgCLHi8Pr7rarXRpxetxFNQ0NcAqHUTqfK3Beb										
	BFFtw6iwWeNs+NWhXlzkGPAb8KD4aLme0tlJot7byp9OcJEnEGacDo2HPIt2j+0K										
	xIR4WrUul9Skp4e0sgPBOuRXJ5XpQO+q76xx5LayHqPB0ybGEF/demoqxjcrTxTf										
	xuECAwEAAaOBjzCBjDAJBgNVHRMEAjAAMBEGCWCGSAGG+EIBAQQEAwIGQDAsBglg										
	hkgBhvhCAQ0EHxYdT3BlblNTTCBHZW5lcmF0ZWQgQ2VydGlmaWNhdGUwHQYDVR0O										
	BBYEFIPi3JSUCNnrtMsH7C1YrEGDx0QnMB8GA1UdIwQYMBaAFArdh02VsE6M6J/3										
	0F/JJn294z/kMA0GCSqGSIb3DQEBCwUAA4IBAQCeADdTYO7+7MN0RzMOxDRjiyhs										
	aTpLuc65ewhuoiJqFw/SLS1HlSNzluKrLca5h2XJ0eQgs5O0Ohw/KAXuBqrfiH0h										
	qKH3LQ6coUdLFDVhHcuV77884Evn1hJtTsv10r/hf3fhwt16tASFFJrnObYdagVx										
	F+m3ikxKkbDvRD1bCtl3nGCmYCrPCdPE95L+fgLCjHkIHe45YK8f/RY+EROlVeoV										
	OApDWAOF5ZkJusTW2fnlBWZ6vA5oJWL22wBCRbDJeK2zDaXqEgOwAAD6dY7KNR6I										
	msBwmL1coz8qxl0lqgKe8wHPEH24Aq0l2LqHpsrej9mcxcla/fIl7fH6h5Fb										
	-----END CERTIFICATE-----										
	Signed certificate is in newcert.pem										
	[root@localhost tls]#										
											

作成されたファイルを確認

[root@localhost tls]# ls -1										
	newcert.pem		CA証明書の署名の入った証明書(CSRより作成したサーバ証明書)

分かりやすい名前に変えて、certsフォルダに入れておく

$ mv /etc/pki/tls/newcert.pem /etc/pki/CA/certs/koooza.net.crt

サーバ証明書の秘密鍵にCA証明書の秘密鍵のパスワードを埋め込む

	[root@localhost tls]# openssl rsa -in /etc/pki/tls/newkey.pem -out /etc/pki/CA/private/koooza.com.key										
	Enter pass phrase for /etc/pki/tls/newkey.pem:						サーバ証明書を作成したときのパスワードを入力する				
	writing RSA key										
	[root@localhost tls]#										

クライアント用の証明書を作成する。

	/etc/pki/tls/openssl-client.cnf を編集する										
											
	[ usr_cert ]										
	...										
	basicConstraints=CA:FALSE  # デフォルトでCA証明書として使用しません								Falseであること		
	# nsCertType = client, email  # デフォルトでクライアント用証明書を作成します										
	この頭の#消す

クライアント用の証明書のCSRを作成

											
	[root@localhost tls]# sudo SSLEAY_CONFIG="-config /etc/pki/tls/openssl-client.cnf" /etc/pki/tls/misc/CA -newreq										
	Generating a 2048 bit RSA private key										
	....+++										
	...................................................+++										
	writing new private key to 'newkey.pem'										
	Enter PEM pass phrase:							testclient			
	Verifying - Enter PEM pass phrase:							testclient			
	-----										
	You are about to be asked to enter information that will be incorporated										
	into your certificate request.										
	What you are about to enter is what is called a Distinguished Name or a DN.										
	There are quite a few fields but you can leave some blank										
	For some fields there will be a default value,										
	If you enter '.', the field will be left blank.										
	-----										
	Country Name (2 letter code) [JP]:							そのままエンター			
	State or Province Name (full name) [Osaka]:							そのままエンター			
	Locality Name (eg, city) [Osaka]:							そのままエンター			
	Organization Name (eg, company) [Koooza Company]:							そのままエンター			
	Organizational Unit Name (eg, section) []:							そのままエンター			
	Common Name (eg, your name or your server's hostname) []:test user							ユーザ名を入力			
	Email Address []:										
											
	Please enter the following 'extra' attributes										
	to be sent with your certificate request							そのままエンター			
	A challenge password []:							そのままエンター			
	An optional company name []:							そのままエンター			
	Request is in newreq.pem, private key is in newkey.pem										
	[root@localhost tls]#										

できあがったファイルを確認する

ls -1return										
	...										
	newkey.pem 			 # クライアント用秘密鍵							
	newreq.pem 			 # クライアント用公開鍵-署名なし(CSR)							

CSRよりクライアント証明書を作成

										
	[root@localhost tls]# SSLEAY_CONFIG="-config /etc/pki/tls/openssl-client.cnf" /etc/pki/tls/misc/CA -sign										
	Using configuration from /etc/pki/tls/openssl-client.cnf										
	Enter pass phrase for /etc/pki/CA/private/cakey.pem:							CA証明書作成時のパスワードを入力			
	Check that the request matches the signature										
	Signature ok										
	Certificate Details:										
	        Serial Number:										
	            8a:86:58:83:d3:bf:da:69										
	        Validity										
	            Not Before: Dec 21 03:29:17 2019 GMT										
	            Not After : Dec 20 03:29:17 2020 GMT										
	        Subject:										
	            countryName               = JP										
	            stateOrProvinceName       = Osaka										
	            localityName              = Osaka										
	            organizationName          = Koooza Company										
	            commonName                = test user										
	        X509v3 extensions:										
	            X509v3 Basic Constraints:										
	                CA:FALSE										
	            Netscape Cert Type:										
	                SSL Client, S/MIME										
	            Netscape Comment:										
	                OpenSSL Generated Certificate										
	            X509v3 Subject Key Identifier:										
	                93:68:43:79:5D:EA:03:AF:4B:1B:FE:F2:80:14:69:E7:EF:95:82:50										
	            X509v3 Authority Key Identifier:										
	                keyid:0A:DD:87:4D:95:B0:4E:8C:E8:9F:F7:D0:5F:C9:26:7D:BD:E3:3F:E4										
											
	Certificate is to be certified until Dec 20 03:29:17 2020 GMT (365 days)										
	Sign the certificate? [y/n]:y							yでエンター			
											
											
	1 out of 1 certificate requests certified, commit? [y/n]y							yでエンター			
	Write out database with 1 new entries										
	Data Base Updated										
	Certificate:										
	    Data:										
	        Version: 3 (0x2)										
	        Serial Number:										
	            8a:86:58:83:d3:bf:da:69										
	    Signature Algorithm: sha256WithRSAEncryption										
	        Issuer: C=JP, ST=Osaka, O=Koooza Company, CN=Koooza CA										
	        Validity										
	            Not Before: Dec 21 03:29:17 2019 GMT										
	            Not After : Dec 20 03:29:17 2020 GMT										
	        Subject: C=JP, ST=Osaka, L=Osaka, O=Koooza Company, CN=test user										
	        Subject Public Key Info:										
	            Public Key Algorithm: rsaEncryption										
	                Public-Key: (2048 bit)										
	                Modulus:										
	                    00:be:52:a8:54:6f:49:fb:54:f4:33:50:fd:f7:3a:										
	                    de:f3:d7:1b:ee:91:61:d9:b9:c7:6f:c3:aa:cb:84:										
	                    3c:79:58:99:4a:d1:98:f8:f6:56:01:ce:36:bb:5e:										
	                    b2:a9:a8:35:d6:b3:cd:37:2a:16:89:6b:26:48:a7:										
	                    d3:3b:a0:64:df:b5:d7:e7:30:37:b4:50:79:1c:d7:										
	                    f7:c1:04:d9:a9:a1:1f:38:0d:5d:ac:58:a8:23:76:										
	                    43:61:bc:21:fd:f8:4f:d0:4b:a6:97:1b:28:9b:7c:										
	                    57:f8:4a:88:5e:ab:9a:3d:ad:80:4a:03:bd:21:44:										
	                    ba:52:b5:e6:a2:6f:cb:8a:0e:ee:c6:56:43:5f:a1:										
	                    bf:1f:de:2a:6a:fc:d4:e1:44:f6:64:53:bd:52:c6:										
	                    cd:5f:e2:af:a8:ec:ee:1a:0f:eb:23:79:80:f2:43:										
	                    ca:8f:93:3b:78:6f:85:5d:52:93:a6:3e:24:32:70:										
	                    b0:9d:af:d3:42:c1:78:48:cb:68:8f:de:38:52:75:										
	                    f5:93:9d:ba:5e:b0:0d:fc:e0:96:9b:82:94:d8:88:										
	                    25:c9:9e:53:46:89:68:78:77:e4:f1:01:3f:d0:51:										
	                    c6:03:c8:f7:3c:1f:10:17:f0:5f:33:93:7e:aa:07:										
	                    f6:ee:7b:49:66:10:3e:be:2a:e9:2a:44:c5:a0:4e:										
	                    76:49										
	                Exponent: 65537 (0x10001)										
	        X509v3 extensions:										
	            X509v3 Basic Constraints:										
	                CA:FALSE										
	            Netscape Cert Type:										
	                SSL Client, S/MIME										
	            Netscape Comment:										
	                OpenSSL Generated Certificate										
	            X509v3 Subject Key Identifier:										
	                93:68:43:79:5D:EA:03:AF:4B:1B:FE:F2:80:14:69:E7:EF:95:82:50										
	            X509v3 Authority Key Identifier:										
	                keyid:0A:DD:87:4D:95:B0:4E:8C:E8:9F:F7:D0:5F:C9:26:7D:BD:E3:3F:E4										
											
	    Signature Algorithm: sha256WithRSAEncryption										
	         64:48:ac:df:57:80:d1:db:aa:13:b4:75:d1:73:b4:83:63:9b:										
	         25:e9:c8:ee:04:45:3b:44:ad:3b:01:53:ae:93:b9:b6:6f:f2:										
	         4d:1e:24:bc:90:76:b3:f6:ba:64:70:00:4a:58:21:18:89:ba:										
	         00:06:87:17:0e:29:a4:8a:ed:0e:db:76:c0:aa:ca:6b:97:88:										
	         02:aa:af:57:30:d0:85:3e:2d:2c:ba:3d:08:0f:4e:5f:82:84:										
	         0e:71:bb:f8:c3:c2:26:f1:42:c6:53:53:6a:79:df:00:17:cc:										
	         0c:04:81:1d:1c:92:0d:da:c9:83:98:10:9b:a2:e5:a0:75:22:										
	         75:3f:db:06:ab:9c:37:06:42:15:b4:68:41:ea:4c:9b:18:66:										
	         38:53:64:0d:97:84:70:71:69:52:d4:35:8c:68:1e:fd:16:e5:										
	         97:5f:47:92:7f:9a:4c:0f:d6:68:27:c5:4c:8c:08:c6:5c:9f:										
	         f0:e6:75:d3:20:70:1f:ba:2d:d0:48:26:44:00:f0:01:74:a4:										
	         16:9c:f1:75:5d:87:1f:38:9b:bf:56:5d:df:c8:e4:08:71:29:										
	         95:e3:53:50:9f:43:5b:d1:5d:e9:a9:2d:da:ca:b4:83:80:3c:										
	         3c:81:91:67:69:4f:d4:69:90:7a:fd:32:a8:4b:58:f9:e0:45:										
	         07:f9:6d:d1										
	-----BEGIN CERTIFICATE-----										
	MIIDtzCCAp+gAwIBAgIJAIqGWIPTv9ppMA0GCSqGSIb3DQEBCwUAMEoxCzAJBgNV										
	BAYTAkpQMQ4wDAYDVQQIDAVPc2FrYTEXMBUGA1UECgwOS29vb3phIENvbXBhbnkx										
	EjAQBgNVBAMMCUtvb296YSBDQTAeFw0xOTEyMjEwMzI5MTdaFw0yMDEyMjAwMzI5										
	MTdaMFoxCzAJBgNVBAYTAkpQMQ4wDAYDVQQIDAVPc2FrYTEOMAwGA1UEBwwFT3Nh										
	a2ExFzAVBgNVBAoMDktvb296YSBDb21wYW55MRIwEAYDVQQDDAl0ZXN0IHVzZXIw										
	ggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQC+UqhUb0n7VPQzUP33Ot7z										
	1xvukWHZucdvw6rLhDx5WJlK0Zj49lYBzja7XrKpqDXWs803KhaJayZIp9M7oGTf										
	tdfnMDe0UHkc1/fBBNmpoR84DV2sWKgjdkNhvCH9+E/QS6aXGyibfFf4Soheq5o9										
	rYBKA70hRLpSteaib8uKDu7GVkNfob8f3ipq/NThRPZkU71Sxs1f4q+o7O4aD+sj										
	eYDyQ8qPkzt4b4VdUpOmPiQycLCdr9NCwXhIy2iP3jhSdfWTnbpesA384JabgpTY										
	iCXJnlNGiWh4d+TxAT/QUcYDyPc8HxAX8F8zk36qB/bue0lmED6+KukqRMWgTnZJ										
	AgMBAAGjgY8wgYwwCQYDVR0TBAIwADARBglghkgBhvhCAQEEBAMCBaAwLAYJYIZI										
	AYb4QgENBB8WHU9wZW5TU0wgR2VuZXJhdGVkIENlcnRpZmljYXRlMB0GA1UdDgQW										
	BBSTaEN5XeoDr0sb/vKAFGnn75WCUDAfBgNVHSMEGDAWgBQK3YdNlbBOjOif99Bf										
	ySZ9veM/5DANBgkqhkiG9w0BAQsFAAOCAQEAZEis31eA0duqE7R10XO0g2ObJenI										
	7gRFO0StOwFTrpO5tm/yTR4kvJB2s/a6ZHAASlghGIm6AAaHFw4ppIrtDtt2wKrK										
	a5eIAqqvVzDQhT4tLLo9CA9OX4KEDnG7+MPCJvFCxlNTannfABfMDASBHRySDdrJ										
	g5gQm6LloHUidT/bBqucNwZCFbRoQepMmxhmOFNkDZeEcHFpUtQ1jGge/Rbll19H										
	kn+aTA/WaCfFTIwIxlyf8OZ10yBwH7ot0EgmRADwAXSkFpzxdV2HHzibv1Zd38jk										
	CHEpleNTUJ9DW9Fd6akt2sq0g4A8PIGRZ2lP1GmQev0yqEtY+eBFB/lt0Q==										
	-----END CERTIFICATE-----										
	Signed certificate is in newcert.pem										
	[root@localhost tls]#

作成したクライアント用証明書、秘密鍵をPKCS#12フォーマットにする
これでダブルクリックでWindowsに証明書をインストールできる

[root@localhost tls]# openssl pkcs12 -export -in newcert.pem -inkey newkey.pem -out test-user.pfx										
	Enter pass phrase for newkey.pem:					クライアント証明書を作成したときのパスワード					
	Enter Export Password:					Windowsとかにインストールする際のパスワード					
	Verifying - Enter Export Password:					Windowsとかにインストールする際のパスワードを再度入力					
	[root@localhost tls]#										

[root@localhost tls]# ls -l

test-user.pfx クライアント証明書

これで
CA証明書 /etc/pki/CA/cacert.pem
サーバ証明書 /etc/pki/CA/certs/www.example.com.crt
サーバ証明書秘密鍵  /etc/pki/CA/private/koooza.com.key
クライアント証明書 /etc/pki/tls/test-user.pfx
ができた。

FortigateでSSL-VPN接続する場合は、
CA証明書とサーバ証明書、サーバ証明書秘密鍵 をFortigateへインストールし、
接続するパソコンには、CA証明書とクライアント証明書をインストールしてあげる

ネットワークカテゴリの最新記事