証明書マネージャー (2)
2023/4/19 - 読み終える時間: 2 分
この記事は、「Domino管理者アップデート認定試験対策」シリーズです。
-
明書ストアから TLS 証明書をエクスポートする場合、一般的に暗号化して出力します。その際に使える形式は以下の二つです。
- PKCS12 - Binary encoded X.509 (P12/PFX)
- Base64 encoded X.509 (PEM, AES256 encrypted)
参考 URL: 資格情報をファイルにエクスポートする
-
HCL Domino 12 以降、サードパーティーの認証局 (CA) からのインターネット証明書を使って Domino の環境を構成するプロセスがより簡単になりました。V11 まではコマンドラインで keytool を実行する必要がありました。V12 では証明書ストアに文書を作成して証明書を貼り付けて処理します。その際、「チェーン内の証明書は、任意の順序で指定できる = 順序はどうでもいい」ということを覚えておくとよいでしょう。
参考 URL: サードパーティ CA からの鍵と証明書を要求してインポートする
-
Domino V12 では Let's Encrypt の証明書を容易に利用できるようになりました。Let's Encrypt には無償で証明書を提供するサービスがあり気軽に利用できるようになりました。V12 の CertMgr では、ACME プロトコルを使用して、Let's Encrypt 認証局 (CA) から TLS 証明書を自動的に要求、構成、更新できるようになりました。
Let’s Encrypt CA から証明書を受け取ると、Let’s Encrypt CA サーバーはチャレンジを使用して、ユーザーが証明書のドメイン名を管理していることを検証します。サポートされているチャレンジには HTTP-01 チャレンジと DNS-01 チャレンジの2種類があります。
おすすめは DNS-01 チャレンジで、以下のメリットがあります。
- .hcl.com のようなワイルドカード証明書をサポートしているためドメイン全体をカバーできること。HTTP-01 ではホスト単位での検証しかできません。
- パブリックインターネットから Domino Web サーバーのポート 80 にアクセスする必要ないこと。
参考 URL: Let's Encrypt CA チャレンジ・オプション