Novell Certificate Serverでは、セキュリティコンテナオブジェクトと組織の認証局(CA)オブジェクトを作成することによって、デジタル証明書を作成、発行、および管理できます。組織の認証局オブジェクトにより、データを保護し、安全に伝送できるようになります。NetWare Web ManagerやNetWare Enterprise Web ServerなどのWeb関連製品には、組織の認証局オブジェクトが必要です。最初のeDirectoryサーバによって、eDirectoryツリー全体の組織の認証局オブジェクトとセキュリティコンテナオブジェクトが自動的に作成され、物理的に格納されます。どちらのオブジェクトもeDirectoryツリーの最上部に作成されます。これらのオブジェクトは、移動せずに作成時の位置にそのまま保管する必要があります。
1つのeDirectoryツリー内に存在できる組織の認証局オブジェクトは1つだけです。最初のサーバ上にすでに作成されている組織の認証局オブジェクトを、別のサーバに移動することはできません。組織の認証局オブジェクトを削除したり、再作成すると、その組織の認証局に関連する証明書はすべて無効になります。
重要: 組織の認証局オブジェクトを永続的に保管しようとするサーバを、最初のeDirectoryサーバにするようにします。組織の認証局オブジェクトの保管先のサーバは、ネットワーク内の継続して稼動する部分であり、アクセス可能で、信頼性が高くなければなりません。
インストール中のサーバがネットワーク内の最初のeDirectoryサーバでない場合、インストールプログラムは組織の認証局オブジェクトが存在するeDirectoryサーバを探し、このサーバを参照します。インストールプログラムは、セキュリティコンテナにアクセスし、サーバ証明書オブジェクトを作成します。
ネットワーク内に組織の認証局オブジェクトがまったく存在しないと、Web関連製品は機能しません。
LinuxまたはSolarisシステムの場合は、管理者が手動で組織の認証局オブジェクトとサーバ証明書オブジェクトを作成する必要があります。
eDirectoryには、PKCS(パブリックキー暗号化サービス)が付属しています。PKCSには、PKI(Pubic Key Infrastructure)サービスを提供するNovell Certificate Server、NICI(Novell International Cryptographic Infrastructure)、およびSAS-SSLサーバが含まれます。
次のセクションでは、eDirectoryの操作におけるセキュリティの確保について説明します。
外部認証局の使用については、『Novell Certificate Server Administration Guide』を参照してください。
次の条件を満たしているかチェックします。これらの条件は、NICIモジュールが正しくインストールおよび初期化されていることを表します。
これらの条件を満たしていない場合は、「サーバ上のNICIモジュールを初期化する」の手順に従って、サーバ上のNICIモジュールを初期化する必要があります。
eDirectoryサーバを停止します。
パッケージに含まれている.nfkファイルを/var/nds/nicifkディレクトリにコピーします。
eDirectoryサーバを開始します。
PKIサービスを起動するには、コマンドnpki -1を実行します。
ConsoleOneで、Treeオブジェクトレベルにあるセキュリティオブジェクトを右クリックし、［新規作成］>［オブジェクト］の順にクリックします。
［NDSPKI:認証局］>［OK］の順にクリックし、表示される指示に従います。
対象のサーバを選択して、eDirectoryオブジェクト名を入力します。
［作成方法］で［カスタム］を選択し、［次へ］をクリックします。
キーサイズを選択します。他のオプションについてはデフォルト値をそのまま使用して、［次へ］をクリックします。
［証明書の基本制約条件を選択します］オプションでもデフォルト値をそのまま使用し、［次へ］をクリックします。
［証明書パラメータを指定します］の［有効期間］で、［日付の指定］を選択します。
［発効日］には、システム日付よりも数日(3〜5日)前の日付を選択します。他のすべてのオプションについてはデフォルト値をそのまま使用します。
ConsoleOneでLDAPサーバオブジェクトを格納するコンテナを右クリックし、［新規作成］>［オブジェクト］の順にクリックします。
［NDSPKI:暗号化キー］>［OK］の順に選択します。
対象のサーバを選択して名前を入力します。［作成方法］で［カスタム］を選択して、［次へ］をクリックします。
証明書に署名する認証局を示す［認証局の指定］オプションではデフォルト値をそのまま使用し、［次へ］をクリックします。
［RSAキーサイズと、そのキーの使用方法を指定します］で、適切なキーサイズを選択します。その他のすべてのオプションではデフォルト値をそのまま使用し、［次へ］をクリックします。
［証明書パラメータを指定します］の［有効期間］で、［日付の指定］を選択します。
［発効日］には、システム日付よりも数日(3〜5日)前の日付を選択します。他のすべてのオプションについてはデフォルト値をそのまま使用し、［次へ］をクリックします。
［このサーバ証明書に関連付けるルート認証局証明書を指定します］でもデフォルト値をそのまま使用し、［次へ］をクリックします。
［完了］をクリックすると、暗号化キーが作成されます。
［全般］プロパティページでSSL証明書(KMO)を選択し、［NLDAPサーバを即時リフレッシュ］>［閉じる］の順にクリックします。
KMOオブジェクトをダブルクリックして［証明書］プロパティページに移動します。［ルート認証局証明書］を選択して［エクスポート］をクリックし、続いて［バイナリDER形式のファイル］を選択して［OK］をクリックします。
eDirectoryへの保護接続を確立するためのすべてのコマンドライン操作にこのファイルを組み込みます。
LDAPツール操作の実行時のセキュリティを確保するには、LinuxまたはSolarisホスト上で必ずNICIデーモンが動作している必要があります。このデーモンの起動と停止を実行するには、ルートの許可が必要です。また、ホストシステム上で稼動するデーモンのインスタンス数は必ず1つでなければなりません。
NICIデーモンを起動するには、次のコマンドを入力します。
NICIデーモンを停止するには、次のコマンドを入力します。