暗号化証明書の作成とコピー

RSA PKIには、暗号化されたDistributionで使用されるセキュリティプロセスが用意されています。

暗号化証明書は証明書署名要求(.csr)ファイルから作成されます。各Subscriberサーバには、特定のDistributor用の暗号化証明書を作成するためのテンプレートとして使用できる.csrファイルが含まれています。

暗号化証明書(.cer)は、暗号化されたDistributionの安全な送信を保証するためにSubscriberによって使用されます。.cerファイルの受け渡しをネットワーク経由で行うと、Distributionの暗号化キーが漏洩する可能性があります。したがって、証明書ファイルに含まれている暗号化キーを保護するには、暗号化セキュリティ証明書を手動でコピーする必要があります。

重要:  ファイルブラウザは伝送ケーブルを使用し、漏洩の可能性があるので、ファイルブラウザを使用して証明書を手動でコピーしないでください。代わりに、フロッピーディスクなどの外部メディアに証明書をコピーし、それを物理的にDistributorサーバからSubscriberサーバに運びます。

Subscriberで暗号化証明書を使用するには、まず証明書を解決し、暗号化されていないDistributorを各Subscriberに送信する必要があります。

証明書の解決については、証明書の解決を参照してください。

次の図は、暗号化証明書を手動でコピーする処理を示しています。

Distributorは.csrに署名して暗号化.cerファイルを作成します。このファイルを手動でDistributorからSubscriberにコピーして、Subscriberサーバ上の現在の暗号化されていない.cerファイルを置き換えます。

Distributionを抽出するには、暗号化証明書が必要です。Subscriberが、DistributionのChannelを購読しているSubscriberに暗号化されたDistributionを渡す親Subscriberとしてのみ機能している場合は、親Subscriberサーバに暗号化証明書は必要ありません。

暗号化されたDistributionの証明書を作成するには

1. 暗号化するDistributionを指定します。

2. このDistributionを所有しているDistributorを指定します。

3. 暗号化されたDistributionを受信するSubscriberを指定します。

4. 選択したDistributorの証明書を選択したSubscriberに解決して、暗号化されていないDistributionをDistributorからSubscriberに送信します。

   証明書の解決については、証明書の解決を参照してください。

5. このDistributorおよびSubscriberのファイルシステムにアクセスします。

6. 各Subscriberの次のディレクトリにあるすべての.csr証明書ファイルを、Distributorの同じパスにコピーします。

   \zenworks\pds\ted\security\csr

   このパスは、ZENworks Server Managementのインストールに使用した場所から始まります。

   証明書署名要求(.csr)を使用して暗号化証明書ファイルが作成されます。

7. ConsoleOneで、Distributorオブジェクトを右クリックし、［Sign CSR Files］をクリックし、署名する.csrファイルを選択して［Sign］をクリックします。［Success］ダイアログボックスの［OK］をクリックし、［Close］をクリックします。

   複数の.csrファイルを選択して、同時に署名できます。

   これによって、Subscriberからコピーした.csrファイルと同じDistributorのディレクトリに、証明書(.cer)ファイルが作成されます。.csrファイルごとに.cerファイルが1つ作成されます。

   iManagerを使用してこの手順を実行することもできます。

   1. ［Remote Web Console］を選択します。

   2. DistributorのIPアドレスを選択または指定します。

   3. ［Available Services］ドロップダウンボックスで、［Tiered Electronic Distribution］を選択します。

   4. ［Security］タブをクリックし、［Sign CSR］リンクをクリックします。

8. 各ターゲットSubscriberについて、次の操作を行います。

   1. Subscriberサーバの対応する.cerファイルを、Distributorのファイルシステム上の次の場所

      \zenworks\pds\ted\security\csr

      から、Subscriberのサーバのファイルシステム上の次のパスにコピーします。

      \zenworks\pds\ted\security

      各.cerファイルには、Subscriberサーバの名前が含まれています。

   2. Subscriberサーバにコピーした.cerファイルの名前を、SubscriberのDNS名ではなく、DistributorのDNS名を使用するように変更します。

9. 暗号化されたDistributionを送信します。

警告:  次のような状況では、作成した暗号化証明書を上書きして使用できます。

1. 暗号化されたDistributionに関連するChannel、Subscriber、またはDistributionを変更します。

2. これによって、証明書をコピーするかどうかを確認するメッセージが表示されます。

3. ［Yes］を選択すると、暗号化されたDistributionが送信され、Subscriberによって受信される前に、

    a. 暗号化.cerファイルは各Subscriber上で暗号化されていない.cerファイルによって上書きされます。

    b. SubscriberはDistributionを受信したときに暗号化を解除できません。これは、.cerファイルが暗号化キーを含まない.cerファイルによって上書きされたからです。

暗号化されたDistributionが各Subscriberに送信されると、暗号化.cerファイルがSubscriberサーバのファイルシステム上の.keystoreファイルに移動されるので、上書きできません。これ以降は、このような状況で［Yes］を選択して証明書をコピーできます。

暗号化されたDistributionの送信

次の図は、Subscriberサーバ上で暗号化証明書を設定した後の暗号化されたDistributionの送信処理を示しています。

暗号化キーを受信する必要があるのは、Distributionを抽出するSubscriberだけです。したがって、親SubscriberやDistributorのルーティング階層内のSubscriberは、Distributionを抽出しない場合は暗号化キーを受信する必要はありません。

暗号化されたDistributionの抽出

暗号化されたDistributionをSubscriberサーバ上で抽出するには、Subscriberが暗号化キーを受信している必要があります。次の図は、キーの送信の処理を示しています。

各Distributionについて、それぞれ暗号化キーが送信されます。