| Oracle® Fusion Middleware Oracle Fusion Middlewareの管理 12c (12.1.3) E56229-02 |
|
 前 |
 次 |
この付録で、orapkiなど12cよりも前のツールから、12c (12.1.3)で提供されている証明書ツール、ウォレット管理ツールおよびSSL構成ツールへの移行方法について学習していきます。
Oracle Application Server 10gでは、証明書失効リスト(CRL)の管理、Oracleウォレットの作成と管理、およびテスト用の署名付き証明書の作成のためのコマンド行ツールであるorapkiユーティリティが提供されていました。また、SSL構成ツールも提供されていました。
Oracle Fusion Middleware 12c (12.1.3)では、SSLを構成するために、コマンド行ユーザー・インタフェースとグラフィカル・ユーザー・インタフェースの両方が提供されています。Oracle WebLogic Scripting Tool (WLST)およびOracle Enterprise Manager Fusion Middleware Controlにより、ユーザーはKSSベースおよびJKSベースのキーストア、ウォレットおよび証明書を管理できます。
この付録の項は次のとおりです。
|
関連項目:
|
|
注意:
|
この項の項目は次のとおりです。
orapkiユーティリティは、公開鍵インフラストラクチャ(PKI)要素(ウォレット、証明書失効リストなど)をコマンド行で管理できるようにするために提供されています。これにより、実行するタスクをスクリプトに組み込むことができます。これを使用して、PKIを保守するルーチン・タスクの多くを自動化できます。
このコマンド行ユーティリティを使用して、次のタスクを実行できます。
テスト用の署名付き証明書の作成
Oracleウォレットの管理
Oracleウォレットの作成と表示
証明書リクエストの追加と削除
証明書の追加と削除
信頼できる証明書の追加と削除
証明書失効リスト(CRL)の管理
証明書検証用ハッシュ値によるCRLの名前変更
orapkiを使用すると、証明書をDERフォーマットとPEMフォーマットの両方でインポートできます。
orapkiコマンド行ユーティリティの基本的な構文を次に示します。
orapki module command -parameter value
このコマンドでは、moduleをwallet (Oracleウォレット)、crl(証明書失効リスト)またはcert (PKIデジタル証明書)にできます。使用可能なコマンドは、使用するmoduleによって異なります。たとえば、walletを使用している場合、addコマンドを使用して証明書またはキーをウォレットに追加できます。次の例では、/private/lhale/cert.txtにあるユーザー証明書が、ORACLE_HOME/wallet/ewallet.p12にあるウォレットに追加されます。
orapki wallet add -wallet ORACLE_HOME/wallet/ewallet.p12 -user_cert -cert /private/lhale/cert.txt
DN構文はプラットフォーム固有です。
多数のorapkiコマンドでは、DNの指定が必要です。UNIXでは、次の例のように、user_dnを一重引用符で囲む必要があります。
$ORACLE_HOME/oracle_common/bin/orapki wallet add -wallet $ORACLE_HOME/wallet -dn 'CN=server.in.oracle.com, OU=Support, O=Oracle, L=Jaipur, ST=Rajasthan, C=IN' -keysize 1024
Windowsでは、次のように二重引用符で囲みます。
$ORACLE_HOME/oracle_common/bin/orapki wallet add -wallet $ORACLE_HOME/wallet -dn "CN=server.in.oracle.com, OU=Support, O=Oracle, L=Jaipur, ST=Rajasthan, C=IN" -keysize 1024
コマンド行で次のコマンドを入力することにより、特定のモードで使用可能なorapkiコマンドをすべて表示できます。
orapki mode help
たとえば、証明書失効リスト(CRL)を管理するために使用可能なコマンドをすべて表示するには、コマンド行に次のように入力します。
orapki crl help
|
注意:
|
このコマンド行ユーティリティは、テスト用の署名付き証明書を作成する便利で手軽な方法を提供します。次の構文を使用して、署名付き証明書を作成し、証明書を表示できます。
テスト用の署名付き証明書を作成するには:
orapki cert create [-wallet wallet_location] -request certificate_request_location -cert certificate_location -validity number_of_days [-summary]
このコマンドにより、証明書リクエストから署名付き証明書が作成されます。-walletパラメータは、証明書リクエストへの署名に使用されるユーザー証明書と秘密鍵を含むウォレットを指定します。-validityパラメータは、現在の日付から数えてこの証明書が有効である日数を指定します。証明書と証明書リクエストの指定は、このコマンドでは必須です。
証明書を表示するには:
orapki cert display -cert certificate_location [-summary | -complete]
このコマンドを使用すると、orapkiを使用して作成したテスト証明書を表示できます。-summaryまたは-completeのいずれかを選択できます。これによりコマンドが表示するデータの詳細さが決まります。-summaryを選択すると、証明書とその有効期限が表示されます。-completeを選択すると、シリアル番号、公開鍵などの追加の証明書情報が表示されます。
次の各項では、orapkiコマンド行ユーティリティを使用してOracleウォレットの作成および管理を行うために使用される構文について説明します。これらのorapkiユーティリティのwalletモジュール・コマンドをスクリプトで使用して、ウォレット作成プロセスを自動化できます。
orapkiを使用した証明書と証明書リクエストのOracleウォレットからのエクスポート
|
注意:
|
|
関連項目: パスワードで保護されたウォレットまたは自動ログイン・ウォレットの作成方法の例は、ドキュメントID 1629906.1 Fusion Middleware 12cにおけるORAPKIを使用したウォレットの作成方法(Oracle Technology Networkナレッジ・ベースにあります)を参照してください。 |
この項の項目は次のとおりです。
orapki wallet create -wallet wallet_location
このコマンドでは、ウォレット・パスワードを入力または再入力するよう求められます。-walletで指定された場所にウォレットが作成されます。
orapki wallet create -wallet wallet_location -auto_login
このコマンドを使用すると、自動ログインが有効なウォレットが作成されます。また、既存のウォレットで自動ログインを有効化する場合にも使用できます。wallet_locationにすでにウォレットが含まれている場合、そのウォレットの自動ログインが有効になります。自動ログイン機能を無効にするには、cwallet.ssoを削除します。
|
注意: 自動ログイン機能を有効にしたウォレットでは、 |
orapki wallet create -wallet wallet -pwd pwd -compat_v12
このコマンドを使用すると、AES暗号化によりOracleウォレットが作成されます。
orapki wallet convert -wallet wallet -compat_v12 -pwd pwd
このコマンドを使用すると、Oracleウォレットの暗号化が3DESからAESに変換されます。
orapki wallet display -wallet wallet_location
このコマンドを使用すると、ウォレットに含まれている証明書リクエスト、ユーザー証明書および信頼できる証明書が表示されます。
この項の項目は次のとおりです。
orapki wallet add -wallet wallet_location -dn user_dn -keysize 512|1024|2048|4096
このコマンドを使用すると、指定した識別名(user_dn)を持つユーザーのウォレットに証明書リクエストが追加されます。このリクエストでは、リクエストされた証明書のキー・サイズ(512、1024または2048ビット)も指定します。リクエストに署名するには、エクスポート・オプションを使用してそのリクエストをエクスポートします。第G.1.4.3項「orapkiを使用した証明書と証明書リクエストのOracleウォレットからのエクスポート」を参照してください。
次に例を示します。
Linux/Unix: $ORACLE_HOME/oracle_common/bin/orapki wallet add -wallet $ORACLE_HOME/wallet -dn 'CN=server.in.test.com, OU=Support, O=Oracle, L=Jaipur, ST=Rajasthan, C=IN' -keysize 1024 Windows: $ORACLE_HOME/oracle_common/bin/orapki wallet add -wallet $ORACLE_HOME/wallet -dn "CN=server.in.test.com, OU=Support, O=Oracle, L=Jaipur, ST=Rajasthan, C=IN" -keysize 1024
orapki wallet add -wallet wallet_location -trusted_cert -cert certificate_location
このコマンドを使用すると、指定した場所(-cert certificate_location)にある信頼できる証明書がウォレットに追加されます。ユーザー証明書を追加する前に、ユーザー証明書の証明書チェーンにあるすべての信頼できる証明書を追加する必要があります。そうしないと、ユーザー証明書を追加するコマンドは失敗します。
orapki wallet add -wallet wallet_location -dn certificate_dn -keysize 512|1024|2048 -self_signed -validity number_of_days
このコマンドを使用すると、新しい自己署名(ルート)証明書が作成され、ウォレットに追加されます。-validityパラメータ(必須)は、現在の日付から数えてこの証明書が有効である日数を指定します。このルート証明書のキー・サイズ(-keysize)は、512、1024、2048または4096ビットに指定できます。
DN構文の例は、第G.1.4.2.1項を参照してください。
orapki wallet add -wallet wallet_location -user_cert -cert certificate_location
このコマンドを使用すると、-certパラメータで指定された場所にあるユーザー証明書が、wallet_locationにあるOracleウォレットに追加されます。ユーザー証明書をウォレットに追加する前に、証明書チェーンを構成するすべての信頼できる証明書を追加する必要があります。ユーザー証明書を追加する前に、すべての信頼できる証明書がウォレットに追加されていない場合、ユーザー証明書の追加は失敗します。
この項の項目は次のとおりです。
orapki wallet export -wallet wallet_location -dn certificate_dn -cert certificate_filename
このコマンドを使用すると、サブジェクトの識別名(-dn)を持つ証明書が、ウォレットから-certで指定されたファイルにエクスポートされます。
DN構文の例は、第G.1.4.2.1項を参照してください。
orapki wallet export -wallet wallet_location -dn certificate_request_dn -request certificate_request_filename
このコマンドを使用すると、サブジェクトの識別名(-dn)を持つ証明書リクエストが、ウォレットから-requestで指定されたファイルにエクスポートされます。
DN構文の例は、第G.1.4.2.1項を参照してください。
信頼フラグを使用すると、証明書に割り当てられた適切なロールによる、証明書チェーンの検証やパスの構築などの操作が簡単に実行できます。デフォルトでは、ウォレットで信頼フラグはサポートされていません。
orapkiユーティリティを使用して、Oracleウォレットにインストールされている証明書に信頼フラグを保持できます。また、信頼フラグをサポートするウォレットの作成と変換、適切なフラグの作成と各証明書での保持などを実行できます。
表G-1に、サポートされている信頼フラグを示します。
表G-1 Oracleウォレット証明書の信頼フラグ
| フラグ | 説明 | タイプ |
|---|---|---|
|
"C" |
信頼できるCAのルート証明書と中間証明書の両方に割り当てられます。 "T"フラグと共存できます。 |
SERVER_AUTH |
|
"T" |
信頼できるCAのルート証明書と中間証明書の両方に割り当てられます。 "C"フラグと共存できます。 |
CLIENT_AUTH |
|
"P" |
ピアのユーザー証明書に割り当てられます。 "C"、"T"および"U"フラグとは共存できません。 |
VALID_PEER |
|
"U" |
ウォレット内のユーザー証明書に自動的に割り当てられます。 orapkiツールで、追加、変更またはクリアできません。 |
USER_CERT |
|
"" |
フラグが指定されていない証明書に暗黙的に割り当てられます。 |
NULL |
明示的に実行できるフラグ割当ての他に、証明書で自動的に実行される特定の割当てがあります(ウォレットで信頼フラグが使用できる場合)。
ルート・ウォレットにおいて(「ユーザー証明書」および「信頼できる証明書」セクションに同じ証明書のコピーを含む)、USER_CERTフラグが「ユーザー証明書」セクションにある証明書のみに追加されます。
ウォレットが信頼フラグをサポートするように変換された際に、次の割当てが発生します。
前の項目で説明したように、USER_CERTがユーザー証明書に追加されます。
すべての信頼できる証明書にNULLが割り当てられます。
新しい信頼できる証明書が信頼フラグを指定せずにウォレットに追加された場合は、証明書にNULLが割り当てられます。
証明書がウォレットから削除されると、その証明書に関連付けられているフラグがすべて削除されます。同じ証明書を再インストールする場合は、再度フラグを追加する必要があります。
信頼フラグを含むウォレットを作成すると(-with_trust_flagsオプションを使用)、ウォレットに特定のデフォルトの証明書が移入されます。これらの証明書にはすべて、SERVER_AUTH/CLIENT_AUTHフラグが割り当てられます。
次の各項目では、orapkiで実行できる信頼フラグ操作について説明します。
orapki wallet create –wallet wallet_location –pwd password –with_trust_flags
このコマンドを使用すると、信頼フラグをサポートするOracleウォレットが作成され、一方with_trust_flagsパラメータを指定せずに作成されたウォレットでは信頼フラグがサポートされませんが、サポートするように変換することはできます。
自動ログイン・ウォレットの作成などのその他のオプションも、信頼フラグをサポートするウォレットの作成時に指定できます。
デフォルトでは、新しいウォレットに追加される信頼できる証明書には、SERVER_AUTH/CLIENT_AUTHフラグが割り当てられますが、このフラグは明示的にクリアできます。
orapki wallet enable_trust_flags –wallet wallet_location –pwd password
このコマンドを使用すると、信頼フラグをサポートするようにウォレットが変換されます。使用ルールは次のとおりです。
これは自動ログイン・ウォレットであるため、パスワードは必要ありません。
このコマンドを使用すると、ウォレットを元の状態(つまり、信頼フラグをサポートしない状態)には戻せません。
ウォレット内に存在するユーザー証明書にはすべてUSER_CERTフラグが割り当てられます。信頼できる証明書にはすべてNULLフラグが割り当てられます。信頼できる証明書に関連付けられているフラグを変更して、任意の信頼フラグを割り当てることができます。
証明書の空のウォレットへの追加
前述したように、このコマンドを使用すると、ウォレットを元の状態(つまり、信頼フラグをサポートしない状態)には戻せません。
orapkiによってインストールされたデフォルトの証明書を含む、すべての証明書をウォレットから削除すると、ツールはウォレットが信頼フラグをサポートしているかどうかを判別することができなくなります。このため、お薦めする方法は、デフォルトでインストールされている証明書をウォレットから削除しないことであり、これらを削除する必要がある場合は、削除する前に必ず証明書をインストールして、ウォレット内に最低1つの証明書が残されている状態にしてください。
すべての証明書をウォレットから削除して、後で新しい証明書をインストールする場合、信頼フラグ・オプションを指定して新しい証明書をインストールすると、ウォレットは自動的に信頼フラグをサポートするようになります。信頼フラグ・オプションを指定せずに新しい証明書をインストールした場合、ウォレットは信頼フラグをサポートしません。
orapki wallet assign_trust_flags –wallet wallet_location –pwd password –trust_flags ""|"flags" –dn "value" [–serial_num "value" –issuer "value"]
このコマンドを使用すると、DNによって指定された証明書の信頼フラグが追加、更新または削除されます。構文ルールは次のとおりです。
ウォレットは信頼フラグをサポートしている必要があります。
ウォレットは自動ログイン・ウォレットであるため、パスワードは必要ありません。
表G-1で定義されたフラグを指定します。
必須の証明書属性パラメータはサブジェクトDNのみであり、残りの2つのパラメータはオプションです。ただし、証明書を一意に識別するために、これらのパラメータを使用して詳細を十分に指定する必要があります。
照合する属性名では大文字と小文字は区別されませんが、属性値では区別されます。
シリアル番号は、数値にする必要があります。
証明書に既存のフラグが割り当てられている場合は上書きされます。
"," (カンマ)を使用して複数のフラグを割り当てることができます(例: –add "SERVER_AUTH,CLIENT_AUTH")。
USER_CERTフラグは、ユーザー証明書に対して暗黙的に割り当てられているため、このコマンドでは指定できません(ユーザー証明書には必ずUSER_CERTフラグが存在します)。
信頼フラグを削除するには、–add ""を使用します。この場合、証明書にはNULLフラグが割り当てられます。
変更またはクリア・アクションにより、いずれかのユーザー証明書の証明書チェーンが無効になってしまう場合、このアクションは実行されません。
次に例を示します。
orapki wallet assign_trust_flags –wallet /usr/test –trust_flags "SERVER_AUTH,CLIENT_AUTH" –dn "cn=jack, ou=people, dc=example, dc=com" –serial_num "1122" –issuer "sample"
orapki wallet add –wallet wallet_location –[trusted_cert|user_cert|self_signed] –cert cert_location –pwd password –trust_flags "flag(s)"
このコマンドを使用すると、指定した信頼フラグを含む証明書がOracleウォレットに追加されます。構文ルールは次のとおりです。
ウォレットは信頼フラグをサポートしている必要があります。
ウォレットは自動ログイン・ウォレットであるため、パスワードは必要ありません。
自己署名付き証明書を生成する場合、cert_locationは必要ありません。
証明書のタイプがuser_certである場合、暗黙的にUSER_CERTフラグが追加されます。(ルート・ウォレットでは、「信頼できる証明書」セクションに自己署名付き証明書も存在していますが、この証明書にはUSER_CERTフラグは割り当てられません。)
表G-1で定義されたフラグを指定します。
信頼フラグが有効である場合、信頼できる証明書の完全な階層が存在している必要はありません(信頼フラグが指定されていないウォレットの場合とは異なり、ユーザー証明書の追加時に全チェーンが存在している必要があります)。階層内の信頼できる証明書のいずれかにSERVER_AUTH/CLIENT_AUTHフラグが割り当てられると、証明書チェーンの構築が停止します。
orapki wallet import_pkcs12 –wallet wallet_location [-pwd wallet_password] -pkcs12file pkcs12_file_location [-pkcs12pwd pkcs12_file_password]
このコマンドを使用すると、PKCS#12ファイルがOracleウォレットにインポートされます。コマンドでパスワードを指定しない場合、ユーティリティによってプロンプトが表示されます。
CRLは、orapkiを使用して管理する必要があります。このユーティリティは、CRL発行者名のハッシュ値を作成して、システム内でCRLの場所を特定します。orapkiを使用しないと、Oracleサーバーは、CRLを探してPKIデジタル証明書を検証することができません。次の各項では、CRLについて、CRLの使用方法、およびorapkiを使用してCRLを管理する方法について説明します。
|
関連項目:
|
指定の証明書を指定のコンテキストで使用できるかどうかを判定するプロセスは、証明書の検証と呼ばれます。証明書の検証には、次の項目の判定が含まれます。
信頼できる認証局(CA)にデジタル署名された証明書があるかどうか。
証明書のデジタル署名が、証明書自体の別個に計算されたハッシュ値および証明書の署名者の(CAの)公開鍵に対応しているかどうか。
証明書が期限切れになっていないかどうか。
証明書が失効していないかどうか。
SSLネットワーク・レイヤーは、自動的に最初の3つの検証チェックを実行しますが、証明書が失効していないことを確認するには、証明書失効リスト(CRL)のチェックを構成する必要があります。CRLは、失効した証明書のリストを含む署名付きデータ構造体です。これは通常、元の証明書を発行したエンティティと同じエンティティによって発行され署名されます。
使用するトラスト・ポイントすべてについてCRLが必要です。トラスト・ポイントは、一定の信頼レベルで資格を与えられたサード・パーティ・アイデンティティからの信頼できる証明書です。通常、信頼する認証局はトラスト・ポイントと呼ばれます。
証明書失効ステータスは、ファイル・システム・ディレクトリにあるCRL、または証明書のCRL配布ポイント(CRL DP)の拡張子で指定された場所からダウンロードしたCRLに対してチェックされます。CRLをローカル・ファイル・システムまたはディレクトリに格納する場合、CRLを定期的に更新する必要があります。CRL DPを使用する場合、CRLは、対応する証明書が最初に使用されるときにダウンロードされます。
サーバーは、次の場所で(ここに示されている順番で)CRLを検索します。システムは、証明書のCAのDNと一致するCRLを検出すると、検索を停止します。
ローカル・ファイル・システム
CRLファイルの場所と管理はコンポーネントに応じて異なります。Oracle WebLogic Serverの場合は、『Oracle WebLogic Serverセキュリティの管理』のCRLローカル・キャッシュの構成に関する項を参照してください。Oracle HTTP Serverの場合は、ドキュメントID 1665286.1 FMW 12cにおけるOracle HTTP ServerでのCRLチェックの構成方法(Oracle Technology Networkナレッジ・ベースにあります)を参照してください。
CRL DP
CAが、証明書が発行されたときのCRL DP X.509、バージョン3、証明書拡張子内の位置を指定すると、その証明書用の失効情報を含む適切なCRLがダウンロードされます。現在、Oracle Advanced Securityは、HTTPおよびLDAPを介したCRLのダウンロードをサポートしています。
|
注意:
|
CRL管理の手順は、対象となるコンポーネントに応じて異なります。Oracle WebLogic Serverの場合は、『Oracle WebLogic Serverセキュリティの管理』のCRLローカル・キャッシュの構成に関する項を参照してください。Oracle HTTP Serverの場合は、ドキュメントID 1665286.1 FMW 12cにおけるOracle HTTP ServerでのCRLチェックの構成方法(Oracle Technology Networkナレッジ・ベースにあります)を参照してください。
証明書失効ステータスのチェックを有効にするには、まず、使用するCAから受信したCRLがシステムで使用できるフォームである(ハッシュ値で名前変更されている)こと、またはシステムで使用できる場所にある(ディレクトリにアップロードされている)ことを確認してください。Oracle Advanced Securityには、次のタスクを実行するために使用できるコマンド行ユーティリティ、orapkiがあります。
|
注意: CRLは、正常な検証を行うために、(期限切れになる前に)定期的に更新する必要があります。このタスクは、スクリプトで |
|
関連項目: LDAPコマンド行ツールおよびその構文については、Oracle Fusion Middleware Oracle Identity Managementリファレンスのコマンド行ツールの概要に関する項を参照してください。 |
システムは、証明書を検証するとき、証明書を作成したCAが発行するCRLを見つける必要があります。システムは、証明書の発行者名とCRLにある発行者名を照合して適切なCRLを検出します。
Oracle Net Managerの「証明書失効リスト・パス」フィールドにCRL格納場所を指定する(sqlnet.oraファイルのSSL_CRL_PATHパラメータを設定する)場合、orapkiユーティリティを使用して発行者名を表すハッシュ値を使用してCRLを名前変更します。ハッシュ値を作成すると、サーバーでCRLをロードできます。
UNIXシステムでは、orapkiによってCRLへのシンボリック・リンクが作成されます。Windowsシステムでは、CRLファイルのコピーが作成されます。どちらの場合も、orapkiによって作成されたシンボリック・リンクまたはコピーは、発行者名のハッシュ値を使用して名前が付けられます。その後、システムが証明書を検証するとき、同じハッシュ関数が使用されて、適切なCRLをロードできるようにリンク(またはコピー)の名前が計算されます。
ご使用のオペレーティング・システムに応じて、次のコマンドのいずれかを入力して、ファイル・システムに格納されているCRLの名前を変更します。
UNIXファイル・システムに格納されているCRLの名前を変更するには:
orapki crl hash -crl crl_filename [-wallet wallet_location] -symlink crl_directory [-summary]
Windowsファイル・システムに格納されているCRLの名前を変更するには:
orapki crl hash -crl crl_filename [-wallet wallet_location] -copy crl_directory [-summary]
このコマンドで、crl_filenameはCRLファイルの名前、wallet_locationはCRLを発行したCAの証明書を含むウォレットの場所、crl_directoryはCRLがあるディレクトリです。
-walletおよび-summaryの使用はオプションです。-walletを指定すると、CRLの名前を変更する前に、ツールによってCAの証明書に対するCRLの有効性が確認されます。-summaryオプションを指定すると、ツールによってCRL発行者名が表示されます。
この項では、次のorapkiコマンドについて説明します。
次の各項では、このコマンドについて説明します。
orapki cert create [-wallet wallet_location] -request certificate_request_location -cert certificate_location -validity number_of_days [-summary]
-walletパラメータは、証明書リクエストへの署名に使用されるユーザー証明書と秘密鍵を含むウォレットを指定します。
-requestパラメータ(必須)は、作成する証明書の証明書リクエストの場所を指定します。
-certパラメータ(必須)は、ツールが新しい署名付き証明書を配置するディレクトリの場所を指定します。
-validityパラメータ(必須)は、現在の日付から数えてこの証明書が有効である日数を指定します。
次の各項では、このコマンドについて説明します。
orapki crl hash -crl crl_filename|URL [-wallet wallet_location] [-symlink|-copy] crl_directory [-summary]
-crlパラメータは、CRLまたはCRLがあるURLを含むファイル名を指定します。
-walletパラメータ(オプション)は、CRLを発行した認証局(CA)の証明書を含むウォレットの場所を指定します。これを使用すると、CRLをディレクトリにアップロードする前に、ツールによってCAの証明書に対するCRLの有効性が確認されます。
オペレーティング・システムに応じて、-symlinkパラメータまたは-copyパラメータのいずれかを使用します。
UNIX: -symlinkを使用してcrl_directoryにCRLへのシンボリック・リンクを作成します。
Windows: -copyを使用してcrl_directoryにCRLのコピーを作成します。
-summaryパラメータ(オプション)を使用すると、ツールによってCRL発行者名が表示されます。
次の各項では、このコマンドについて説明します。
証明書リクエストを追加するには:
orapki wallet add -wallet wallet_location -dn user_dn -keysize 512|1024|2048
-walletパラメータは、証明書リクエストの追加先のウォレットの場所を指定します。
-dnパラメータは、証明書の所有者の識別名を指定します。
-keysizeパラメータは、証明書のキー・サイズを指定します。
リクエストに署名するには、エクスポート・オプションを使用してそのリクエストをエクスポートします。第G.1.6.14項「orapki wallet export」を参照してください。
信頼できる証明書を追加するには:
orapki wallet add -wallet wallet_location -trusted_cert -cert certificate_location
-trusted_certパラメータを使用すると、ツールによって、-certで指定された場所にある信頼できる証明書がウォレットに追加されます。
ルート証明書を追加するには:
orapki wallet add -wallet wallet_location -dn certificate_dn -keysize 512|1024|2048 -self_signed -valid_from [mm/dd/yyyy] -valid_until [mm/dd/yyyy] -validity number_of_days
-self_signedパラメータを使用すると、ツールによってルート証明書が作成されます。
-validityパラメータを使用して、現在の日付から数えてこのルート証明書が有効である日数を指定できます。
-valid_fromパラメータおよびvalid_untilパラメータを使用して、このルート証明書が有効である正確な日付範囲を指定できます。-validity number_of_daysのかわりに、この方法で有効期間を指定できます。
ユーザー証明書を追加するには:
orapki wallet add -wallet wallet_location -user_cert -cert certificate_location
-user_certパラメータを使用すると、ツールによって、-certパラメータで指定された場所にあるユーザー証明書がウォレットに追加されます。ユーザー証明書をウォレットに追加する前に、証明書チェーンを構成するすべての信頼できる証明書を追加する必要があります。ユーザー証明書を追加する前に、すべての信頼できる証明書がウォレットに追加されていない場合、ユーザー証明書の追加は失敗します。
証明書リクエストにサブジェクト・キー識別子の拡張子を追加するには:
orapki wallet add -wallet wallet_location -dn user_dn -keysize 512|1024|2048 -addext_ski
バージョン3の自己署名証明書をウォレットに追加するには:
orapki wallet add -wallet wallet_location -dn certificate_dn -keysize 512|1024|2048 -self_signed -validity number_of_days -addext_ski
証明書のウォレットへの追加時に信頼フラグを追加するには:
orapki wallet add –wallet wallet_location –[trusted_cert|user_cert|self_signed] –cert cert_location –pwd password –trust_flags "flag(s)"
-trust_flagsパラメータにより、指定したフラグが証明書に追加されます。使用方法の詳細は、第G.1.4.4.4項を参照してください。
DN構文の例は、第G.1.4.2.1項を参照してください。
次の各項では、このコマンドについて説明します。
orapki wallet assign_trust_flags –wallet wallet_location –pwd password –trust_flags ""|"flags" –dn "value" [–serial_num "value" –issuer "value"]
-dnパラメータは必須です。
ウォレット内の単一の証明書に一意的に一致させるために、-serial_numおよび-issuerパラメータが必要になる場合があります。
追加の使用方法の詳細は、第G.1.4.4.3項を参照してください。
DN構文の例は、第G.1.4.2.1項を参照してください。
次の各項では、このコマンドについて説明します。
orapki wallet export -wallet wallet_location -dn certificate_dn -cert certificate_filename
-walletパラメータは、証明書のエクスポート元のウォレットがあるディレクトリを指定します。
-dnパラメータは、証明書の識別名を指定します。
-certパラメータは、エクスポートされる証明書を含むファイルのパスおよびファイル名を指定します。
証明書リクエストをOracleウォレットからエクスポートするには:
orapki wallet export -wallet wallet_location -dn certificate_request_dn -request certificate_request_filename
-requestパラメータは、エクスポートされる証明書リクエストを含むファイルのパスおよびファイル名を指定します。
次の各項では、このコマンドについて説明します。
orapki wallet export_trust_chain [-wallet [wallet]]
[-certchain [filename]]
[-dn [user_cert_dn] ]
[-pwd pwd]
-walletパラメータは、証明書チェーンのエクスポート元のウォレットの場所を指定します。
-certchainパラメータは、エクスポートされる証明書チェーンを含むファイルの名前を指定します。
-dnパラメータは、エクスポートされるエントリの識別名を指定します。
-pwdは、ウォレット・パスワードを指定します。
-dnパラメータの指定方法の例は、第G.1.4.2.1項を参照してください。
次の各項では、このコマンドについて説明します。
orapki wallet import_pkcs12 –wallet wallet_location [-pwd wallet_password] -pkcs12file pkcs12_file_location [-pkcs12pwd pkcs12_file_password]
walletパラメータは、PKCS#12ファイルのインポート先のOracleウォレットの相対または絶対パスを指定します。このパラメータは必須です。
pwdパラメータは、PKCS#12ファイルのインポート先のOracleウォレットのパスワードを指定します。このパラメータはオプションであり、必要に応じてプロンプトが表示されます。
pkcs12fileパラメータは、OracleウォレットにインポートされるPKCS#12ファイルの相対または絶対パスを指定します。このパラメータは必須です。
pkcs12pwdパラメータは、OracleウォレットにインポートされるPKCS#12ファイルのパスワードを指定します。このパラメータはオプションであり、必要に応じてプロンプトが表示されます。
次に例を示します。
orapki wallet import_pkcs12 –wallet /scratch/user/oracleWalletFolder/ewallet.p12 -pwd walletPassword -pkcs12file /scratch/userId/pkcs12fileFolder/certandkey.p12 -pkcs12pwd pkcs12filePassword
