外部の信頼できるRootCA証明書および分散クライアント証明書の追加

2つのデプロイメントで分散および受信パスを証跡データを転送するために接続する必要があるシナリオで、ターゲット認証方法として証明書を使用している場合、分散クライアント(distclient)証明書を使用して分散クライアント・ユーザーを検証するために、外部RootCA証明書を使用する必要があります。分散クライアント証明書はターゲット・デプロイメントに格納され、分散クライアント・ユーザー(オペレータ・ロール)がソース・デプロイメントに作成されます。このユーザーの検証タイプは「証明書」に設定されます。

ノート:証明書を使用して作成された分散パスでは、ターゲット・デプロイメントで、ユーザー名が分散パス証明書のサブジェクトDNと同じであるx-Certユーザーを構成する必要があります。分散サービス・パスを参照してください。

ターゲット・デプロイメントでのRootCA外部証明書の作成

次のステップを使用して、ソース・デプロイメントとは異なるターゲット・デプロイメントのルートCA外部証明書(rootCA_ext)を作成および管理します。

rootCA_ext.cfg構成ファイルのサンプルを次に示します。

[ req ]
default_bits = 4096
default_md = sha512
prompt = no
encrypt_key = no
distinguished_name = req_distinguished_name
req_extensions = v3_req
x509_extensions = v3_ca
x509_extensions = usr_cert
[ req_distinguished_name ]
#countryName = "US"
#stateOrProvinceName = "CA"
#localityName = "Redwood City"
#streetAddress = "400 Oracle Pkwy"
#organizationName = "Oracle USA Inc"
#organizationalUnitName = "Security"
commonName = "rootCA_ext"
#emailAddress = "[e-mail]"
[ v3_req ]
basicConstraints=CA:TRUE
[ v3_ca ]
basicConstraints=CA:TRUE
[ usr_cert ]
basicConstraints=CA:TRUE
[ my_extensions ]

rootCA外部証明書を生成するコマンドは次のとおりです:

openssl req -subj "/CN=RootCA_ext"
            -newkey rsa:2048 -nodes
            -keyout rootCA_ext_key.pem
            -new -x509
            -days 365
            -out rootCA_ext_cert.pem

分散クライアント証明書の作成

クライアント証明書を生成するコマンドは、次のようになります:

extendedKeyUsage = clientAuth
openssl req -subj "/CN=distclient"
        -newkey rsa:2048 -nodes
        -keyout distclient_key.pem
        -new
        -out distclient.csr

このdistclient証明書は、次のコマンドを使用してrootCA_ext証明書によって検証されます。

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in distclient.csr
        -extfile distclient_cert.cnf
        -days 365
        -out distclient_cert.pem

distclient証明書と秘密キーが生成されます。どちらのファイルもPrivace Exhanced Mail (PEM)に格納され、秘密キーは公開鍵暗号化標準(PKCS) #12形式で作成されます。