10に付属するOpenSSLで認証局を作成しました。Serverにサーバ証明書をインストールする手順までを紹介します。サーバ上で認証局でサーバ証明書を署名する為に証明書署名要求(CSR)を作成します。「証明書」タブより、「サーバ証明書」タブを押下します。...」ボタンを押下します。...」ボタンを押下すると下記の画面が表示されます。ここでは使用可能なトークンを選択する事ができます。T2000のようなT1プロセッサ等のH/Wのアクセラレータを使用するような場合に使用します。このようなH/Wアクセラレータを使用する場合は、トークンを作成しますが、このウィザードの画面では、それぞれの用途に応じたトークンを選択する事になります。仮に、Webサーバ以外の物を使用しない場合は、デフォルトの「internal」を選択して下さい。今回は、Webサーバの中に暗号を保存しますので、「internal」を選択します。選択した後、「次へ」ボタンを押下してください。補足:WebサーバのSSLパフォーマンスSSLの処理は暗号解析等を行うため、非常にシステムに対して負荷の掛かる作業を行っています。そこで、SSLの処理を外部のH/Wアクセラレータ等を使用する事により、HTTPS通信におけるパフォーマンスを向上させる事ができます。現在RSAによる暗号化が主流ですが、将来的にはECC(楕円暗号化曲線)のアルゴリズムが主流になる事が予想されます。ECC(楕円曲線暗号)を使用する事によりRSAに比べ、暗号化強度を向上しても暗号化キーのサイズが少なく済むため、ネットワーク帯域的にも、SSL処理に対する負荷も軽減できるようになります。(RSAの場合、暗号化強度を高めるためにはキーサイズを大きくするしか方法はありませんが、ECCは、適用する曲線の選択を変更するだけです。暗号化強度を強くしたい場合もサイズは比例して大きくなる事はありませんので、より暗号化強度が必要な環境、もしくは大量のSSL通信が発生する環境の方がECCのメリットを実感できるようになります。下記をサポートしています。6000等)を使用してパフォーマンスを向上させることもできます。プロセッサの暗号化アクセラレータを使用できます。docs.sun.comより:SSLパフォーマンス「次へ」ボタンを押下すると下記の画面が表示されます。ここでは、Webサーバの詳細を入力します。company)で指定した、組織名と完全一致する必要があります。仮に異なる名前を入力した場合、認証局(CA)での署名に失敗しますので、注意して下さい。K.K.</TD次に、証明書のキーの種類を選択します。7.0では、RSA,ECCをサポートしていますので、何れかを選択して「次へ」ボタンを押下して下さい。「次へ」ボタンを押下すると、下記の画面が表示されます。下記の画面は入力した内容を最終確認する画面です。入力した内容に問題がない場合は、「完了」ボタンを押下して下さい。「完了」ボタンを押下すると、下記の画面が表示されます。下記の画面はWebサーバから、認証局(CA)に対してリクエストする「証明書署名要求(CSR)」の画面になります。コピーした上記の内容をファイルに保存してください。REQUEST—–>ファイルに保存した後、上記画面の「閉じる」ボタンを押下します。ボタンを押下すると下記の画面が表示されますので、「配備保留中」のリンクを押下して下さい。「配備保留中」のリンクを押下すると下記の新規ウィンドウが表示されます。...」ボタンを押下して下さい。...」ボタンを押下すると下記の画面が表示されます。...」ボタンを押下して下さい。(CSR)」までが生成されました。次に、上記で作成した証明書署名要求(CSR)を元に、認証局(CA)で実際に署名を行う方法を紹介します。既存のopenssl.confのコピーを生成し、サーバ証明書を作成する為に若干設定変更を行います。ここをコメント会うとさてそれでは実際に、認証局で署名を行いましょう。先ほど修正したファイルを指定します。Webサーバで生成した証明書署名要求(CSR)を指定します。認証局の秘密鍵を指定します。認証局の証明書を指定します。署名済みのWebサーバの生成されたサーバ証明書を指定します。サーバの証明書の中身を確認してみましょう。CERTIFICATE—–>以上で、認証局(CA)による署名済みのサーバ証明書が生成されました。サーバにインストールしましょう。構成(sw-120)」を選択し、「証明書」タブを選択後、「サーバ証明書」を選択して下さい。...」ボタンが表示されますので、ボタンを押下します。...」ボタンを押下すると下記の画面が表示されます。「次へ」ボタンを押下して下さい。「次へ」ボタンを押下すると下記の画面が表示されます。CERTIFICATE」までを画面内にコピー&ペーストして貼付けます。コピー&ペーストした後「次へ」ボタンを押下して下さい。「次へ」ボタンを押下すると下記の画面が表示されます。サーバに保存する証明書のニックネームを入力します。分かり易いニックネームを入力して、「次へ」ボタンを押下して下さい。「次へ」ボタンを押下すると下記の画面を表示されます。ここではインストールする証明書の内容を確認する画面になります。問題がない場合は、「完了」ボタンを押下してください。「完了」ボタンを押下すると下記の画面が表示されます。successful」が表示されれば、正常に認証局(CA)で署名されたサーバ証明書がインストールされています。「完了」ボタンを押下すると、下記の画面が表示されます。ここで、「配備保留中」のリンクを押下して下さい。「配備保留中」のリンクを押下すると下記の新規ウィンドウが表示されます。ここで、「配備」ボタンを押下して下さい。「配備」ボタンを押下した後、下記の画面が表示されますので、「了解」ボタンを押下し、インスタンスを再起動して下さい。「了解」ボタンを押下して下さい。ボタンを押下すると下記の画面が表示されます。「閉じる」ボタンを押下すると、画面に下記のように表示されます。サーバ証明書が正常にインストールされているか画面より確認して下さい。サーバのサーバ証明書のインストールが完了しました。この状態ではまだ、HTTPSの通信ができません。構成(sw-120)」を選択した後、「HTTPリスナー」タブを選択して下さい。インスタンス中に存在する、HTTPのリスナー(http-listener-1)を選択して下さい。リスナーを選択すると下記の画面が表示されます。ここで、「SSL」のタブを選択して下さい。補足:サーバ証明書の署名要求で設定した「サーバ名(cn)」と同一のサーバ名が下記で設定されていることを確認して下さい。正常なサーバと認識されない為、サーバ名には御注意ください。HTTPSのデフォルトのポート番号は443になります。443以外のポート番号が指定されている場合、(デフォルトでは80等)はHTTPSの通信ができるように443に変更して「適用」ボタンを押下して先の手順に進んでください。「SSL」のタブを押下すると下記の画面に切り替わります。ここで、「SSL」のチェックボックスにチェックを付け「適用」ボタンを押下して下さい。「適用」ボタンを押下すると下記の画面が表示されます。「配備保留中」のリンクを押下して下さい。「配備保留中」リンクを押下すると、下記の新規ウィンドウが表示されます。ここで、「配備」ボタンを押下して下さい。「配備」ボタンを押下すると下記の画面が表示されます。今すぐ」にチェックを付け「了解」ボタンを押下して下さい。「了解」ボタンを押下した後、下記の画面が表示されます。サーバにインストールします。「対象の構成(sw-120)」→「証明書」タブより「認証局」タブを押下して下さい。すると下記の画面が表示されます。ここで「インストールボタン」を押下し認証局(CA)の証明書をインストールする事ができます。「インストール」ボタンを押下すると下記の画面が表示されます。トークンを選択し、「次へ」ボタンを押下して下さい。「次へ」ボタンを押下すると下記の画面が表示されます。この画面で認証局(CA)の証明書を貼付けます。証明書を貼付けた後「次へ」ボタンを押下してください。CERTIFICATE」までをコピー&ペースとしてご利用ください。「次へ」ボタンを押下すると下記の画面が表示されます。証明書」のラジオボタンにチェックを付け「次へ」ボタンを押下します。「次へ」ボタンを押下すると下記の画面が表示されます。ここではインストールする認証局(CA)の証明書の確認を行います。サブジェクトや発行者に記載されている内容を確認し「完了」ボタンを押下して下さい。「完了」ボタンを押下すると下記の画面が表示されます。「閉じる」ボタンを押下しインストールウィザードを終了して下さい。下記の画面では認証局(CA)の証明書が正しくインストールされているかを確認しています。インストールした認証局(CA)の証明書は一覧の最後のエントリに記載されてますので、確認を行う際にはページを移動して確認を行ってください。リンクを押下して下さい。「配備」を行った後、インスタンスを再起動する必要がありますので、画面の内容に従いインスタンスを再起動して下さい。サーバに対するサーバ証明書のインストール作業は全て完了です。サーバの構築が完了です。次は、クライアントのブラウザからHTTPSの通信ができるかを確認してみましょう。実際にクライアントのブラウザからアクセスする前に、ブラウザで1点だけ準備する事があります。それは、認証局(CA)の証明書をブラウザにインストールしなければならない点です。サーバは自前のOpenSSLで構築した認証局(CA)で署名されたサーバ証明書を利用してHTTPSの通信ができるように設定が完了していますが、クライアントのブラウザは自前で構築したOpenSSLの認証局(CA)を信頼する設定にはなっておりません。そこで、OpenSSLの認証局(CA)で署名された全ての証明書を信頼する為にクライアントのブラウザに対しても認証局(CA)の証明書をインストールする必要があります。以下に、ブラウザに認証局(CA)の証明書のインストール手順を記載します。ちなみに、下記はFirefoxを例にして記述しています。Firefoxのメニューより、「環境設定」を選択して下さい。すると下記のような新規ウィンドウが表示されます。タブを選択し、「証明書を表示」ボタンを押下して下さい。「証明書を表示」ボタンを押下すると下記のような画面が表示されます。この中で「認証局証明書」タブを選択し「インポート」ボタンを押下して下さい。「インポート」ボタンを押下するとファイルダイアログが表示されますので、事前に認証局(CA)よりFTP等で入手しておいたcacert.pemを指定して「開く」ボタンを押下します。ボタンを押下すると下記の画面が表示されますので、全てのチェックボックスにチェックを付け「OK」ボタンを押下して認証局(CA)のインストールを完了します。認証局(CA)の証明書が正しくインストールされているかを確認してみましょう。下記のように、証明書名と発行者名中に独自で作成した証明書が表示されていれば問題ありません。念のため、証明書を確認してみましょう。対象の署名書を選択し「表示」ボタンを押下してください。「表示」ボタンを押下すると下記の画面が表示されます。認証局で署名された、クライアント証明書やサーバ証明書、メール署名者の証明書、メール受信者の証明書等を信頼できるようになっています。以上で、クライアントであるブラウザ側の準備も完了しました。それでは、実際にブラウザからWebサーバにHTTPSで通信を行ってみましょう。警告画面等が表示されずに正常にHTTPSの通信ができたでしょうか?ブラウザの鍵の絵の部分をダブルクリックすると「ページ情報」を表示する画面が表示されます。内容を確認すると、このサイトへの接続は検証されており、信頼していますというメッセージが表示されているかと思います。以上で、OpenSSLを使用したセキュアなWebサーバの構築が完了です。次回は、いよいよクライアント認証の設定方法について紹介します。体裁は後で綺麗にしなおします。1へのアップデート方法について説明します。1へのアップデート方法は非常に簡単です。1のsetupを実行してください。7.0のディレクトリを指定してください。ディレクトリを指定後、「次へ」ボタンを押下すると、下記のような画面が表示されます。ここでは、インストーラが自動的に既存の情報を入手し必要なライブラリのみアップデートインストールしてくれます。実際にこの手法でアップデートした後、アップデートされたファイルを確認してみました。1をアップデートした日付を6月27日とします。ファイルの更新日付が6月27日の内容だけを確認してみます。その結果、管理サーバを初めとし既存のインスタンスの内容には一切変更は施されていない事がわかります。Serverのインスタンスを設定をしなおさなくてもそのまま設定が反影される事がわかります。既存の設定が壊れる事はありませんので容易にアップデートが可能です。アップデートの際は管理サーバやインスタンスは停止してアップデートしてください。baseディレクトリの中身は全てアップデートされていました。T2000等は非常に優れたパフォーマンスを発揮するサーバ製品として良く知られています。Server等に対する用途として非常にマッチする事も知られています。Serverのコードを使用)でも非常に優れたパフォーマンスを発揮する点をレポートにまとめた資料がリリースされましたので報告します。いただければと思います。req/secまでスケールしています。(その際のコンテンツサイズは13Kbです。req/secが最大なのかというとそうではありません。Utilizationが100%)、それ以上を処理できないというのが本当の所です。T2000上では8000req/sec以上の処理ができるという事が言えます。今回は要望が一部とおりパフォーマンスチューニングガイドも翻訳されました。等も記載されておりますので、是非一度御確認いただければと思います。リンク先に一部誤りがありました。(2006/06/26リンク先を修正しました。1が正式リリースされました。JSF1.2への対応になります。上記より入手して御試しください。u1において下記がサポートされております。Matchingこの他、検索コレクションを作成した後、コレクションのアップデートをスケジューリングできるようになっています。Alertが報告されました。早急なアップデートを御検討ください。Serverのインスタンスに対してアクセスされる。Serverのパフォーマンスに関する良い記事を書いたばかりなので、タイミングが少し悪かったですね。管理者の皆様へ今後も安心して御使用いただくためにも、このような情報も可能な限り本ブログで公開して行きたいと思います。Serverのベンチマークテストを行ったようです。Benchでベンチマークを取ったようです。Serverの2倍以上高速の結果が得られたそうです。OpenSSLをまだ使用してますか?でも書きましたが、Apacheを使わなければならない理由は少なくなってきています。Serverを管理されている管理者の皆様、嘘か本当かは御自身で簡単に確認ができます。7.0(ノンサポートの場合無料)まずは、是非一度、嘘か本当かを御試しください。使用に同意したとみなされます。