前提条件
Zabbixサーバがインストールされていること。
環境
CentOS 6.5：Zabbixサーバ
Windows7：クライアント端末
インストール済みパッケージ：
mod_ssl-2.2.15-47.el6.centos.x86_64
openssl-1.0.1e-42.el6.x86_64
openssl-devel-1.0.1e-42.el6.x86_64
入っていない場合は、yumでインストールしておこう。
サーバ証明書の作成
まずは、サーバ証明書を作成して、httpsでZabbixサーバへアクセスできるようにします。この時点ではクライアント認証はしません。
秘密鍵を作成。パスフレーズは任意でＯＫです。
# openssl genrsa -des3 -out server.key.secure 2048
Generating RSA private key, 2048 bit long modulus
........................+++
# openssl rsa -in server.key.secure -out server.key
Enter pass phrase for server.key.secure:
writing RSA key
作成されていることを確認。
# ls -ltr
total 8
-rw-r--r-- 1 root root 1751 Nov 8 22:25 server.key.secure
-rw-r--r-- 1 root root 1679 Nov 8 22:26 server.key
セキュリティ上の理由から、秘密鍵のパーミッションは「400」としておこう。
# chmod 400 server.key
CSR作成
# openssl req -new -key server.key -out server.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:JP
State or Province Name (full name) []:Tokyo
Locality Name (eg, city) [Default City]:Shinagawaku
Organization Name (eg, company) [Default Company Ltd]:Test.co.jp
Organizational Unit Name (eg, section) []:Test.col.jp
Common Name (eg, your name or your server's hostname) []:Test.co.jp
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
サーバ証明書を作成
# openssl x509 -in server.csr -out server.pem -req -sig nkey server.key -days 365
Signature ok
subject=/C=JP/ST=Tokyo/L=Shinagawaku\x08\x08/O=Test.co.jp/OU=Test.col\x08.jp/CN=Test.co.jp
Getting Private key
Apacheの設定ファイルを修正。
※ssl.confがhttpd.conf内でIncludeされていることが前提です。デフォルトでは、Includeされています。
vi /etc/httpd/conf.d/ssl.conf
以下の箇所を、作成したサーバ証明書(CertificateFile)と秘密鍵(CertificateKeyFile)を指定します。
SSLCertificateFile /root/work/server.pem
SSLCertificateKeyFile /root/work/server.key
Apacheを再起動。
# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
Zabbixへアクセスしてください。以下の画面が表示されますが、「このサイトの閲覧を続行する(推奨されません)。」を選択して進んでください。
ログイン画面が表示されます。正規の証明書ではないので、証明書エラーが出ていますが、SSL通信はできています。
「証明書をエラー」-「証明書を表示」をクリックすると、証明書が表示されます。
作成したサーバ証明書の情報と間違いがないか、確認してください。これでサーバ証明書のインストールは完了です。
クライアント証明書の作成
クライアント証明書を作成します。秘密鍵の作成。
# openssl genrsa -out client.key 2048
Generating RSA private key, 2048 bit long modulus
......+++
..........................+
CSRを作成。
[root@v157-7-131-58 client]# openssl req -new -key client.key -cliout client.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:JP
State or Province Name (full name) []:Tokyo
Locality Name (eg, city) [Default City]:Shinagawaku
Organization Name (eg, company) [Default Company Ltd]:Test2
Organizational Unit Name (eg, section) []:Test2
Common Name (eg, your name or your server's hostname) []:Test2
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate req
サーバ証明書を作成。
# openssl x509 -in client.scsr -out client-ca.crt -req -signkey client.key -days 360
Signature ok
subject=/C=JP/ST=Tokyo/L=Shinagawaku/O=T\x08\x1B[C\x08\x1B[Cest2/OU=Test2/CN=Test2
Getting Private key
証明書と秘密鍵のペアをexport。パスワードは任意(インストールするときに入力を求められる)。
# openssl pkcs12 -export -inkey client.key -in client -ca.crt -out client.p12 -name "test2"
Enter Export Password:
Verifying - Enter Export Password:
作成されていることを確認。
# ls -ltr
total 16
-rw-r--r-- 1 root root 1679 Nov 9 06:25 client.key
-rw-r--r-- 1 root root 1009 Nov 9 06:26 client.csr
-rw-r--r-- 1 root root 1212 Nov 9 06:26 client-ca.crt
-rw-r--r-- 1 root root 2512 Nov 9 06:27 client.p12
Apacheの設定ファイル(ssl.conf)を修正して、再起動します。
クライアント認証を必須(VerifyClient)とするのと、クライアント証明書を指定(SSLCACertificateFile)します。
SSLVerifyClient require
SSLCACertificateFile /root/work/client/client-ca.crt
# service httpd restart
これで、サーバ側の設定は完了です。
証明書のインポート
ここからは、端末側(Windows7)での設定となります。
IEで証明書のインポートの実施方法を説明します。基本的には流れにそっていくだけで大丈夫です。
まずは、作成したクライアント証明書(client.p12)をダウンロードし、デスクトップにおいて証明書をダブルクリック。
案内に沿ってインストール。
設定したパスワードを入力。
証明書ストアは、「個人」に置くのがいいでしょう。
完了。IEで「インターネットオプション」-「コンテンツ」-「証明書」を選択すると、証明書がインストールされていることが確認できます。
Zabbixサーバへのアクセス。
Zabbixサーバへアクセスすると、クライアント証明書の利用が表示されます。
「OK」を押せば次に進み、ログインができるようになります。
なお、クライアント証明書が入っていないと、以下のような画面が表示されます。
スマホへクライアント証明書を導入（が、うまくいかず）。
スマホにクライアント証明書をインストールします。これはスマホに依存するので、あくまで参考程度にしてください。私のスマホはXperiaです。
「設定」-「セキュリティ」-「内部ストレージかSDカードからインストール」を選択します。
ダウンロードした証明書ファイルを選択します。
パスワードを入力します。
証明書名を入力します。
が、「信頼できる認証情報」を確認しても、証明書が確認できない。アプリ(AndZabbixLite)でアクセスしても、当然エラーが表示される。
今後の課題
スマホへのクライアント証明書の導入し、アプリ(AndZabbixLite)でアクセス。