Active Directory証明書サーバで証明書を発行してALBに設定する

概要

Active Directory証明書サーバ（ADCS）を構築後、証明書を発行します。発行した証明書をALBに設定して、HTTPS通信する際の手順について記載します。手順の中でADCSはALBおよびEC2にアクセス確認する際のクライアントとしても使用しているため、パソコンのアイコンを使用しています。また、今回の手順には登場しませんが、AWS Managed Microsoft AD環境におけるドメイン環境において、ADドメインに対するワイルドカード証明書を発行する想定としています。

前提条件

• VPCの作成および設定
• EC2（Windows Server 2025）の作成および設定

全体の流れ

• ADCSの機能の追加と設定
• 証明書テンプレートの作成
• 証明書の発行
• 証明書の変換
• ACMに証明書登録
• セキュリティグループの作成
• WEBサーバの設定
• ターゲットグループの作成
• ALBの作成
• 接続確認

設定手順

ADCS機能の追加と設定

「サーバーマネージャー」から「サーバーの役割の選択」を選択後、「Active Directory証明書サービス」にチェックします。

「管理ツールを含める」にチェック後、「機能の追加」をクリックします。

役割サービスの選択から「証明機関」にチェック後、「次へ」をクリックします。

「必要に応じて対象サーバーを自動的に再起動する」にチェック後、インストールをクリックします。

AD CSの機能インストール後、展開後構成を選択します。

資格情報を入力後、「次へ」をクリックします。

「証明機関」チェック後、「次へ」をクリックします。

「エンタープライズCA」を選択後、「次へ」をクリックします。

「ルートCA」を選択後、「次へ」をクリックします。

「新しい秘密キーを作成する」を選択後、「次へ」をクリックします。

暗号化オプション選択後、「次へ」をクリックします。

「このCAの共通名」を入力後、「次へ」をクリックします。

「有効期限」入力後、「次へ」をクリックします。

「データベースの場所」を入力後、「次へ」をクリックします。

内容確認後、「構成」をクリックします。

「構成に成功しました」の表示確認後、「閉じる」をクリックします。

証明書テンプレートの作成

「certsrv.msc」実行後、「証明書テンプレート」→「管理」をクリックします。

「Computer」→「テンプレートの複製」をクリックします。

「全般」タブをクリック後、「テンプレート表示名」を変更します。必要に応じて「有効期限」を変更します。

「要求処理」タブ選択後、「秘密キーのエクスポートを許可する」をチェックします。

「サブジェクト名」タブ選択後、「要求に含まれる」にチェック後、「OK」をクリックします。

「証明書テンプレート」→「新規作成」→「発行する証明書テンプレート」をクリックします。

先ほど作成したテンプレート選択後、「OK」をクリックします。

追加したテンプレートが「証明書テンプレート」一覧に表示されることを確認します。

証明書の発行

「certlm.msc」実行後、「証明書」→「すべてのタスク」→「新しい証明書の要求」をクリックします。

「次へ」をクリックします。

「Active Directory登録ポリシー」を選択後、「次へ」をクリックします。

「この証明書を登録するには情報が不足しています。～」をクリックします。

サブジェクト名、別名に下記情報入力後、「追加」をクリックします。

• サブジェクト名：種類：共通名、値：.ドメイン名（例.example.com）
• 別名：種類：DNS、値：.ドメイン名（例.example.com）

入力項目が追加されることを確認後、「OK」をクリックします。

作成した証明書テンプレートを選択後、「登録」をクリックします。

証明書が発行されたことを確認します。

作成された証明書を選択後、「すべてのタスク」→「エクスポート」をクリックします。

「次へ」をクリックします。

「はい、秘密キーをエクスポートします」にチェック後、「次へ」をクリックします。

デフォルト設定のまま「次へ」をクリックします。

パスワードを入力後、「次へ」をクリックします。

証明書のファイル名、ファイルパスを選択後、「保存」をクリックします。

「次へ」をクリックします。

「完了」をクリックします。

証明書の変換

ACMに証明書をインポート前に.pfxファイルをPEM形式に変換する必要があります。WindowsサーバにOpenSSLツールキットをインストールするか、opensslコマンドが使用出来る環境にpfxファイルを転送します。今回は検証用に構築したAmazon Linux 2023サーバがありましたのでそちらに証明書送付後、変換処置を行います。

• 証明書ファイルをOpensslコマンドを使用出来るLinuxサーバに転送

C:\Users\admin\cert>dir
key.pem
server-cert-01.pfx
C:\Users\admin\cert>scp -i key.pem server-cert-01.pfx [e-mail]:/home/ec2-user/
server-cert-01.pfx

• Linuxサーバで証明書ファイルを変換

cd /home/ec2-user/

ls
server-cert-01.pfx

openssl pkcs12 -in server-cert-01.pfx -out all.pem -nodes
Enter Import Password:

ls
all.pem  server-cert-01.pfx

cat all.pem

-----BEGIN PRIVATE KEY-----

この箇所を「ACMに証明書登録」の「②証明書のプライベートキー」の箇所に入力

-----END PRIVATE KEY-----

-----BEGIN CERTIFICATE-----

この箇所を「ACMに証明書登録」の「①証明書本文」の箇所に入力

-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----

この箇所を「ACMに証明書登録」の「③証明書チェーン - オプション」の箇所に入力

-----END CERTIFICATE-----

ACMに証明書登録

AWSコンソールからACMをクリックします。

「証明書をインポート」を選択します。

「証明書変換」で取得した情報を入力後、証明書をインポートをクリックします。

証明書がインポートされたことを確認します。

セキュリティグループの作成

ALB用のセキュリティグループを作成します。VPCからのHTTPSを許可します。

EC2用のセキュリティグループを作成します。VPCからのHTTP許可と上記作成したALB用セキュリティグループからのHTTPS通信を許可します。

WEBサーバの設定

nginxのインストールを行います。

dnf install nginx -y

nginxのConfig修正を行います。

vim /etc/nginx/nginx.conf
下記を追加
        # test1
        location /html-test1/ {
                alias /usr/share/nginx/html-test1/;
                index index-test1.html;
        }

nginxのConfigの反映を行います。

nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

systemctl restart nginx

テスト用HTMLを作成します。

cd /usr/share/nginx/
mkdir html-test1

vim html-test1/index-test1.html
test1

Windowsサーバからアクセス確認を行います。ADCSのサーバでブラウザを起動してhttp://EC2のIPアドレス/html-test1/index-test1.htmlにアクセス後、「test1」と表示されることを確認します。

ターゲットグループの作成

ALB用のターゲットグループを作成します。ターゲットの種類は「インスタンス」を選択後、ターゲットグループ名を入力します。プロトコル、ポートはHTTP:80を指定します。

VPCを選択します。

上記、nginxを設定したEC2を選択後、「保留中として以下を含める」をクリックします。

ターゲットグループのターゲットとしてEC2が登録されます。

しばらくすると、ターゲットタブからヘルスステータスが「Healthy」になっていることを確認出来ます。

ALBの作成

ELBの作成画面からApplicaton Load Balancerの作成をクリックします。

ロードバランサー名を入力後、「内部」を選択します。

VPCおよび2つのサブネットを選択します。

先ほど作成したセキュリティグループを選択します。

プロトコルをHTTPS：443とします。ターゲットグループは上記で作成したものを選択します。

「デフォルトSSL/TLSサーバー証明書」の箇所で「ACMから」を選択後、上記でインポートした証明書を選択します。

上記設定でALB作成後、しばらくするとリソースマップから正常性を確認することが出来ます。

接続確認

AD CSをインストールしたWindowsサーバからブラウザを起動後、https://ALBのDNS名//html-test1/index-test1.htmlにアクセスし、test1と表示されることを確認します。

今回、名前解決の設定までは行っておらず、ALBのドメイン名でアクセスしているため、セキュリティ警告が表示されています。本番環境では、DNSサーバにレコード作成後、ドメイン名でのアクセスを行い、ルート証明書をクライアント側に配布することにより、警告表示を抑制します。

今回、名前解決の設定までは行っておらず、ALBのドメイン名でアクセスしているため、セキュリティ警告が表示されています。本番環境では、以下の対応により警告を解消します。

• DNSレコードの作成
  DNSサーバにALBのエイリアスレコードを作成し、独自ドメイン名でアクセス可能にする

• ルート証明書の配布
  ADCSのルート証明書をクライアント端末に配布する