本ブログは、オラクル・クラウドの個人ブログの1つです。

初めに

OCI証明書は、2021年10月27日にリリースされた新しいOCIマネージド・サービスです。以前、OCIロード・バランサーから証明書を利用したい時、OCI自分の証明書ではなく、外部の証明書しか利用できませんでした。これから、OCI自分で証明局(CA)、証明書(Certificate)、CAバンドルの作成とライフサイクル管理ができるようになりました。証明書サービスは無料で利用できます。

サポート対象のOCIサービス
Load Balancer
API Gateway
WAF (Web Application Firewall)

OCIコンソールからの入り口

サービス制限
Free Tierの場合、一つのテナンシに、最大 5 証明局(CA)、150 証明書(Certificate)が作成できます。有料アカウントの場合、以下となります。

他社の類似サービス

OCI	AWS	Azure	Google Cloud
OCI Certificates	AWS Certificate Manager	App Service Certificates	Google Cloud CA Service

今回は、証明局(CA)、証明書(Certificate)の作成方法と、Load Balancerからの利用方法を簡単に紹介したいと思います。

ステップ

1. 準備
2. 証明局(CA)の作成
3. 証明書の作成
4. Load Balancerから証明書の使用

1. 準備

1-1. IAMポリシーの作成

ポリシー名	グループ・動的グループ	目的	権限
Policy_Security_Admin	SecurityAdmins	セキュリティ管理者向け	Vault/Key/Secretの作成・更新・削除
Policy_CA_DG	CertificateAuthority-DG	動的グループ向け	キーの利用、関連オブジェクトの作成・更新・削除
Policy_CA_Admin	CertificateAuthorityAdmins	証明局(CA)管理者向け	CAの作成・更新・削除
Policy_Certificate_Admin	CertificateAdmins	証明書管理者向け	証明書の作成・更新・削除
Policy_Certificate_User	CertificateUsers	証明書利用者向け	証明書の使用

動的グループ（CertificateAuthority-DG）の一致ルール
resource.type='certificateauthority'

Policy_Security_Admin

Allow group SecurityAdmins to manage vaults in compartment PoC
Allow group SecurityAdmins to manage keys in compartment PoC
Allow group SecurityAdmins to manage secret-family in compartment PoC

Policy_CA_DG

Allow dynamic-group CertificateAuthority-DG to use keys in compartment PoC
Allow dynamic-group CertificateAuthority-DG to manage objects in compartment PoC

Policy_CA_Admin

Allow group CertificateAuthorityAdmins to manage certificate-authority-family in compartment PoC
Allow group CertificateAuthorityAdmins to read keys in compartment PoC
Allow group CertificateAuthorityAdmins to use key-delegate in compartment PoC
Allow group CertificateAuthorityAdmins to read buckets in compartment PoC
Allow group CertificateAuthorityAdmins to read vaults in compartment PoC

Policy_Certificate_Admin

Allow group CertificateAdmins to inspect certificate-authority-family in compartment PoC
Allow group CertificateAdmins to use certificate-authority-delegate in compartment PoC
Allow group CertificateAdmins to manage leaf-certificate-family in compartment PoC

Policy_Certificate_User

Allow group CertificateUsers to use leaf-certificate-family in compartment PoC
Allow group CertificateUsers to use certificate-authority-delegate in compartment PoC
Allow group CertificateUsers to manage certificate-associations in compartment PoC
Allow group CertificateUsers to inspect certificate-authority-associations in compartment PoC
Allow group CertificateUsers to manage cabundle-associations in compartment PoC

この例は、ルート・コンパートメントの下に「PoC」というコンパートメントを使用しています。

1-2. ボールトの作成

メニュー → アイデンティティとセキュリティ → ボールト
ボールト名を入力し、「ボールトの作成」ボタンをクリックします。

1-3. マスター暗号化キーの作成

ボールトが作成された後、マスター暗号化キーの作成を続行します。
マスター暗号化キー → キーの作成

「保護モード」は、デフォルトのHSMにします。
「キーのシェイプ: アルゴリズム」の選択肢が以下のような三つがあります。
デフォルトは、AES(対称キー)となりますが、証明局(CA)作成時、非対称キーは必要であるので、ご注意ください。この例では、RSAを利用します。

作成後

2. 証明局(CA)の作成

Menu -> Identity & Security -> Certificate Authorities-> Create Certificate Authority

基本情報
この例は、"Root CA"を作成します。名前と説明を入力してから、続行します。

サブジェクト情報
適当な名前を入力してから続行します。必要に応じて、追加情報（オプション）を入力します。

CA構成情報

項目	内容
有効期間の開始日	デフォルトは空白（即時有効になる）。
有効期間の終了日	デフォルトは、10年後の当日00時(UTC)である。 2037年12月31日以降の日付は指定できない。
ボールト	既存のボールトを指定
キー	既存のキーを指定（HSM 非対称キー）
署名アルゴリズム	キーシェイプは、RSAの場合: SHA256_WITH_RSA, SHA384_WITH_RSA, SHA512_WITH_RSA キーシェイプは、ECDSAの場合: SHA256_WITH_ECDSA, SHA384_WITH_ECDSA, SHA512_WITH_ECDSA

ルール: デフォルトのままにして、続行します。

失効構成の情報（オプション）

項目	内容
失効のスキップ	証明書失効リスト(CRL)を構成しない場合は、チェックする。デフォルトは、チェックしない。
オブジェクト・ストレージ・バケット	既存のバケットを指定
オブジェクト名の書式	適当な名前を入力
カスタム書式設定済URL	オプション

サマリー
入力した情報を確認して、作成を開始します。

CA作成後

以下のようなエラーが発生したら
Authorization failed or requested resource not found: Key Id <OCID>

原因：キーの利用権限が足りない。
解決策：動的グループの方法で、キーの利用権限を付与する。
上記のステップ1-1に、動的グループとポリシー(Policy_CA_DG)が、正しく設定されているのかを確認してください。

3. 証明書の作成

Menu -> Identity & Security -> Certificates -> Create Certificate
この例は、「内部CAによって発行済」を指定します。証明書の名前と説明を入力し、続行します。

サブジェクト情報
Common Name: ドメイン名を入力
DNS名: ドメイン名を入力

証明書のの構成情報を入力します。

項目	内容
証明書プロファイル・タイプ	選択肢（四つ）： TLS Server or Client, TLS Server, TLS Client, TLS Code Sign
発行者認証局	既存のCAを指定
有効期間の開始日	デフォルトは空白（即時有効になる）。
有効期間の終了日	デフォルトは、90日後の当日00時(UTC)である。発行CAの有効期限を超えてはいけない。2037年12月31日以降の日付も指定できない。
キー・アルゴリズム	選択肢（四つ）： RSA2048, RSA4096, ECDSA_P256, ECDSA_P384

※この例は、「有効期間の終了日」について、デフォルトの90日後ではなく、50日後の日付にしています。

項目	内容
更新間隔(日数)	デフォルトは、90日間である。前画面の「有効期間の終了日」より、自動に計算される。
前払更新期間(日数)	デフォルトは、30日間

サマリー画面で、入力した情報を確認します。

証明書作成後

以下のようなエラーが発生したら
The validity period <number> exceeds the maximum validity period allowed <number>.
原因: 指定した有効期間の日付は無効である。証明書の有効期間は、CAの有効期間を超えてはいけない。
解決策: 有効な日付を指定し、もう一回作成する。

4. Load Balancerから証明書の使用

4-1. LBの作成

MENU -> Networking -> Load Balancers -> Create Load Balancer
LBの構成情報は以下となります。作成画面の詳細を省略させていただきます。

項目	内容
LBタイプ	従来通りの"Load Balancer"
可視性タイプ	パブリック
シェイプ	フレキシブル・シェイプ
ロード・バランシング・ポリシー	Weighted Round Robin
ヘルス・チェック・ポリシー	HTTP
リスナー	HTTPS
SSL Traffic	SSL Termination フロントはHTTPSで、バックエンドはHTTPである。

この例で、バックエンドのヘルス・チェック・ポリシーは、HTTPを利用しています。もし、SSLを利用したい場合、次のように証明書の指定ができます。（CAバンドルか証明局のどちらを指定する）

リスナー構成画面で、証明書を指定してください。

LB作成後、ヘルスステータスがOKであることを確認します。

認証局(CA)と証明書のPEMファイルをダウンロードして、接続端末のブラウザを開き、次のように証明書をインポートします。

信頼されたルート証明機関に、認証局(CA)のPEMファイルをインストール。
信頼された発行元に、証明書のPEMファイルをインストール。

4-2. ドメイン名とLBのIPアドレスを紐付ける

ドメイン名を識別できるように、以下のいずれの方法はOKです。

方法１：Windowsホストファイルの編集
作業対象：接続端末
編集ファイル名：C:\Windows\System32\drivers\etc\hosts
編集内容：次の行を追加する
例：<LBのIPアドレス> xxx.com
方法２：LBのパブリックIPをDNSレコードに追加して、公開する。

4-3. LBの動作確認

ブラウザを開き、ドメイン名（https://xxxx.com）で無事にWelcomeページが表示できるのを確認します。

証明書は有効であるのを確認します。

ここまで、証明書の作成とLBからの利用は完了です。

以上

関連記事
オラクル・クラウドの個人ブログ一覧

公式ドキュメント
証明書
 認証局の管理
 ポリシー・リファレンス -> 証明書サービスの詳細
 ロード・バランサのSSL証明書管理
 証明書サービスのトラブルシューティング
 OCI Certificates FAQ