初めに
ついに1次情報を見つけました。嬉しい！やってみよう！
やってみた
Linux/macOS編です。7ページから8ページにかけてやってみます。
yum パッケージをアップデートする
sudo yum update -y
git コマンドをインストールする
sudo yum install git -y
OpenVPN Inc の easy-rsa リポジトリをクローンする
git clone https://github.com/OpenVPN/easy-rsa.git
easy-rsa ディレクトリに移動する
cd easy-rsa/easyrsa3
PKI環境を構築する
PKI は、Public Key Infrastructure の略であり、「公開鍵基盤」と訳されます。これは、「公開鍵」による「基盤（インフラ）」を表しています。「公開鍵」とは「公開鍵暗号方式」という特殊な暗号技術を指します。この技術を用いることで、暗号化、デジタル署名、認証といった様々なセキュリティ対策が実現できます
以下リンクより抜粋。
./easyrsa init-pki
認証局を立てる
信頼できる第三者機関 (TTP： Trusted Third Party)に公開鍵の所有者を保証してもらう方法です。TTP は、公開鍵の所有者の本人性をなんらかの方法で確認し、公開鍵とその所有者を保証する証明書(Certificate)を発行します。証明書には、公開鍵とその所有者を証明する情報が記載され、改ざんを防ぐために TTP の署名が付与されます。証明書を発行する TTP のことを、認証局 (CA： Certification Authority)といいます。
以下リンクより抜粋。
./easyrsa build-ca nopass
Common Name は適当に入力します。
Common Name (eg: your user, host, or server name) [Easy-RSA CA]:testname
サーバ証明書と秘密鍵を生成する
./easyrsa build-server-full server nopass
クライアント証明書と秘密鍵を生成する
これらは Clinet VPN エンドポイントの設定ファイルに必要です。
./easyrsa build-client-full client1.domain.tld nopass
ACMにキー・証明書をアップロードするためのディレクトリを作成する
mkdir ~/custom_folder
作成したキー・証明書を作成したディレクトリに移動する
cp pki/issued/server.crt ~/custom_folder
cp pki/private/server.key ~/custom_folder
cp pki/issued/client1.domain.tld.crt ~/custom_folder
cp pki/private/client1.domain.tld.key ~/custom_folder
cp pki/ca.crt ~/custom_folder
作成したディレクトリに移動する
cd ~/custom_folder/
ACMにサーバ証明書・サーバの秘密鍵・中間証明書をアップロードする
aws acm import-certificate --region ap-northeast-1 --certificate \
fileb://server.crt --private-key fileb://server.key --certificate-chain fileb://ca.crt
アップロードできました！
参考記事
- 1.3 PKI で実現できること
- 3 認証局と電子証明書