証明書キーワードの設定

認証に証明書を使用するには、証明書に適用するすべてのキーワードをユーザ プロファイルに正しく設定する必要があります 。次のキーワードの設定値を確認してください。

• AuthType = 3（証明書による認証）
• CertStore = 1（Cisco 証明書ストア）
• CertName = Common Name（これは、証明書に入力する一般名（CN）と同じでなければなりません。）

ユーザ プロファイルでのパラメータの設定については、 ユーザ プロファイル を参照してください。

証明書のコマンド構文

デジタル証明書の管理は、CLI を使用して行われます。

証明書の管理には、次の 2 通りの方法で CLI を実行します。

• 標準 UNIX シェル。ある所定コマンドに対して、すべての引数を同じ行に入力します。

cisco_cert_mgr -U -op enroll -f filename -chall challenge_phrase

• プロンプト モード。ある所定コマンドに対して、最小識別単位の引数（たとえば、-U）を入力すると、残りの情報に対するプロンプトが表示されます。

コマンド行に入力する最小識別単位の引数の基本形式は、次のとおりです。

cisco_cert_mgr -U -op operation

cisco_cert_mgr -R -op operation

cisco_cert_mgr -E -op operation

各引数の意味は、次のとおりです。

• -U は、 ユーザ証明書または個人証明書に適用されます。

-U フラグは、証明書管理コマンドのすべてのオペレーションで使用できます。ただし、enroll_resume を除きます。

• -R は、 ルート証明書または認証機関（CA）証明書に適用されます。

-R フラグは、list、view、verify、delete、export、import、および change password の各オペレーションで使用できます。

• -E は、証明書の登録に適用されます。

-E フラグは 、list および delete のオペレーションのみで使用できます。また、enroll_resume オペレーションを使用してこの -E フラグを指定する必要があります。

証明書に対するオペレーションは、-op 引数の後に入力します。証明書の管理コマンドに対する有効なオペレーションは、list、view、verify、delete、export、import、enroll、enroll_file、および enroll_resume です。これらのオペレーションの詳細は、 証明書の管理オペレーション を参照してください。

証明書の内容

ここでは、デジタル証明書を構成する各種の情報について説明します。

デジタル証明書には、一般的に、次の情報が含まれています。

• Common name（一般名）：所有者の名前（通常、姓と名の両方）。このフィールドにより、PKI（Public Key Infrastructure）内の所有者が識別されます。
• Department（部門）：所有者の部門。このフィールドは、Organizational unit（組織単位）と同じです。
• VPN 3000 Concentrator に接続する場合、このフィールドは接続先の Concentrator で所有者に設定されている Group Name と一致する必要があります。
• VPN 5000 Concentrator に接続する場合、このフィールドは接続先の Concentrator で設定されている VPNGroup-groupname と一致する必要があります。
• Company（会社）：証明書を使用している所有者が所属する会社。このフィールドは、Organization（組織）と同じです。
• State（都道府県）：証明書を使用している所有者が居住する都道府県（米国では州）。
• Country（国）：所有者のシステムが設置されている国の 2 文字の国別コード。
• Email：証明書の所有者の E メール アドレス。
• Thumbprint（捺印）：証明書のすべての内容の MD5 ハッシュ。この Thumbprint は、証明書の信頼性を確認する手段の一つです。たとえば、発行元 CA に連絡する場合、この ID を使用して証明書が正しいものであることを証明できます。
• Key size（鍵サイズ）：署名鍵ペアのサイズ（ビット数）。
• Subject（サブジェクト）：証明書の所有者の完全修飾ドメイン名（ FQDN）。このフィールドにより、証明書の所有者が LDAP と X.500 ディレクトリの照会に使用できる形式で固有に識別されます。一般的な Subject には、次のフィールドが含まれます。
• common name（cn; 一般名）
• organizational unit または department（ou; 組織単位または部門）
• organization または company（o; 組織または会社）
• locality、city、または town（l; 市区町村）
• state または province（st; 都道府県）
• country（c; 国）
• e-mail address（e; E メール アドレス）

証明書によっては、前述以外の項目が Subject に含まれている場合があります。

• Serial number（シリアル番号）：証明書失効リスト（CRL）で証明書の有効性の追跡に使用される固有の ID。
• Issuer（発行元）：証明書の提供元の FQDN。
• Not before（有効期間の開始）：証明書が有効になる開始日。
• Not after（有効期間の終了）：証明書が有効である最終日。

次の出力例は、 デジタル証明書に含まれている各種の情報を示しています。

Common Name: Fred Flinstone

Department: Rock yard

Company: Stone Co.

State: (null)

Country: (null)

Email: fredf@stonemail.fake

Thumb Print: 2936A0C874141273761B7F06F8152CF6

Key Size: 1024

Subject:e=fredf@stonemail.fake,cn=Fred Flinstone,ou=Rockyard,o=Stone Co. l=Bedrock

Serial #: 7E813E99B9E0F48077BF995AA8D4ED98

Issuer: Stone Co.

Not before: Thu May 24 18:00:00 2001

Not after: Mon May 24 17:59:59 2004

証明書パスワード

各デジタル証明書は、パスワードで保護されています。証明書の管理コマンドで実行するほとんどのオペレーションでは、オペレーションの実行前にパスワードを入力する必要があります。

パスワードの入力が必要なオペレーションは、次のとおりです。

• delete（削除）
• import（インポート）
• export（エクスポート）
• enroll（登録）

証明書タグ

証明書タグとは、証明書ごとに固有の ID です。証明書ストアに追加された各証明書には、証明書タグが割り当てられます。enroll オペレーションでは、オペレーションが完了しない場合でも証明書タグが生成されます。

一部の証明書の管理オペレーションでは、オペレーションの実行前に証明書タグ引数を入力する必要があります。証明書タグが必要なオペレーションは、 cert_mgr コマンドのパラメータ に記述されています。使用する証明書タグを検索するには、list オペレーションを使用します。

証明書タグ引数を入力するには、-ct コマンドの後に証明書 ID を指定します。オペレーションの後に -ct Cert #（証明書 ID）のように入力します。

次の例は、view コマンドと必要な証明書タグを示しています。

cisco_cert_mgr -U -op view -ct 0

ここでのオペレーションは view で、証明書タグは 0 です。

-ct 引数と証明書タグを入力しない場合、コマンド行に入力するようにプロンプトが表示されます。無効な証明書タグを入力した場合、コマンド行に証明書ストアのすべての証明書が表示され、証明書タグを再度入力するようにプロンプトが表示されます。

証明書の管理オペレーション

最小識別単位のコマンド行引数（たとえば、-U）に続いて、証明書の管理オペレーションをコマンド行に入力します。有効なオペレーション文字列を使用して、ストア内のデジタル証明書の list（一覧表示）、view（表示）、verify（確認）、delete（削除）、export（エクスポート）、import（インポート）、および enroll（登録）の各オペレーションを実行することができます。

次の例は、証明書の管理コマンドと list オペレーション、またその出力を示しています。

cisco_cert_mgr -U -op list

cisco_cert_mgr Version 3.0.7

Cert # Common Name

0 Fred Flinstone

1 Dino

cert_mgr コマンドのパラメータ では、証明書の管理コマンドに使用可能なオペレーションについて説明します。

証明書の登録

認証機関 （CA）は、ユーザにデジタル証明書を発行し、ユーザが申告通りの個人であることを確認する手段を提供する信頼できる機関です。証明書の登録オペレーションを使用すると、証明書をネットワーク上の認証機関（CA）から、または登録要求ファイルから取得できます。

証明書の登録オペレーションには、次の 3 つのタイプがあります。

• enroll オペレーションを使用すると、ネットワーク上で CA に登録して、証明書を取得できます。CA の URL、CA のドメイン名、および一般名（CN）を入力する必要があります。
• enroll_file オペレーションを使用すると、登録要求ファイルを生成できます。このファイルは、E メールで CA に送信したり、Web ページのフォームで送信したりすることができます。ファイル名、一般名、および使用するエンコーディング タイプを入力する必要があります。

enroll オペレーションおよび enroll_file オペレーションでは、キーワードを使用してさらに追加情報を指定することができます。これらのキーワードは、 登録オペレーションのキーワード に記述されています。

• enroll_resume オペレーションを使用すると、中断されていたネットワーク登録を再開できます。-E 引数と証明書タグを入力する必要があります。使用する証明書タグを検索するには、list オペレーションを使用します。