デジタル証明書の管理

証明書キーワードの設定

認証に証明書を使用するには、証明書に適用するすべてのキーワードをユーザ プロファイルに正しく設定する必要があります。 次のキーワードの設定値を確認してください。

• AuthType = 3（証明書による認証）
• CertStore = 1（Cisco 証明書ストア）
• CertName = Common Name（これは、証明書に入力する通常名（CN）と同じでなければなりません。）

ユーザ プロファイルでのパラメータの設定については、 ユーザ プロファイル を参照してください。

証明書のコマンド構文

デジタル証明書の管理は、CLI を使用して行われます。

証明書を管理するには、次の 2 通りの方法で CLI を実行します。

• 標準 UNIX シェル。あるコマンドに対して、すべての引数を同じ行に入力します。

cisco_cert_mgr -U -op enroll -f filename -chall challenge_phrase

• プロンプト モード。あるコマンドに対して、最小識別単位の引数（たとえば、-U）を入力すると、残りの情報の入力を求めるプロンプトが表示されます。

コマンドラインに入力する最小識別単位の引数の基本形式は、次のとおりです。

cisco_cert_mgr -U -op operation

cisco_cert_mgr -R -op operation

cisco_cert_mgr -E -op operation

各引数の意味は、次のとおりです。

• -U は、 ユーザ証明書または個人証明書に適用されます。

-U フラグは、証明書管理コマンドのすべてのオペレーションで使用できます。ただし、enroll_resume を除きます。

• -R は、 ルート証明書または認証機関（CA）証明書に適用されます。

-R フラグは、list、view、verify、delete、export、import、および change password の各オペレーションで使用できます。

• -E は、証明書の登録に適用されます。

-E フラグは 、list オペレーションおよび delete オペレーションと共にのみ使用できます。また、このフラグは、enroll_resume オペレーションを使用して指定する必要があります。

指定した証明書に対するオペレーションを、-op 引数の後に入力します。証明書の管理コマンドでの有効なオペレーションは、list、view、verify、delete、export、import、enroll、enroll_file、および enroll_resume です。これらのオペレーションの詳細は、 証明書の管理オペレーション を参照してください。

証明書の内容

ここでは、デジタル証明書を構成する各種の情報について説明します。

デジタル証明書には、一般的に、次の情報が含まれています。

• Common name（通常名）：所有者の名前（通常、姓と名の両方）。このフィールドで、公開キー インフラストラクチャ内の所有者が識別されます。
• Department（部門）：所有者の部門。このフィールドは、Organizational unit（組織ユニット）と同じです。
• VPN 3000 Concentrator に接続する場合、このフィールドは接続先の Concentrator で所有者に設定されている Group Name と一致する必要があります。
• VPN 5000 Concentrator に接続する場合、このフィールドは接続先の Concentrator で設定されている VPNGroup-groupname と一致する必要があります。
• Company（会社）：証明書を使用している所有者が所属する会社。このフィールドは、Organization（組織）と同じです。
• State（都道府県）：証明書を使用している所有者が居住している都道府県（米国では州）。
• Country（国）：所有者のシステムが設置されている国の 2 文字の国別コード。
• Email（E メール）：証明書の所有者の E メール アドレス。
• Thumbprint（捺印）：証明書のすべての内容の MD5 ハッシュ。この Thumbprint は、証明書の信頼性を確認する手段の一つです。たとえば、発行元 CA に問い合わせれば、このハッシュIDと比較してこの証明書が正当かどうかを確認できます。
• Key size（鍵サイズ）：署名鍵ペアのサイズ（ビット数）。
• Subject（サブジェクト）：証明書の所有者の完全修飾ドメイン名（ FQDN）。このフィールドで、証明書の所有者が LDAP と X.500 ディレクトリのクエリーに使用できる形式で固有に識別されます。一般的な Subject には、次のフィールドが含まれます。
• common name（cn; 通常名）
• organizational unit または department（ou; 組織ユニットまたは部門）
• organization または company（o; 組織または会社）
• locality、city、または town（l; 市区町村）
• state または province（st; 都道府県）
• country（c; 国）
• e-mail address（e; E メール アドレス）

証明書によっては、上記以外の項目が Subject に含まれている場合があります。

• Serial number（シリアル番号）：Certificate Revocation List（CRL）上で証明書の有効性をトラッキングする際に使用される固有の ID。
• Issuer（発行元）：証明書を発行した機関の完全修飾識別名（FQDN）。
• Not before（有効期間の開始）：証明書の発効日。
• Not after（有効期間の終了）：証明書の終了日。この日の翌日から無効になります。

次の出力例は、 デジタル証明書に含まれている各種の情報を示しています。

Common Name:Fred Flinstone

Department:Rock yard

Company:Stone Co.

State:(null)

Country:(null)

Email:fredf@stonemail.fake

Thumb Print:2936A0C874141273761B7F06F8152CF6

Key Size: 1024

Subject:e=fredf@stonemail.fake,cn=Fred Flinstone,ou=Rockyard,o=Stone Co. l=Bedrock

Serial #:7E813E99B9E0F48077BF995AA8D4ED98

Issuer:Stone Co.

Not before:Thu May 24 18:00:00 2001

Not after:Mon May 24 17:59:59 2004

証明書パスワード

各デジタル証明書は、パスワードで保護されています。証明書の管理コマンドで実行するほとんどのオペレーションでは、オペレーションの実行前にパスワードを入力する必要があります。

パスワードの入力が必要なオペレーションは、次のとおりです。

• delete（削除）
• import（インポート）
• export（エクスポート）
• enroll（登録）

証明書タグ

証明書タグとは、証明書ごとに固有の ID です。証明書ストアに追加された各証明書には、証明書タグが割り当てられます。enroll オペレーションでは、オペレーションが完了しない場合でも証明書タグが生成されます。

一部の証明書の管理オペレーションでは、オペレーションの実行前に証明書タグ引数を入力する必要があります。証明書タグが必要なオペレーションは、 cert_mgr コマンドのパラメータ に示されています。使用する証明書タグを検索するには、list オペレーションを使用します。

証明書タグ引数を入力するには、-ct コマンドの後に証明書 ID を指定します。オペレーションの後に -ct Cert #（証明書 ID）のように入力します。

次の例は、view コマンドと必要な証明書タグを示しています。

cisco_cert_mgr -U -op view -ct 0

ここでのオペレーションは view で、証明書タグは 0 です。

-ct 引数と証明書タグを入力しない場合、コマンドラインに入力するようにプロンプトが表示されます。無効な証明書タグを入力した場合、コマンドラインに証明書ストアのすべての証明書が表示され、証明書タグを再度入力するようにプロンプトが表示されます。

証明書の管理オペレーション

最小識別単位のコマンドライン引数（たとえば、-U）に続いて、証明書の管理オペレーションをコマンドラインに入力します。有効なオペレーション文字列を使用して、ストア内のデジタル証明書の list（一覧表示）、view（表示）、verify（確認）、delete（削除）、export（エクスポート）、import（インポート）、および enroll（登録）の各オペレーションを実行できます。

次の例は、証明書の管理コマンドと list オペレーション、またその出力を示しています。

cisco_cert_mgr -U -op list

cisco_cert_mgr Version 3.0.7

Cert # Common Name

0 Fred Flinstone

1 Dino

cert_mgr コマンドのパラメータ では、証明書の管理コマンドで使用可能なオペレーションについて説明します。

証明書の登録

認証機関 （CA）は、ユーザにデジタル証明書を発行し、ユーザが申告通りの個人であることを確認する手段を提供する信頼できる機関です。証明書の登録オペレーションを使用すると、証明書をネットワーク上の CA から、または登録要求ファイルから取得できます。

証明書の登録オペレーションには、次の 3 つのタイプがあります。

• enroll オペレーションを使用すると、証明書をネットワーク上で CA に登録して取得できます。CA の URL、CA のドメイン名、および通常名（CN）を入力する必要があります。
• enroll_file オペレーションを使用すると、登録要求ファイルを生成できます。このファイルは、E メールで CA に送信したり、Web ページのフォームで送信したりできます。ファイル名、通常名、および使用するエンコーディング タイプを入力する必要があります。

enroll オペレーションおよび enroll_file オペレーションでは、キーワードを使用して追加情報を指定できます。これらのキーワードは、 登録オペレーションのキーワード に記述されています。

• enroll_resume オペレーションを使用すると、中断されていたネットワーク登録を再開できます。-E 引数と証明書タグを入力する必要があります。使用する証明書タグを検索するには、list オペレーションを使用します。