FIPSアプライアンスの初回構成
メモ
- FIPS FAQは次の場所にあります： FIPS FAQ。
- VPX FIPS構成については次を参照してください：Citrix ADC VPX FIPS認定アプライアンス。
構成ユーティリティへのHTTPSアクセスおよびセキュアなリモートプロシージャコールには、証明書とキーのペアが必要です。RPCノードは、構成およびセッション情報のシステム間通信に使用される内部システムエンティティです。アプライアンスごとに1つのRPCノードが存在します。このノードに格納されるパスワードは、接続するアプライアンスによって提供されるパスワードと比較して調べられます。各アプライアンスがほかのCitrix ADCアプライアンスと通信するには、それらのアプライアンスについての知識（他のアプライアンスでの認証方法など）が必要です。RPCノードはこの情報を保持しており、それにはほかのCitrix ADCアプライアンスのIPアドレスや、認証に使用されるパスワードなどが含まれます。
Citrix ADC MPXアプライアンス仮想アプライアンスでは、証明書とキーのペアは内部サービスに自動的にバインドされます。FIPSアプライアンスでは、FIPSカードのハードウェアセキュリティモジュール（HSM）に証明書とキーのペアをインポートする必要があります。そのためには、FIPSカードを構成し、証明書とキーのペアを作成して、それを内部サービスにバインドする必要があります。
CLIを使用してセキュアなHTTPSの構成
CLIを使用してセキュアなHTTPSを構成するには、次の手順を実行します
-
アプライアンスのFIPSカードでハードウェアセキュリティモジュール（HSM）を初期化します。HSMの初期化について詳しくは、「HSMの構成」を参照してください。
-
アプライアンスが高可用性セットアップの一部である場合は、SIMを有効にします。プライマリアプライアンスおよびセカンダリアプライアンス上でのSIMの有効化について詳しくは、「高可用性セットアップでのFIPSアプライアンスの構成」を参照してください。
-
FIPSキーをアプライアンスのFIPSカードのHSMにインポートします。コマンドプロンプトで入力します。
import ssl fipskey serverkey -key ns-server.key -inform PEM -
証明書とキーのペアを追加します。コマンドプロンプトで入力します。
add certkey server -cert ns-server.cert -fipskey serverkey -
前の手順で作成した証明書キーを次の内部サービスにバインドします。コマンドプロンプトで入力します。
bind ssl service nshttps-127.0.0.1-443 -certkeyname serverbind ssl service nshttps-::11-443 -certkeyname server
GUIを使用して安全なHTTPSを構成する
GUIを使用して安全なHTTPSを構成するには、次の手順に従います。
-
アプライアンスのFIPSカードでハードウェアセキュリティモジュール（HSM）を初期化します。HSMの初期化について詳しくは、「HSMの構成」を参照してください。
- アプライアンスが高可用性セットアップの一部である場合は、セキュア情報システム（SIM）を有効にします。プライマリアプライアンスおよびセカンダリアプライアンス上でのSIMの有効化について詳しくは、「高可用性セットアップでのFIPSアプライアンスの構成」を参照してください。
- FIPSキーをアプライアンスのFIPSカードのHSMにインポートします。FIPSキーのインポートについて詳しくは、「既存のFIPSキーのインポート」を参照してください。
- ［Traffic Management ］> ［SSL］ > ［Certificates］ に移動します。
- 詳細ペインで、［Install］ をクリックします。
- ［Install Certificate］ダイアログボックスで、証明書の詳細を入力します。
- ［Create］ をクリックしてから、［Close］ をクリックします。
- ［Traffic Management］>［Load Balancing］>［Services］ の順に移動します。
- 詳細ペインの ［Action］ タブで、［Internal Services］ をクリックします。
- 一覧から
nshttps-127.0.0.1-443を選択し、［Open］ をクリックします。 - ［Available］ ペインの ［SSL Settings］ タブで、手順7で作成した証明書を選択して ［Add］ をクリックし、［OK］ をクリックします。
- 一覧から
nshttps-::11-443を選択し、［Open］ をクリックします。 - ［Available］ ペインの ［SSL Settings］ タブで、手順7で作成した証明書を選択して ［Add］ をクリックし、［OK］ をクリックします。
- ［OK］ をクリックします。
CLIを使用してセキュアRPCを構成する
CLIを使用してセキュアRPCを設定するには、次の手順に従います。
-
アプライアンスのFIPSカードでハードウェアセキュリティモジュール（HSM）を初期化します。HSMの初期化について詳しくは、「HSMの構成」を参照してください。
-
安全な情報システム（SIM）を有効にします。プライマリアプライアンスおよびセカンダリアプライアンス上でのSIMの有効化について詳しくは、「高可用性セットアップでのFIPSアプライアンスの構成」を参照してください。
-
FIPSキーをアプライアンスのFIPSカードのHSMにインポートします。コマンドプロンプトで入力します。
import ssl fipskey serverkey -key ns-server.key -inform PEM -
証明書とキーのペアを追加します。コマンドプロンプトで入力します。
add certkey server -cert ns-server.cert -fipskey serverkey -
証明書とキーのペアを次の内部サービスにバインドします。コマンドプロンプトで入力します。
bind ssl service nsrpcs-127.0.0.1-3008 -certkeyname serverbind ssl service nskrpcs-127.0.0.1-3009 -certkeyname serverbind ssl service nsrpcs-::1l-3008 -certkeyname server -
セキュアRPCモードを有効にします。コマンドプロンプトで入力します。
set ns rpcnode <IP address> -secure YESRPCノードのパスワードの変更の詳細については、「RPCノードのパスワードを変更」を参照してください。
GUIを使用してセキュアRPCを構成する
GUIを使用してセキュアRPCを設定するには、次の手順に従います。
- アプライアンスのFIPSカードでハードウェアセキュリティモジュール（HSM）を初期化します。HSMの初期化について詳しくは、「HSMの構成」を参照してください。
- 安全な情報システム（SIM）を有効にします。プライマリアプライアンスおよびセカンダリアプライアンス上でのSIMの有効化について詳しくは、「高可用性セットアップでのFIPSアプライアンスの構成」を参照してください。
- FIPSキーをアプライアンスのFIPSカードのHSMにインポートします。FIPSキーのインポートについて詳しくは、「既存のFIPSキーのインポート」を参照してください。
- ［Traffic Management ］> ［SSL］ > ［Certificates］ に移動します。
- 詳細ペインで、［Install］ をクリックします。
- ［Install Certificate］ ダイアログボックスで、証明書の詳細を入力します。
- ［Create］ をクリックしてから、［Close］ をクリックします。
- ［Traffic Management］>［Load Balancing］>［Services］ の順に移動します。
- 詳細ペインの ［Action］ タブで、［Internal Services］ をクリックします。
- 一覧から
nsrpcs-127.0.0.1-3008を選択し、［Open］ をクリックします。 - ［Available］ ペインの ［SSL Settings］ タブで、手順7で作成した証明書を選択して ［Add］ をクリックし、［OK］ をクリックします。
- 一覧から
nskrpcs-127.0.0.1-3009を選択し、［Open］ をクリックします。 - ［Available］ ペインの ［SSL Settings］ タブで、手順7で作成した証明書を選択して ［Add］ をクリックし、［OK］ をクリックします。
- 一覧から
nsrpcs-::11-3008を選択し、［Open］ をクリックします。 - ［Available］ ペインの ［SSL Settings］ タブで、手順7で作成した証明書を選択して ［Add］ をクリックし、［OK］ をクリックします。
- ［OK］ をクリックします。
- ［System］>［Network］>［RPC］ の順に選択します。
- 詳細ペインでIPアドレスを選択して、［Open］ をクリックします。
- ［Configure RPC Node］ ダイアログボックスで、［Secure］ を選択します。
- ［OK］ をクリックします。