ADC

証明書失効リスト

August 15, 2023

寄稿者:

CA が発行した証明書は、通常、有効期限が切れるまで有効です。ただし、状況によっては、CA が有効期限が切れる前に発行された証明書を取り消すことがあります。たとえば、所有者の秘密鍵が侵害されたり、会社名や個人の名前が変更されたり、サブジェクトと CA との関係が変わったりします。

証明書失効リスト (CRL) は、無効な証明書をシリアル番号と発行者で識別します。

認証局は定期的に CRL を発行します。CRLを使用して無効な証明書を提示するクライアント要求をブロックするようにNetScalerアプライアンスを構成できます。

CAからのCRLファイルが既にある場合は、それをNetScalerアプライアンスに追加します。更新オプションを設定できます。また、WebロケーションまたはLDAPロケーションのいずれかから、指定した間隔でCRLファイルを自動的に同期するようにNetScalerを構成することもできます。アプライアンスは PEM または DER ファイル形式の CRL をサポートします。NetScalerアプライアンスに追加するCRLファイルのファイル形式を必ず指定してください。

ADC を CA として使用して SSL 展開で使用される証明書を作成したことがある場合は、CRL を作成して特定の証明書を取り消すこともできます。この機能を使用すると、たとえば、NetScalerで作成された自己署名証明書が本番環境で使用されたり、特定の日付以降に使用されたりしないようにすることができます。

注：

デフォルトでは、CRLはNetScalerアプライアンスの/var/netscaler/sslディレクトリに保存されます。

ADC アプライアンスで CRL を作成します

ADCアプライアンスを使用してCAの役割を果たし、自己署名証明書を作成できるため、次の証明書を取り消すこともできます。

作成した証明書。
CA 証明書を所有している証明書。

アプライアンスは、それらの証明書の CRL を作成する前に、無効な証明書を取り消す必要があります。アプライアンスは、失効した証明書のシリアル番号をインデックスファイルに保存し、証明書を失効させるたびにファイルを更新します。インデックスファイルは、証明書が初めて失効したときに自動的に作成されます。

CLI を使用して証明書を取り消すか、CRL を作成する

コマンドプロンプトで、次のコマンドを入力します。

create ssl crl <CAcertFile> <CAkeyFile> <indexFile> (-revoke <input_filename> | -genCRL <output_filename>)
<!--NeedCopy-->

例:

create ssl crl Cert-CA-1 Key-CA-1 File-Index-1 -revoke Invalid-1

create ssl crl Cert-CA-1 Key-CA-1 File-Index-1 -genCRL CRL-1
<!--NeedCopy-->

GUI を使用して証明書を取り消すか、CRL を作成する

[ トラフィック管理] > [SSL ] に移動し、[はじめに] グループで [CRL 管理] を選択します。
証明書の詳細を入力し、「 操作の選択 」リストで「 証明書の取り消し」または「CRL の生成」を選択します。

ADC に既存の CRL を追加します

NetScalerアプライアンスでCRLを構成する前に、CRLファイルがNetScalerアプライアンスにローカルに保存されていることを確認してください。HA セットアップでは、CRL ファイルが両方の ADC アプライアンスに存在し、ファイルへのディレクトリパスが両方のアプライアンスで同じである必要があります。

CLIを使用してNetScalerにCRLを追加します

コマンドプロンプトで次のコマンドを入力してNetScalerにCRLを追加し、構成を確認します。

add ssl crl <crlName> <crlPath> [-inform (DER | PEM)]

show ssl crl [<crlName>]
<!--NeedCopy-->

例:

> add ssl crl crl-one /var/netscaler/ssl/CRL-one -inform PEM

Done

> show ssl crl crl-one

            Name: crl-one   Status: Valid,  Days to expiration: 29
            CRL Path: /var/netscaler/ssl/CRL-one
            Format: PEM     CAcert: samplecertkey
            Refresh: DISABLED
            Version: 1
            Signature Algorithm: sha1WithRSAEncryption
            Issuer:  C=US,ST=California,L=Santa Clara,O=NetScaler Inc.,OU=SSL Acceleration,CN=www.ns.com/emailAddress=support@NetScaler appliance.com
            Last_update:Jun 15 10:53:53 2010 GMT
            Next_update:Jul 15 10:53:53 2010 GMT

    1)      Serial Number: 00
            Revocation Date:Jun 15 10:51:16 2010 GMT
     Done
<!--NeedCopy-->

GUIを使用してNetScalerにCRLを追加します

[ トラフィック管理 ] > [ SSL ] > [ CRL] に移動し、CRL を追加します。

CRL 更新パラメータの設定

CRL は、認証局によって定期的に、または特定の証明書が取り消された直後に生成および公開されます。Citrixでは、クライアントが不正な証明書で接続しようとするのを防ぐために、NetScalerアプライアンスのCRLを定期的に更新することをお勧めします。

NetScalerアプライアンスは、WebロケーションまたはLDAPディレクトリからCRLを更新できます。更新パラメータと Web ロケーションまたは LDAP サーバを指定する場合、コマンドの実行時に CRL がローカルハードディスクドライブに存在している必要はありません。最初の更新では、CRL File パラメーターで指定されたパスのローカルハードディスクドライブにコピーが格納されます。CRL を格納するためのデフォルトのパスは /var/netscaler/SSL です。

注:リリース 10.0 以降では、CRL を更新する方法はデフォルトでは含まれていません。HTTP または LDAP メソッドを指定します。以前のリリースからリリース 10.0 以降にアップグレードする場合は、メソッドを追加してコマンドを再実行する必要があります。

CLI を使用して CRL 自動更新を設定する

コマンドプロンプトで次のコマンドを入力して CRL 自動更新を設定し、構成を確認します。

set ssl crl <crlName> [-refresh ( ENABLED | DISABLED )] [-CAcert <string>] [-server <ip_addr|ipv6_addr|*> | -url <URL>] [-method ( HTTP | LDAP )] [-port <port>] [-baseDN <string>] [-scope ( Base | One )] [-interval <interval>] [-day <positive_integer>] [-time <HH:MM>][-bindDN <string>] {-password } [-binary ( YES | NO )]

show ssl crl [<crlName>]
<!--NeedCopy-->

例:

    set CRL crl1  -refresh enabled -method ldap -inform DER -CAcert ca1 -server 10.102.192.192 -port 389 -scope base -baseDN "cn=clnt_rsa4_multicert_der,ou=eng,o=ns,c=in" -time 00:01

    set ssl crl crl1 -refresh enabled -method http -cacert ca1 -port 80 -time 00:10 -url http://10.102.192.192/crl/ca1.crl


    > sh crl

    1)         Name: crl1        Status: Valid,     Days to expiration: 355
                CRL Path: /var/netscaler/ssl/crl1
                Format: PEM      CAcert: ca1
                Refresh: ENABLED          Method: HTTP
                URL: http://10.102.192.192/crl/ca1.crl                 Port:80
                Refresh Time: 00:10
                Last Update: Successful, Date:Tue Jul  6 14:38:13 2010
    Done
<!--NeedCopy-->

GUI を使用して LDAP または HTTP を使用して CRL 自動更新を設定する

[ トラフィック管理] > [SSL] > [CRL] に移動します。
CRL を開き、「 CRL 自動更新を有効にする」を選択します。

注

：CRLの［ 最終更新日時］フィールドで指定された実際の更新時刻よりも前に新しいCRLが外部リポジトリで更新された場合は 、次の操作を行う必要があります。

NetScalerアプライアンスのCRLを直ちに更新してください。

最終更新時刻を表示するには、CRL を選択し、[ 詳細] をクリックします。

CRL を同期する

NetScalerアプライアンスは、最近配布されたCRLを使用して、証明書が失効したクライアントが安全なリソースにアクセスできないようにします。

CRLが頻繁に更新される場合、NetScalerアプライアンスはリポジトリから最新のCRLを取得する自動メカニズムを必要とします。指定した更新間隔で CRL を自動的に更新するようにアプライアンスを設定できます。

アプライアンスは、定期的に更新する必要がある CRL の内部リストを管理しています。指定された間隔で、アプライアンスはリストをスキャンして、更新する必要のある CRL を探します。次に、リモートの LDAP サーバーまたは HTTP サーバーに接続し、最新の CRL を取得して、ローカル CRL リストを新しい CRL で更新します。

注:

CA 証明書が仮想サーバーにバインドされているときに CRL チェックが必須に設定されていて、最初の CRL 更新が失敗した場合、接続に対して次のアクションが実行されます。CRL

と同じ発行者によるすべてのクライアント認証接続は、CRL が正常に更新されるまで REVOKED として拒否されます。

CRL 更新を実行する間隔を指定できます。正確な時間を指定することもできます。

CLI を使用して CRL 自動更新を同期する

コマンドプロンプトで、次のコマンドを入力します。

set ssl crl <crlName> [-interval <interval>] [-day <integer>] [-time <HH:MM>]
<!--NeedCopy-->

例:

set ssl crl CRL-1 -refresh ENABLE -interval MONTHLY -days 10 -time 12:00
<!--NeedCopy-->

GUI を使用して CRL 更新を同期する

[ トラフィック管理] > [SSL] > [CRL] に移動します。
CRL を開き、「 CRL 自動更新を有効にする」を選択し、間隔を指定します。