X509 デジタル証明書を生成し、認証局に署名させるためのステップ

IKE デーモンおよび NSS サーバーは、それぞれ特定の ID に関連したデジタル証明書を RACF® 鍵リングから検索したり、関連する秘密鍵を使用した操作を実行したりする能力が必要です。

X509 デジタル証明書をインストールするには、以下のステップを実行します。

1. サーバー用の自己署名証明書を生成します。

   RACDCERT ID(IKED) GENCERT SUBJECTSDN(CN('SYSTEMA STACK1') OU('Inventory') O('IBM') C('US'))
                     WITHLABEL('SYSTEMA STACK1') ALTNAME(DOMAIN('ibm.com'))

2. 以下のいずれかのアクションを実行します。
   • RACF は、多くの商業認証局用の証明書を提供します。 これらの提供された認証局証明書を使用している場合は、「z/OS Security Server RACF セキュリティー管理者のガイド」を参照して、提供されたデジタル証明書に関するステップに従ってください。
   • 使用している認証局が、提供されている認証局の 1 つではない場合は、IKED の証明書に署名する認証局のルート証明書を入手し、それを MVS™ データ・セット (例えば USER1.EXTCA1.CERT) に入れます。そして、以下のように、そのデータ・セットを RACF データベースに追加します。

     RACDCERT ID(IKED) ADD('USER1.EXTCA1.CERT') WITHLABEL('External CA') CERTAUTH

3. 選択した認証局に送信する認証要求を作成します。 この認証要求は、ステップ 1 で作成した証明書に基づいて作成します。以下のように、この証明書を USER1.SYSTEMA.STACK1.GENREQ という名前のデータ・セットに入れます。

   RACDCERT ID(IKED) GENREQ(LABEL('SYSTEMA STACK1')) DSN('USER1.SYSTEMA.STACK1.GENREQ')

4. 認証要求を認証局に送信します。 認証要求は、ベース 64 エンコード・テキストの形式です。一般に、認証局への要求の送信には、認証要求を認証局宛の E メールにカット・アンド・ペーストする方法が使用されます。

   認証局は証明書を検査します。認証局は、証明書を承認する場合は、証明書に署名して要求者に送り返します。

5. 戻された証明書を受信して、データ・セット (例えば USER1.SYSTEMA.STACK1.CERT) に入れます。 戻された証明書は、ベース 64 エンコード・テキストです。これは、FTP またはその他の技法を使用してカット・アンド・ペーストにより行うことができます。
6. 自己署名証明書を、認証局が署名した証明書で置き換えます。 証明書が置き換えられるのは、RACDCERT ADD コマンドで ID 値として指定されているユーザー ID が、証明書の作成時に指定したユーザー ID と同じ場合のみです。ユーザー ID が同じであることを確認してください。 同じでない場合は、証明書は、自己署名証明書と置き換わる代わりに追加されてしまうため、証明書の秘密鍵が含まれないことになります。

   RACDCERT ID(IKED) ADD('USER1.SYSTEMA.STACK1.CERT') WITHLABEL('SYSTEMA STACK1')

7. 証明書を既存の鍵リングに関連付けます。

   RACDCERT ID(IKED) CONNECT(LABEL('SYSTEMA STACK1') RING(ikeyring) USAGE(PERSONAL))

8. 認証局の証明書を鍵リングに関連付けます。

   RACDCERT ID(IKED) CONNECT(CERTAUTH LABEL('External CA') RING(ikeyring) USAGE(CERTAUTH))

   これで、ルートから SYSTEMA STACK1 までの証明書階層が完成します。
9. IKE デーモン構成ファイル iked.conf、または NSS サーバー構成ファイル nssd.conf に、以下のステートメントを追加します。

   Keyring   IKED/ikeyring

RACDCERT CERTAUTH LIST(LABEL('External CA')

RACDCERT ID(IKED) LIST(LABEL('SYSTEMA STACK1'))