Apache2 の SSL 設定【Solaris10】～Solaris User

トップページ » Apache関連 » Apache2 の SSL 設定【Solaris10】

カテゴリー

最新ニュース記事
お勧めトレーニングコース
Solaris関連書籍
Solaris認定資格
Solaris豆知識
Solarisデスクトップ設定
■Solaris10
zone　FMA　SMF　ZFS
DTrace　NFSv4　IPFilter
Least Privilege機能
x86/x64 Solaris　仮想化技術
その他
■システム管理
インストール　セキュリティチェック
■各種サーバ構築
Apache　BIND　sendmail　squid
■各種サーバ・ストレージ管理
Sun N1 Software
Sun Cluster
Solaris Volume Manager (SVM)
■セキュリティ設定
snort　sshd　nmap　IPSec
■パフォーマンス管理
カーネルパラメータ
TCP/IP系パラメータ
NICドライバ系パラメータ

Solaris10対応コース

■Solaris初心者向け
入門コース　
システム管理Ⅰ　（x86版はこちら）
システム管理Ⅱ　（x86版はこちら）
システム管理Ⅲ　（x86版はこちら）
システム管理Ⅳ　（x86版はこちら）
ネットワーク管理Ⅰ
ネットワーク管理Ⅱ

■経験者・上級者向け
Solaris10トラブルシューティング ★NEW★
セキュアインターネットサーバー構築 ★NEW★
Solaris 10 ZFS 管理
Solaris 10コンテナ(ゾーン)
経験者向け速習コース
Solaris10新機能（システム管理編）
Solaris10新機能（ネットワーク編）
Solaris パフォーマンス管理
DTrace を使ったパフォーマンスチューニングとトラブルシューティング

Solaris 8/9 対応コース

■初心者向け
認定試験対策コース
UNIX入門
システム管理Ⅰ
システム管理Ⅱ
システム管理Ⅲ
ネットワーク管理基礎

■経験者・上級者向け
トラブルシューティング基礎
OSセキュリティ for Solaris
Solaris ネットワーク侵入検知
Sun Ray システムのインストールと管理 ★NEW★
Sun Systems Fault Analysis Workshop
Crash Dump Analysis and the SunOS Kernel
Solarisインターナル(内部構造)

■DNS,Apache,プロキシ,メール系
Solaris10インターネットサーバー構築 ★NEW★
インターネットサーバ構築
インターネットサーバセキュリティ

■ボリューム管理、クラスタ系
Solaris Volume Manager 管理
VERITAS Volume Manager4.0管理
Sun Cluster 3.x 管理
Sun Cluster 3.2 管理 ★NEW★

■ハードウェア、メンテナンス系
Sun Fireサーバー管理
Sun Fire 15K サーバー管理

■シェルプログラミング系
Cシェルプログラミング
Bシェル/Kシェルプログラミング

SunJavaSystemコース

■アイデンティティ管理
アイデンティティ管理（基本編）
アイデンティティ管理（応用編）
アクセスマネージャー
■LDAPサーバ、メールサーバ
ディレクトリサービス 5.x
メッセージングサービス 5.x

Apache2 の SSL 設定【Solaris10】

Solaris 10 11/06 (U3)を用いて Apache2+SSL の設定をしてみます。
（当然ですが、この例で使用する証明書は自己署名ですのでテスト運用や特定の組織内の運用には使えますが、外部向けのサービスには向いていません。）

Apache 2.0.x からは mod_ssl モジュールがデフォルトでインストールされています。mod_sslがインストールされていると、/etc/apache2/ssl.conf という設定ファイルが生成されます。このファイルは、デフォルト状態でも必要な設定がひととおり行われているため、特に変更する必要はありません。なお、デフォルトでは、
サーバ証明書は /etc/apache2/ssl.crt/server.crt に、
サーバ用の秘密鍵は /etc/apache2/ssl.key/server.key になっています。

デフォルトの設定ファイル群を確認してみます。

bash-3.00# pwd
/etc/apache2

bash-3.00# ls
highperformance-std.conf httpd.conf-example        ssl-std.conf
highperformance.conf      magic                     ssl.conf
httpd-std.conf            mime.types

■ apache2 サービスの有効化

まずは SSL を有効にせず、 apache2 サービスを有効にします。

bash-3.00# pwd
/etc/apache2
bash-3.00# cp httpd.conf-example httpd.conf

以下のように ServerName だけ適当に編集します。

bash-3.00# vi httpd.conf
...
ServerName sol10pc.example.com

svcadm コマンドで apache2 サービスを有効にします。

bash-3.00# svcadm enable apache2
bash-3.00# svcs apache2
STATE          STIME    FMRI
online         18:26:25 svc:/network/http:apache2

当然、この設定では SSL は有効になっていません。

■ SSL の有効化

httpd.conf に以下のエントリがあることを確認します。
----------------------------------
<IfModule mod_ssl.c>
    Include /etc/apache2/ssl.conf
</IfModule>
----------------------------------
SSLの詳細な設定は /etc/apache2/ssl.conf ファイルで行います。
/etc/apache ディレクトリに移動し、ssl.conf ファイルを開きます。

bash-3.00# cd /etc/apache2
bash-3.00# vi ssl.conf
--------------------------------------
...
<VirtualHost 192.168.1.1:443>   <--- _default_ をWebサーバーのIPアドレスに置き換える
...
SSLCertificateFile /etc/apache2/ssl.crt/server.crt
...
SSLCertificateKeyFile /etc/apache2/ssl.key/server.key
...
-------------------------------------------
上記のように一部を修正し、SSLCertificateFileとSSLCertificateKeyFileの設定値を確認します。
SSLCertificateFileにはサーバ証明書ファイル、SSLCertificateKeyFileにはサーバ用秘密鍵のファイルが指定されています。

/etc/apache2 ディレクトリで、今確認したサーバ証明書とサーバ用の秘密鍵を格納するためのディレクトリを作成します。

bash-3.00# cd /etc/apache2
bash-3.00# mkdir ssl.crt
bash-3.00# mkdir ssl.key
bash-3.00# ls -F
highperformance-std.conf   magic                      ssl.crt/
highperformance.conf       mime.types                 ssl.key/
httpd-std.conf             ssl-std.conf
httpd.conf-example         ssl.conf

証明書や鍵の作成などの作業用のディレクトリを作り移動します。

bash-3.00# mkdir tmp
bash-3.00# ls -F
highperformance-std.conf   magic                      ssl.crt/
highperformance.conf       mime.types                 ssl.key/
httpd-std.conf             ssl-std.conf               tmp/
httpd.conf-example         ssl.conf
bash-3.00# cd tmp

openssl コマンドを使用するため以下のようにパスを通しておきます。

bash-3.00# PATH=$PATH:/usr/sfw/bin
bash-3.00# export PATH

SSLを使用するには、まずCAの秘密鍵を作成します。

bash-3.00# openssl genrsa -rand /var/adm/messages -out ca.key 1024
271074 semi-random bytes loaded
Generating RSA private key, 1024 bit long modulus
.++++++
...............++++++
e is 65537 (0x10001)

-rand オプションは、ランダムデータの基となるファイルを適当に指定します。この例では /var/adm/messages ファイルを使っています。これにより、RSA 方式で 1024bit の秘密鍵（ca.key）が作成されます。

　次に、ca.key から CA 証明書の署名要求（CSR）を作成します。ここで対話的に入力した国名などの情報は、発行される証明書に表示されます。

bash-3.00# openssl req -new -key ca.key -out ca.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [US]:JP
State or Province Name (full name) [Some-State]:Tokyo
Locality Name (eg, city) []:Shinagawa
Organization Name (eg, company) [Unconfigured OpenSSL Installation]:Example KK
Organizational Unit Name (eg, section) []:Test Dept
Common Name (eg, YOUR name) []:Test User
Email Address []:testuser@example.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

続いて、CA 証明書に署名して発行します。ここでは指定していませんが、-daysオプションにより、証明書の有効期限を設定することも可能です。例えば、「- days 365」とすると1年間有効の証明書が発行されます。

bash-3.00# ls
ca.csr ca.key
bash-3.00# openssl x509 -req -in ca.csr -signkey ca.key -out ca.crt
Signature ok
subject=/C=JP/ST=Tokyo/L=Shinagawa/O=Example KK/OU=Test Dept/CN=Test User/emailAddress=testuser@example.com
Getting Private key

以降はサーバ用の証明書を作成する作業になります。最初に、サーバ用の秘密鍵を作成します。

bash-3.00# openssl genrsa -rand /var/adm/messages -out server.key 1024
271074 semi-random bytes loaded
Generating RSA private key, 1024 bit long modulus
...........++++++
.................................++++++
e is 65537 (0x10001)

サーバ用の秘密鍵からサーバ証明書の CSR を作成します。CA 証明書の CSR と同様に、各種情報を対話的に入力します。今回の Common Name にはサーバのホスト名を入力します。

bash-3.00# openssl req -new -key server.key -out server.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [US]:JP
State or Province Name (full name) [Some-State]:Tokyo
Locality Name (eg, city) []:Shinagawa
Organization Name (eg, company) [Unconfigured OpenSSL Installation]:Example KK
Organizational Unit Name (eg, section) []:Test Dept
Common Name (eg, YOUR name) []:sol10pc.example.com
Email Address []:webmaster@example.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

サーバ用の証明書に署名して発行する前に、認証局が使用するシリアルナンバーのファイルを作成しておく必要があります。

bash-3.00# echo 01 > ca.srl

準備ができたので、証明書を発行します。ここでは、「-days 365」として1年間有効の証明書を発行しています。

bash-3.00# openssl x509 -req -days 365 -CA ca.crt -CAkey ca.key -CAserial ca.srl -in server.csr -out server.crt
Signature ok
subject=/C=JP/ST=Tokyo/L=Shinagawa/O=Example KK/OU=Test Dept/CN=sol10pc.example.com/emailAddress=webmaster@example.com
Getting CA Private Key

作成したserver.crtとserver.keyを以下のようにコピーする。

bash-3.00# cp server.crt /etc/apache2/ssl.crt
bash-3.00# cp server.key /etc/apache2/ssl.key

これで apache2 サービスで SSL を利用する準備が整いましたが、以下のように apache2 サービスの httpd/ssl プロパティが false に設定されているため、通常の起動では apachectl コマンドで startssl 引数が使用されません。
（参照：/lib/svc/method/http-apache2 ファイル）

bash-3.00# svcprop -p httpd/ssl apache2
false

以下のように httpd/ssl プロパティを true に設定して apache2 サービスを再起動します。

bash-3.00# svccfg -s apache2
svc:/network/http:apache2> setprop httpd/ssl = boolean: true
svc:/network/http:apache2> end

bash-3.00# svcadm refresh apache2
bash-3.00# svcprop -p httpd/ssl apache2
true
bash-3.00# svcadm -v restart apache2
Action restart set for svc:/network/http:apache2.

以下のようにプロセスを見ても SSL が有効になっているのがわかります。

bash-3.00# ps -ef | grep httpd
webservd 1961 1959   0 18:26:26 ?           0:00 /usr/apache2/bin/httpd -k start -DSSL
webservd 1962 1959   0 18:26:26 ?           0:00 /usr/apache2/bin/httpd -k start -DSSL
webservd 1963 1959   0 18:26:26 ?           0:00 /usr/apache2/bin/httpd -k start -DSSL
webservd 1967 1959   0 18:27:23 ?           0:00 /usr/apache2/bin/httpd -k start -DSSL
    root 1959     1   0 18:26:25 ?           0:01 /usr/apache2/bin/httpd -k start -DSSL
webservd 1964 1959   0 18:26:26 ?           0:00 /usr/apache2/bin/httpd -k start -DSSL
webservd 1960 1959   0 18:26:26 ?           0:00 /usr/apache2/bin/httpd -k start -DSSL

【アンケート】
この記事はためになりましたか？
　　　はい　　/　　いいえ