お知らせ

  • 利用規約を守って投稿してください。また、よくある質問および投稿の手引きも参照してください。
  • メッセージの投稿にはアカウントが必要です。未登録の方は、ユーザ登録ページからアカウントを作成することができます。

#1 2009-09-07 12:27:50

karateMan
メンバ
登録日: 2009-04-30

SSLサーバ構築失敗

こんにちわ。サーバ管理は初心者です。ubuntu 8.04環境。

一戸英男氏著書の「Linuxサーバ構築設定のすべて」に沿って、Webサーバに挑戦しています。
Apacheをインストールには成功。OpenSSLのインストールも完了。
次に

認証局(CA)の構築(秘密鍵と証明書の作成)
SSLサーバの構築(サーバ秘密鍵の作成)
証明書名要求(CSR)の作成
証明書に自己署名する

と進むはずですが、最後の自己署名で3度失敗し、心が折れそうです(汗)

自己署名では

$sudo openssl ca -out serverca.crt -infiles server.csr

と実行し最後に

Sign the certificate? [y/n]:y
failed to update database
TXT_DB error number 2

と出てしまいます。これは一組の認証鍵がマッチしないために起こるエラーということは理解しています。
やり直すには、作られたディレクトリやファイルを全消去し(demoCA/ → *.pem、*.csr 、*.crtなど)最初から。

Q:綴りミス以外に失敗の原因はありますか?

3度めできがついたんですが、書籍(p144)とは違い、秘密鍵のと証明書の作成の段階で、つまり

$sudo ./CA.sh -newca
...
...
(必要条件を入力;綴りミスはないと仮定して…)
...
"Write out database with 1 new entries"
"Data Base Updated"

と出ます。書籍ではこれは自己署名の段階で出るはずなんですが…

オフライン

 

#2 2009-09-07 12:54:29

hito
管理者
登録日: 2007-03-18

Re: SSLサーバ構築失敗

すいません、「何をしたいのか」によって答えが変わってくるのですが、

 ・自己署名証明書を用いた、HTTPSサーバを構築したい
 ・SSL証明書を発行する、CAを運用するサーバを構築したい

のどちらでしょうか。なんとなく前者かなとは思えるのですが、確証がありません。
そして、もし前者であれば、https://help.ubuntu.com/9.04/serverguide/C/serverguide.pdf にあるHTTPSサーバの構築手順が役に立たないでしょうか。

オフライン

 

#3 2009-09-07 13:06:22

karateMan
メンバ
登録日: 2009-04-30

Re: SSLサーバ構築失敗

前者です。とりあえずそのご指定のサイトを読んでみます。

オフライン

 

#4 2009-09-08 17:56:44

soujiro0725
メンバ
登録日: 2009-02-05

Re: SSLサーバ構築失敗

ご返事ありがとうございます。一応読んでは見たんですが(英語は大丈夫です), 本の手順とだいぶ違うので苦戦中です。初心者には情報が膨大すぎてやはりきついですね(笑)
もし追加情報ありましたらお願いしますm(_ _)m

オフライン

 

#5 2009-09-08 18:41:24

hito
管理者
登録日: 2007-03-18

Re: SSLサーバ構築失敗

う。すいません、確認が明確ではなかったのですが、
 ・どういうSSL証明書が必要なのか
が正確には読み取れませんでした。

gunzip -c /usr/share/doc/apache2.2-common/README.Debian.gz | less
で、"Creating self-signed certificates"というところにSSL証明書のgenerate方法が記載されているのですが(Ubuntu Server Guideに書かれているのはこれを詳細に説明したもの)、これでは足りないでしょうか? 不足する場合、どのあたりが足りない・分からない・分からないかどうかも不明、というところを答えていただけると上手くアドバイスできそうな気がします。

思い切り要約しつつポイントを述べるなら、
 ・opensslコマンドをそのまま使う必要はなく、make-ssl-certコマンドを使って操作するのが良い。
 ・CAを自主的に立てる必要はまったくない(意識するまでもなく作られる)。
 ・hostname設定が適切なら、make-ssl-certを手動実行する必要はない。
ということです。

オフライン

 

#6 2009-09-09 15:43:07

karateMan
メンバ
登録日: 2009-04-30

Re: SSLサーバ構築失敗

解答ありがとうございます。
少しづつ書籍とサイトとを読み比べて、CAを立てる必要がないことが分かってきました。書籍ではCAを立て、それからキーを作成するよう説明していたので混乱しました。(サイトでは後からCAの立て方を述べている)
でもたくさん証明書を作りたい場合にはCAを自主的に設定したほうが良いようなので頑張ってみようかと。今後の応用のために。

このopensslコマンドをmake-ssl-certで置き換えられるということですか?

オフライン

 

Board footer

Powered by FluxBB