S3 証明書のアップロード

S3 TLS S3 の通信を暗号化し、 （ ）攻撃を防ぐためには、証明書が必要です。 Man in the MiddleMITM 証明書ファイルをアップロードして、新しい S3 SSL 証明書を追加したり、UI、CLI、またはAPIを使用して既存の証明書を変更したりすることができます。

証明書ファイルを更新または置き換える前に、UI、CLI、またはAPIを使用して以下をアップロードする必要があります。

  • サーバー側証明書（SANにサイトの S3 エンドポイントFQDNを含む）
  • キー
  • 中間 CA 証明書
  • CA（ルート）証明書（フルチェーン用）

セキュリティ保護された通信を行うには、 S3 クライアントは関連するCA証明書を使用する必要があります。

UI を使用した S3 証明書のアップロード

S3 の証明書をアップロードするには、以下の手順に従ってください。

  1. IBM Cloud コンソールの外部リンクアイコンデプロイメントにアクセスし、 [設定] に移動します。

  2. 「 証明書をアップロード 」をクリックします。

    ファイルにルート証明書、サーバー証明書、サーバーキーが含まれていることを確認してください。 許容されるファイルサイズの上限は20KBで、サポートされるファイルタイプは .pem のみです。

  3. 「アップロード」 をクリックして、お使いのコンピュータから証明書を選択します。

  4. 「保存」 をクリックしてファイルをアップロードします。

CLI からの S3 証明書のアップロード

cert-update コマンドを使用して、既存の SSL Certificates を更新または置き換えます。 使用する証明書の種類を指定するには、 --cert CERT パラメータを、 TLS 証明書を含む拡張子が .pem のファイル名を指定するには、 --body BODY パラメータを含める必要があります。

証明書をアップロードするには、次のコマンドを実行してください。

ibmcloud software-defined-storage cert-update --cert-type CERT-TYPE --body BODY --url string

以下の例を参照してください。

ibmcloud sds cert-update --cert-type s3 --body file-name.pem --url $sds_endpoint
...
Name               s3
ValidCertificate   true
ValidKey           true
Trace              75cacd10-7918-44c0-9914-1723ebf74ee1

$sds_endpoint は環境変数で、 IBM Storage Ceph as a Service の設定時に提供されたエンドポイントを指す。 URL のフォームです。 例えば、https://sds-cephaas.<cephaas-instance-id>.software-defined-storage.appdomain.cloud:{port number}/v1 です。 URL を一度設定すれば、コマンドごとに追加する必要がなくなります。 URL の設定方法については 、「設定コマンド」 を参照してください。

また、CLIアクションでは、 software-defined-storage の代替として sds 、 cert-update の代替として crtu を使用することもできます。

APIによる S3 証明書のアップロード

S3 SSL Certificates を置き換えるために、 PUT /certificates/{cert_type} リクエストを実行するか、そのファイルが存在しない場合は、 PEM 形式の新しいファイルをアップロードしてください。

アップロードする交換用ファイルにサーバー側の証明書と鍵が含まれていることを確認してください。

curl -X PUT $sds_endpoint/certificates/s3 \
  -H "accept: application/json" \
  -H "Authorization: Bearer $IAM_TOKEN"
  -H "Content-Type: text/plain" \
  -H "IBM-API-Version: 2025-02-01" \
  --data-binary "@<filename>.pem"

システムに証明書がすでに存在する場合の応答の例：

curl -X PUT $sds_endpoint/certificates/s3 --data-binary "@both.pem" -H 'accept: application/json'  -H "Authorization: Bearer $IAM_TOKEN" -H 'IBM-API-Version: 2025-02-01'
...
{
  "name": "s3",
  "valid_certificate": true,
  "valid_key": true,
  "trace": "0d40c604-13f7-4181-be4b-b7621ed4d453",
  "errors": null
}

$sds_endpoint は環境変数で、 IBM Storage Ceph as a Service の設定時に提供されたエンドポイントを指す。 URL のフォームです。 例えば、https://sds-cephaas.<cephaas-instance-id>.software-defined-storage.appdomain.cloud:{port number}/v1 です。 URL を一度設定すれば、コマンドごとに追加する必要がなくなります。 URL の設定方法については 、「設定コマンド」 を参照してください。

$IAM_TOKEN 変数の設定方法については 、「CLIおよびAPI環境の設定」 を参照してください。

次のステップ

AWS CLI を使用して、バケットとオブジェクトの作成と管理を開始できます。 AWS CLIの使用方法を 参照してください。