CIS 証明書を使用したゾーン・レベルの認証済み Origin Pull

CIS は、次の CA を使用して、認証済み Origin Pull サービスの証明書に署名します。

• 認証済み Origin Pull 証明書

証明書をダウンロードし、起点 Web サーバー上 (例えば /path/to/origin-pull-ca.pem) にファイルを保管します。

認証されたオリジンを有効にするには、ゾーンでグローバルにプルします。

1. すべての接続を認証するように起点 Web サーバーで証明書をインストールします。
2. CIS に **エンドツーエンド - フレキシブル**を構成します。
3. クライアント証明書を受け入れるように起点 Web サーバーを構成します。
4. CIS CLI を使用して認証済み Origin Pull を有効にします。

顧客証明書を使用したゾーンレベルの認証済みオリジンプル

1. OpenSSL によって生成された ECC 鍵を使用する場合は、まず証明書ファイルから -----BEGIN EC PARAMETERS-----...-----END EC PARAMETERS----- を削除します。

2. CIS にアップロードする前に、証明書と鍵が次の形式になっていることを確認します。

   $ cat app_example_com.pem
   -----BEGIN CERTIFICATE-----
   MIIFJDCCBAygAwIBAgIQD0ifmj/Yi5Nz2gdUySbfzANBgkqhkiG9w0BAQsFADBN
   MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E
   ...
   SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O
   OeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7
   -----END CERTIFICATE-----
   

3. 行の終わりをストリング \n に置き換えます。

   MYCERT="$(cat app_example_com.pem|perl -pe 's/\r?\n/\\n/'|sed -e 's/..$//')" $ MYKEY="$(cat app_example_com.key|perl -pe 's/\r?\n/\\n/'| sed -e's/..$//')"
   
   echo $MYCERT -----BEGIN CERTIFICATE-----\nMIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/ 2gdUySbfzANBgkqhkiG9w0BAQsFADBN\nMQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E...SzSHfXp5lnu/ 3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O\nOeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7\n-----END CERTIFICATE-----\n
   

4. ペイロードを作成します。

   $ request_body=$(< <(cat <<EOF { "certificate": "$MYCERT", "private_key": "$MYKEY" } } EOF ))

5. CIS CLI を使用してクライアント証明書と秘密鍵をアップロードします。

6. CIS CLI を使用して認証済み Origin Pull を有効にします。

カスタマー証明書を使用するホスト名ごとの認証済み Origin Pull

ホスト名ごとの認証済み Origin Pull を有効にすると、指定したホスト名へのプロキシー・トラフィックはすべて、起点 Web サーバーで認証されます。 独自の公開鍵インフラストラクチャーからのクライアント証明書を使用して、CIS からの接続を認証できます。

CIS 内にクライアント証明書をアップロードするには、以下のようにします。

1. OpenSSL によって生成された ECC 鍵を使用する場合は、まず証明書ファイルから -----BEGIN EC PARAMETERS-----...-----END EC PARAMETERS----- を削除します。

2. 証明書を CISにアップロードする前に、証明書が以下の形式であることを確認してください。

   $ cat app_example_com.pem
   -----BEGIN CERTIFICATE-----
   MIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/2gdUySbfzANBgkqhkiG9w0BAQsFADBN
   MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E
   ...
   SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O
   OeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7
   -----END CERTIFICATE-----
   

3. 行の終わりをストリング \n に置き換えます。

   MYCERT="$(cat app_example_com.pem|perl -pe 's/\r?\n/\\n/'|sed -e 's/..$//')" $ MYKEY="$(cat app_example_com.key|perl -pe 's/\r?\n/\\n/'|sed -e's/..$//')"
   
   echo $MYCERT -----BEGIN CERTIFICATE-----\nMIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/2gdUySbfzANBgkqhkiG9w0BAQsFADBN\nMQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E...SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O\nOeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7\n-----END CERTIFICATE-----\n
   

4. ペイロードを作成します。

   $ request_body=$(< <(cat <<EOF { "certificate": "$MYCERT", "private_key": "$MYKEY" } } EOF ))

5. CIS CLI を使用してクライアント証明書と秘密鍵をアップロードします。

6. CIS CLI を使用して、指定したホスト名での認証済み Origin Pull を有効にします。 特定のホスト名にクライアント証明書をリンクします。

ダウン時間なしのクライアント証明書の置き換え

ホスト名の場合:

1. 新しい証明書をアップロードします。
2. 新しい証明書 ID およびホスト名と有効になっている値をリンクさせます。

グローバルの場合:

1. 新しい証明書をアップロードします。
2. 新しい証明書がアクティブ状態であることを確認します
3. 証明書がアクティブになった後、それまでの証明書を削除します。

異なるクライアント証明書 (ゾーン・レベルとホスト名レベル) を同時に適用する

1. 以下の手順に従って証明書をアップロードしてください。ゾーンレベルの認証済みオリジンプル セクション
2. 複数の証明書をアップロードするには、顧客証明書を使用したホスト名ごとの認証済みオリジンプル セクション

Apache および NGINX へのインストール

以下の手順を使用して、NGINX 起点 Web サーバーまたは Apache 起点 Web サーバー用に TLS 認証済み Origin Pull を構成します。