CIS 証明書を使用したゾーン・レベルの認証済み Origin Pull

CIS は、次の CA を使用して、認証済み Origin Pull サービスの証明書に署名します。

• 認証済み Origin Pull 証明書

証明書をダウンロードし、起点 Web サーバー上 (例えば /path/to/origin-pull-ca.pem) にファイルを保管します。

認証されたオリジンを有効にするには、ゾーンをグローバルにプルします：

1. オリジンのWebサーバーに証明書をインストールし、すべての接続を認証する。
2. CIS を エンド・ツー・エンドで柔軟に 構成する。
3. オリジンWebサーバーがクライアント証明書を受け入れるように設定します。
4. CIS CLIを 使用して、認証されたオリジンのプルを有効にします。

顧客証明書を使用したゾーン・レベルの認証済みオリジン・プル

1. OpenSSL, によって生成されたECC鍵を使用する場合は、まず証明書ファイルから -----BEGIN EC PARAMETERS-----...-----END EC PARAMETERS----- を削除する。

2. CIS にアップロードする前に、証明書と鍵が以下の形式であることを確認してください：

   $ cat app_example_com.pem
   -----BEGIN CERTIFICATE-----
   MIIFJDCCBAygAwIBAgIQD0ifmj/Yi5Nz2gdUySbfzANBgkqhkiG9w0BAQsFADBN
   MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E
   ...
   SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O
   OeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7
   -----END CERTIFICATE-----
   

3. 行の終わりをストリング \n に置き換えます。

   MYCERT="$(cat app_example_com.pem|perl -pe 's/\r?\n/\\n/'|sed -e 's/..$//')" $ MYKEY="$(cat app_example_com.key|perl -pe 's/\r?\n/\\n/'| sed -e's/..$//')"
   
   echo $MYCERT -----BEGIN CERTIFICATE-----\nMIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/ 2gdUySbfzANBgkqhkiG9w0BAQsFADBN\nMQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E...SzSHfXp5lnu/ 3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O\nOeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7\n-----END CERTIFICATE-----\n
   

4. ペイロードを作成します。

   $ request_body=$(< <(cat <<EOF { "certificate": "$MYCERT", "private_key": "$MYKEY" } } EOF ))

5. CIS CLI からクライアント証明書と秘密鍵をアップロードします。

6. CIS CLIから 認証されたオリジンのプルを有効にします。

顧客証明書を使用したホスト名ごとの認証オリジンプル

ホスト名ごとの認証済みオリジンプルを有効にすると、指定したホスト名へのすべてのプロキシされたトラフィックがオリジンWebサーバーで認証されます。 独自の公開鍵インフラストラクチャーからのクライアント証明書を使用して、CIS からの接続を認証できます。

CIS 内にクライアント証明書をアップロードするには、以下のようにします。

1. OpenSSL, によって生成されたECC鍵を使用する場合は、まず証明書ファイルから -----BEGIN EC PARAMETERS-----...-----END EC PARAMETERS----- を削除する。

2. 証明書を CISにアップロードする前に、証明書が以下の形式であることを確認してください。

   $ cat app_example_com.pem
   -----BEGIN CERTIFICATE-----
   MIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/2gdUySbfzANBgkqhkiG9w0BAQsFADBN
   MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E
   ...
   SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O
   OeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7
   -----END CERTIFICATE-----
   

3. 行の終わりをストリング \n に置き換えます。

   MYCERT="$(cat app_example_com.pem|perl -pe 's/\r?\n/\\n/'|sed -e 's/..$//')" $ MYKEY="$(cat app_example_com.key|perl -pe 's/\r?\n/\\n/'|sed -e's/..$//')"
   
   echo $MYCERT -----BEGIN CERTIFICATE-----\nMIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/2gdUySbfzANBgkqhkiG9w0BAQsFADBN\nMQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E...SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O\nOeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7\n-----END CERTIFICATE-----\n
   

4. ペイロードを作成します。

   $ request_body=$(< <(cat <<EOF { "certificate": "$MYCERT", "private_key": "$MYKEY" } } EOF ))

5. CIS CLI からクライアント証明書と秘密鍵をアップロードします。

6. CIS CLIを 使用して、指定したホスト名で認証されたオリジンのプルを有効にします。 クライアント証明書を特定のホスト名にリンクする。

ダウン時間なしのクライアント証明書の置き換え

ホスト名の場合:

1. 新しい証明書をアップロードする。
2. 新しい証明書の ID とホスト名、および有効な値をリンクする。

グローバルの場合:

1. 新しい証明書をアップロードする。
2. 新しい証明書がアクティブ状態であることを確認する。
3. 証明書がアクティブになったら、古い証明書を削除する。

異なるクライアント証明書 (ゾーン・レベルとホスト名レベル) を同時に適用する

1. ゾーンレベルの認証済みオリジンのプル」 セクションの手順に従って、証明書をアップロードします。
2. 顧客証明書を使用したホスト名ごとの認証済みオリジンのプル 」セクションの手順に従って、複数の証明書をアップロードします。

Apache および NGINX へのインストール

以下の手順を使用して、NGINX 起点 Web サーバーまたは Apache 起点 Web サーバー用に TLS 認証済み Origin Pull を構成します。