IISのSSL設定のバックアップ(No.5)

>openssl req -out testsite.csr -key server.key -new
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:jp
State or Province Name (full name) [Some-State]:hoge
Locality Name (eg, city) []:hoge
Organization Name (eg, company) [Internet Widgits Pty Ltd]:open
Organizational Unit Name (eg, section) []:touryo
Common Name (e.g. server FQDN or YOUR name) []:（FQDN名）
Email Address []:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

証明書発行要求を生成し、公認CA（認証局）に送信する際、
CAの公開する手順などを参考にして、生成すると良い。

参考

SSL サーバ証明書：DigiCert?｜（デジサート）
- サーバー証明書 IIS 10 CSR作成方法
  https://rms.ne.jp/sslserver/csr/csr-iis10-html/
- IIS10サーバー証明書インストール方法
  https://rms.ne.jp/sslserver/install/install-iis10-html/

Windows Server Tips
- IISでhttpsのサイトを作成する - SSLサイトの構成
  https://www.ipentec.com/document/windows-windows-server-iis-setup-https-site
- SAN(Subject Alternative Name)フィールドを含むSSL証明書を作成する
  https://www.ipentec.com/document/windows-server-create-ssl-certification-including-san-dns-name-field

↑

証明書発行要求に応答 †

↑

証明書サービス (AD CS) †

Active Directory の証明書サービス (AD CS)を使用する。

↑

OpenSSL †

証明書サービス (AD CS)はサーバOSのみなので、
クライアントOSの場合は、OpenSSLを利用する。

IISで「証明書の要求の作成」を行う。

OpenSSLで証明書発行要求に応答する。

認証局の秘密鍵を作成

>openssl genrsa -des3 -out server.key 1024
Generating RSA private key, 1024 bit long modulus (2 primes)
.................................+++++
..................+++++
e is 65537 (0x010001)
Enter pass phrase for server.key:（任意のパスフレーズ）
Verifying - Enter pass phrase for server.key:（任意のパスフレーズ）

PEMフレーズ（PEM phrase）で暗号化解除

>openssl rsa -in server.key -out server.key
Enter pass phrase for server.key:（任意のパスフレーズ）
writing RSA key

証明書発行要求に応答する。

>openssl x509 -in testsite.txt -out testsite.crt -req -signkey server.key -days 3650
Signature ok
subject=C = JP, ST = hoge, L = hoge, O = hoge, OU = hoge, CN = FQDN名
Getting Private key

応答のフォーマットをcrtからpkcs12に変換する。

>openssl pkcs12 -export -in testsite.crt -inkey server.key -out testsite.pkcs12
Enter Export Password:（IISで完了するには空白に設定）
Verifying - Enter Export Password:（IISで完了するには空白に設定）

IISで「証明書の要求の完了」を行う。
新しい証明書の証明書ストアは「個人」を選択する。

サイトに証明書をバインドして、
「信頼されたルート証明機関」にpkcs12をインポートする。

SAN(Subject Alternative Name)フィールドを含める場合、

「証明書の要求の作成」を行う。

san.txtを準備する。
```
subjectAltName = DNS:（FQDN名）
```

証明書発行要求に応答する（-extfile san.txt を指定する）。

>openssl x509 -in testsite.txt -out testsite.crt -req -signkey server.key -days 3650 -extfile san.txt
Signature ok
subject=C = JP, ST = hoge, L = hoge, O = hoge, OU = hoge, CN = FQDN名
Getting Private key