IISのSSL設定のバックアップ(No.6)

>openssl req -out testsite.csr -key server.key -new
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:jp
State or Province Name (full name) [Some-State]:hoge
Locality Name (eg, city) []:hoge
Organization Name (eg, company) [Internet Widgits Pty Ltd]:open
Organizational Unit Name (eg, section) []:touryo
Common Name (e.g. server FQDN or YOUR name) []:（FQDN名）
Email Address []:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

参考
- IISのSSL証明書をDebian + OpenSSLで作成する - Symfoware
  https://symfoware.blog.fc2.com/blog-entry-1123.html

↑

参考 †

SSL サーバ証明書：DigiCert?｜（デジサート）
- サーバー証明書 IIS 10 CSR作成方法
  https://rms.ne.jp/sslserver/csr/csr-iis10-html/
- IIS10サーバー証明書インストール方法
  https://rms.ne.jp/sslserver/install/install-iis10-html/

↑

証明書発行要求に応答 †

Chromeで、NET::ERR_CERT_COMMON_NAME_INVALIDが出る場合、
SAN（Subject Alternative Name）フィールドを含める必要がある。

↑

証明書サービス (AD CS) †

Active Directory の証明書サービス (AD CS)を使用する。

↑

OpenSSL †

証明書サービス (AD CS)はサーバOSのみなので、
クライアントOSの場合は、OpenSSLを利用する。

普通に証明書発行要求に応答する。

認証局の秘密鍵を作成

>openssl genrsa -des3 -out server.key 1024
Generating RSA private key, 1024 bit long modulus (2 primes)
.................................+++++
..................+++++
e is 65537 (0x010001)
Enter pass phrase for server.key:（任意のパスフレーズ）
Verifying - Enter pass phrase for server.key:（任意のパスフレーズ）

PEMフレーズ（PEM phrase）で暗号化解除

>openssl rsa -in server.key -out server.key
Enter pass phrase for server.key:（任意のパスフレーズ）
writing RSA key

証明書発行要求に応答する。

>openssl x509 -in testsite.txt -out testsite.crt -req -signkey server.key -days 3650
Signature ok
subject=C = JP, ST = hoge, L = hoge, O = hoge, OU = hoge, CN = FQDN名
Getting Private key

応答のフォーマットをcrtからpkcs12に変換する。

>openssl pkcs12 -export -in testsite.crt -inkey server.key -out testsite.pkcs12
Enter Export Password:（IISで完了するには空白に設定）
Verifying - Enter Export Password:（IISで完了するには空白に設定）

IISで「証明書の要求の完了」を行う。
新しい証明書の証明書ストアは「個人」を選択する。

サイトに証明書をバインドして、
「信頼されたルート証明機関」にpkcs12をインポートする。

SAN(Subject Alternative Name)フィールドを含める場合、

最初の手順は前述と同様。

san.txtを準備する。
```
subjectAltName = DNS:（FQDN名）
```

証明書発行要求に応答する
（-extfile san.txt を指定する）。

>openssl x509 -in testsite.txt -out testsite.crt -req -signkey server.key -days 3650 -extfile san.txt
Signature ok
subject=C = JP, ST = hoge, L = hoge, O = hoge, OU = hoge, CN = FQDN名
Getting Private key