[KB8274] Windows コマンドラインを使用して、ESET PROTECT On-Prem 用の認証局または証明書を作成します。

課題

• 前提条件
• Windowsのコマンドラインを使用して、認証局と証明書を作成する。

解決方法

前提条件

OpenSSL（Windows用）をインストールする。OpenSSLを使用すると、署名付き証明書を作成できます。

Windows コマンドラインを使用して、認証局と証明書を作成する。

1. 認証局とその秘密鍵を生成する。コマンド・プロンプトで

   openssl genrsa -out protect-custom-ca.key 2048 openssl req -x509 -new -nodes -key protect-custom-ca.key -sha256 -days 3650 -out protect-custom-ca.der -outform der -subj "/CN=PROTECT Custom CA" を実行します。

   .keyと .derファイルのprotect-custom-caを任意のファイル名に置き換えることができます。

2. 証明書拡張ファイル（protect.ext）を作成します。

   証明書拡張ファイル

   拡張ファイルは、サーバ証明書およびエージェント証明書に必要な属性を定義し、有効な DNS 名またはドメインのリストであるサブジェクト代替名（SAN）を通して、その役割（認証局ではなくエンドエンティティ）と身元を定義します。

   これらの属性は、ESET PROTECT On-Prem との適切な検証と安全な通信を保証します。

   コマンドプロンプトで以下のコマンドを実行します：

   • 1つのドメインに対して

     echo authorityKeyIdentifier=keyid,issuer >>protect.ext echo basicConstraints=CA:FALSE >>protect.ext echo keyUsage=digitalSignature,keyEncipherment,dataEncipherment >>protect.ext echo subjectAltName=DNS:*.example.com >>protect.ext

   • 複数ドメインの場合

     echo authorityKeyIdentifier=keyid,issuer >>protect.ext echo basicConstraints=CA:FALSE >>protect.ext echo keyUsage=digitalSignature,keyEncipherment,dataEncipherment >>protect.ext echo "subjectAltName=DNS:example.com,DNS:*.example.com,DNS:api.example.net" >>protect.ext

   置き換える：

   • authorityKeyIdentifier に
     • キーID
     • 発行者

     これらを、OpenSSL が生成した認証局の実際の値で置き換えます。

   • subjectAltName に
     • には、DNS 名または環境で使用されているドメインの例を指定します。
   
   

   以下のコマンドは ESET PROTECT で必須であるため、変更しないでください：

   • basicConstraints=CA:FALSE
   • keyUsage=digitalSignature,keyEncipherment,dataEncipherment
     
     

3. 証明書とその秘密鍵を生成し、.pfxファイルにエクスポートします。

   コモンネーム文字列

   Common Name（CN）には、証明書のタイプに応じて、サーバまたはエージェントを含める必要がある。

   コマンドプロンプトで以下のコマンドを実行します：

   • ESET PROTECT Server 証明書の場合：

     openssl genrsa -out protect-server.key 2048 openssl req -new -key protect-server.key -subj "/CN=PROTECT Server" | openssl x509 -req -CA protect-custom-ca.der -CAkey protect-custom-ca.key -CAform DER -out protect-server.crt -days 1825 -sha256 -extfile protect.ext openssl pkcs12 -export -out protect-server.pfx -inkey protect-server.key -in protect-server.crt -passout pass:password

     パスワードはお好みの強力なパスワードに置き換えてください。

   • ESET Management Agent 証明書の場合：

     openssl genrsa -out protect-agent.key 2048 openssl req -new -key protect-agent.key -subj "/CN=PROTECT Agent" | openssl x509 -req -CA protect-custom-ca.der -CAkey protect-custom-ca.key -CAform DER -out protect-agent.crt -days 1825 -sha256 -extfile protect.ext openssl pkcs12 -export -out protect-agent.pfx -inkey protect-agent.key -in protect-agent.crt -passout pass:password

     パスワードはお好みの強力なパスワードに置き換えてください。