SANtricity 11.8 Solutions

to English version

Web Services Proxyでのセキュリティと証明書の管理

Web Services Proxyでのセキュリティ対策として、SSLポートを指定し、証明書を管理することができます。証明書でWebサイトの所有者を識別することにより、クライアントとサーバーの間のセキュアーな接続が確立されます。

SSLの有効化

Web Services Proxyはセキュリティ対策としてSecure Sockets Layer（SSL）を使用しており、インストール時にSSLが有効化されます。SSLポートの指定はwsconfig.xmlファイルで変更できます。

手順

wsconfig.xmlファイルを開きます。このファイルは次の場所にあります。
- （Windows）- C:\Program Files\Fujitsu\SANtricity Web Services Proxy
- （Linux）- /opt/FJSVntapstwsp
次の例のように、SSLポート番号を追加または変更します。
```
<sslport clientauth="request">8443</sslport>
```

結果

SSLが設定された状態でサーバーを起動すると、サーバーはキーストアファイルと信頼ストアファイルを探します。

キーストアが見つからない場合、サーバーは最初に検出された非ループバックIPv4アドレスのIPアドレスを使用してキーストアを生成し、自己署名証明書をキーストアに追加します。
信頼ストアが見つからないか指定されていない場合、サーバーはキーストアを信頼ストアとして使用します。

証明書の検証の省略

セキュアーな接続をサポートするために、Web Services Proxyはストレージシステムの証明書を独自の信頼された証明書と照合して検証します。必要に応じて、ストレージシステムへの接続時にこの検証を省略するように指定できます。

開始する前に

ストレージシステムへの接続がすべてセキュアーである必要があります。

手順

wsconfig.xmlファイルを開きます。このファイルは次の場所にあります。
- （Windows）- C:\Program Files\Fujitsu\SANtricity Web Services Proxy
- （Linux）- /opt/FJSVntapstwsp
次の例に示すように、trust.all.arrays エントリに「true」と入力します。
```
<env key="trust.all.arrays">true</env>
```
ファイルを保存します。

ホスト管理証明書の生成とインポート

証明書でWebサイトの所有者を識別することにより、クライアントとサーバーの間のセキュアーな接続が確立されます。Web Services Proxyがインストールされているホストシステムの認証局（CA）証明書を生成してインポートするには、APIエンドポイントを使用します。

ホストシステムの証明書を管理するには、APIを使用して次のタスクを実行します。

ホストシステムの証明書署名要求（CSR）を作成します。
CSRファイルをCAに送信し、証明書ファイルが送られてくるのを待ちます。
署名済み証明書をホストシステムにインポートします。

証明書はUnified Managerインターフェイスでも管理できます。詳細については、Unified Managerのオンラインヘルプを参照してください。

手順

対話型のAPIドキュメントにログインします。
右上のドロップダウンメニューから [v2] を選択します。
[Administration] リンクを展開し、下にスクロールして [/certificates] エンドポイントまで移動します。

CSRファイルを生成します。

[POST:/certificates] を選択し、[Try it out] を選択します。

Webサーバーで自己署名証明書が再生成されます。各フィールドに情報を入力して、CSRの生成に使用する共通名、組織、組織単位、代替IDなどの情報を定義できます。

[Example values] ペインに必要な情報を追加して有効なCA証明書を生成し、コマンドを実行します。

CSRの再生成が必要になるため、POST:/certificates と POST:/certificates/reset は繰り返し呼び出さないでください。POST:/certificates または POST:/certificates/reset を呼び出すと、そのたびに新しい秘密鍵を使用して新しい自己署名証明書が生成されます。サーバーで秘密鍵がリセットされる前に生成されたCSRを送信した場合、新しいセキュリティ証明書は機能しません。CSRを生成し直して新しいCA証明書を要求する必要があります。

GET:/certificates/server エンドポイントを実行して、現在の証明書が POST:/certificates コマンドで追加した情報を含む自己署名証明書であることを確認します。

サーバー証明書（「jetty」という別名で表示）は、この時点ではまだ自己署名証明書です。
[POST:/certificates/export] エンドポイントを展開し、[Try it out] を選択してCSRファイルのファイル名を入力し、[Execute] をクリックします。

fileUrl をブラウザーの新しいタブにコピーしてCSRファイルをダウンロードし、そのCSRファイルを有効なCAに送信して新しいWebサーバー証明書チェーンを要求します。
CAから新しい証明書チェーンが発行されたら、証明書管理ツールを使用してルート証明書、中間証明書、およびWebサーバー証明書に分割し、それらの証明書をWeb Services Proxyサーバーにインポートします。
1. [POST:/sslconfig/server] エンドポイントを展開し、[Try it out] を選択します。
2. [alias] フィールドにCAルート証明書の名前を入力します。
3. [replaceMainServerCertificate] フィールドで [false] を選択します。
4. 新しいCAルート証明書を参照して選択します。
5. [Execute] をクリックします。
6. 証明書のアップロードが成功したことを確認します。
7. CA中間証明書について、CA証明書のアップロード手順を繰り返します。
8. 新しいWebサーバーセキュリティ証明書ファイルについて、証明書のアップロード手順を繰り返します。ただし、[replaceMainServerCertificate] ドロップダウンでは [true] を選択します。
9. Webサーバーセキュリティ証明書のインポートが成功したことを確認します。
10. キーストアに新しいルート証明書、中間証明書、およびWebサーバー証明書があることを確認するために、GET:/certificates/server を実行します。
[POST:/certificates/reload] エンドポイントを選択して展開し、[Try it out] を選択します。両方のコントローラーを再起動するかどうかを確認するメッセージが表示されたら、[false] を選択します（「true」はデュアルシステムコントローラーの場合にのみ選択）。[Execute] をクリックします。

通常、/certificates/reload エンドポイントは要求が成功したことを示すHTTP応答202を返します。ただし、Webサーバーの信頼ストアとキーストアの証明書をリロードする際、APIのプロセスとWebサーバーの証明書リロードプロセスの間でまれに競合が発生します。その場合、Webサーバー証明書のリロードがAPIの処理よりも優先されることがあり、その場合はリロードが正常に完了していても失敗したように表示されます。この場合も次の手順にそのまま進んでください。実際にリロードに失敗していれば、次の手順も失敗します。
Web Services Proxyの現在のブラウザーセッションを閉じて新しいブラウザーセッションを開き、Web Services Proxyへの新しいセキュアーなブラウザー接続を確立できることを確認します。

incognitoモードまたはin-privateモードのブラウズセッションを使用すると、以前のブラウズセッションで保存されたデータを使用せずにサーバーへの接続を開くことができます。