本ページの製品は2024年4月1日より、エフサステクノロジーズ株式会社に統合となり、順次、切り替えを実施してまいります。一部、富士通表記が混在することがありますので、ご了承ください。

SANtricity 11 マニュアル (CA08872-010)

to English version

コントローラーのCA署名証明書の使用

コントローラーとSANtricity System Managerへのアクセスに使用されるブラウザーとの間のセキュアーな通信を確立するために、CA署名証明書を取得できます。

開始する前に

Security Adminの権限を含むユーザープロファイルでログインする必要があります。そうしないと、証明書関連の機能は表示されません。
各コントローラーのIPアドレスまたはDNS名を把握しておく必要があります。

タスク概要

CA署名証明書を使用するには、次の3つの手順を実行します。

手順 1：コントローラーのCSRを作成する

最初にストレージシステムの各コントローラーの証明書署名要求（CSR）ファイルを生成する必要があります。

タスク概要

このタスクでは、SANtricity System ManagerでCSRファイルを生成する方法について説明します。CSRは、組織に関する情報と、コントローラーのIPアドレスまたはDNS名を提供します。このタスクでは、ストレージシステムにコントローラーが1つある場合はCSRファイルが1つ、コントローラーが2つある場合は2つ生成されます。

あるいは、OpenSSLなどのツールを使用してCSRファイルを生成して、手順 2：CSRファイルを送信するに進みます。 OpenSSLで構築した認証局（CA）で認証した証明書の利用も可能です。なお、CA証明書におけるセキュリティの観点から、プライベートCAの場合でも利用には、ルート証明書、1つ以上の中間証明書、およびサーバー証明書が必要となります。

手順

[設定]>[証明書]を選択します。

[アレイ管理] タブで、[CSR の生成] を選択します。

2番目のコントローラーの自己署名証明書を受け入れることを求めるダイアログボックスが表示された場合は、[自己署名証明書の承認] をクリックして続行します。

次の情報を入力して、[次へ] をクリックします。

組織
会社または組織の完全な正式名称。Inc.やCorp.などの接尾辞も含めて入力してください。
組織単位（オプション）
証明書を使用する組織の部門。
市区町村
ストレージシステムまたは事業の所在地である市区町村。
都道府県（オプション）
ストレージシステムまたは事業の所在地である都道府県。
ISO の国コード
自国を表す2桁のISO（国際標準化機構）コード（USなど）。

一部のフィールドには、該当する情報が事前に入力されます（コントローラーのIPアドレスなど）。事前入力された値は、明らかな間違いでないかぎり変更しないでください。たとえば、CSRを作成する前の時点では、コントローラーのIPアドレスは"`localhost`"に設定されます。その場合、"`localhost`"をコントローラーのDNS名またはIPアドレスに変更する必要があります。

ストレージシステム内のコントローラーAに関する次の情報を確認または入力します。

コントローラー A の共通名
コントローラーAのIPアドレスまたはDNS名がデフォルトで表示されます。このアドレスが正しいことを確認します（ブラウザーでSANtricity System Managerにアクセスする際に入力するアドレスと正確に一致している必要があります）。DNS名の1文字目にワイルドカードを使用することはできません。
コントローラー A の代替 IP アドレス
共通名がIPアドレスの場合は、コントローラーAのIPアドレスまたはエイリアスをオプションで追加できます。複数指定する場合は、カンマで区切って入力します。
コントローラー A の代替 DNS 名
共通名がDNS名の場合は、コントローラーAのDNS名を追加できます。複数指定する場合は、カンマで区切って入力します。代替DNS名がない場合は、最初のフィールドに入力したDNS名をここにコピーします。DNS名の1文字目にワイルドカードを使用することはできません。ストレージシステムにコントローラーが1つしかない場合は、[終了] ボタンが表示されます。

ストレージシステムにコントローラーが2つある場合は、[次へ] ボタンが表示されます。

CSRを初めて作成している場合、[この手順をスキップ] をクリックしないでください。このリンクはエラーからリカバリーする目的で使用します。CSR要求が一方のコントローラーで失敗し、もう一方のコントローラーで成功する場合がまれにあります。このリンクを使用すると、コントローラーAでCSRがすでに定義されていればその作成をスキップし、コントローラーBでCSRを再作成する手順に進むことができます。

コントローラーが1つしかない場合は、[終了] をクリックします。コントローラーが2つある場合は、[次へ] をクリックしてコントローラーBの情報（上記と同じ情報）を入力し、[終了] をクリックします。

シングルコントローラーの場合は、1つのCSRファイルがローカルシステムにダウンロードされます。デュアルコントローラーの場合は、2つのCSRファイルがダウンロードされます。ダウンロードフォルダーの場所は、ブラウザーによって異なります。
手順 2：CSRファイルを送信するに進みます。

手順 2：CSRファイルを送信する

証明書署名要求（CSR）ファイルを作成したら、ファイルを認証局（CA）に送信します。ETERNUS AB/HB series システムには、PEM形式（Base64 ASCIIエンコード）の署名済み証明書が必要です。該当するファイル形式はpem、.crt、.cer、または.keyです。

手順

ダウンロードしたCSRファイルの場所を確認します。

CSRファイルをCA（VerisignやDigiCertなど）に送信し、PEM形式の署名済み証明書を要求します。

CSRファイルをCAに送信したあとに、別のCSRファイルを再生成しないでください。CSRを生成すると、秘密鍵と公開鍵のペアが作成されます。公開鍵はCSRの一部であり、秘密鍵はシステムのキーストアに保持されます。署名済み証明書を受け取ってインポートすると、システムは秘密鍵と公開鍵の両方がオリジナルのペアであることを確認します。キーが一致しないと署名済み証明書は機能せず、CAに新しい証明書を要求する必要があります。

CAから署名済み証明書を受け取ったら、手順 3：コントローラーの署名済み証明書をインポートするに進みます。

手順 3：コントローラーの署名済み証明書をインポートする

認証局（CA）から署名済み証明書を受け取ったら、コントローラーのファイルをインポートします。

開始する前に

署名済み証明書ファイルをCAから受け取っておきます。ファイルには、ルート証明書、1つ以上の中間証明書、およびサーバー証明書が含まれています。
CAからチェーン証明書ファイル（たとえば、.p7bファイル）が提供された場合は、チェーンファイルを個々のファイル（ルート証明書、1つ以上の中間証明書、コントローラーを識別するサーバー証明書）に展開する必要があります。Windows certmgr ユーティリティーを使用すると、ファイルを展開できます（右クリックして、[すべてのタスク]>[エクスポート]を選択）。Base-64エンコード方式を推奨します。エクスポートが完了すると、チェーン内の証明書ファイルごとに1つのCERファイルが表示されます。
SANtricity System Managerにアクセスするホストシステムに、証明書ファイルをコピーしておきます。

手順

[設定]>[証明書]を選択します。
[アレイ管理] タブから、[インポート] を選択します。

証明書ファイルをインポートするためのダイアログボックスが表示されます。
[参照] ボタンをクリックして最初にルート証明書ファイルと中間証明書ファイルを選択してから、コントローラーの各サーバー証明書を選択します。ルートファイルと中間ファイルは両方のコントローラーで同じです。サーバー証明書のみコントローラーごとに一意です。外部ツールからCSRを生成した場合は、CSRと一緒に作成された秘密鍵ファイルもインポートする必要があります。

ファイル名がダイアログボックスに表示されます。
[インポート] をクリックします。

ファイルがアップロードされて検証されます。

結果

セッションは自動的に終了します。証明書を有効にするには、ログインし直す必要があります。再度ログインすると、新しいCA署名済み証明書がセッションに使用されます。