Skip to main content

新しい CA 署名証明書による ArcGIS Server の構成

このトピックでは、証明書の作成、認証機関 (CA) による署名、および ArcGIS Server での構成の手順について説明します。 これらは次の手順で行います:

  1. 自己署名証明書の作成。

  2. CA に証明書への署名を要求します。

  3. ArcGIS Server サイトが CA 署名証明書を使用する構成。

  4. デプロイメントの各 ArcGIS Server の構成

  5. {data-pivot='os-windows'} CA のルート証明書を Windows の証明書ストアにインポートする。

  6. サイトにアクセスします。

自己署名証明書の作成

  1. https://gisserver.example.com:6443/arcgis/admin で ArcGIS Server Administrator Directory にログインします。

  2. コンピューター > [コンピューター名] > sslcertificates の順に移動します。

  3. generate をクリックします。

  4. このページのパラメーターに値を指定します。

    オプション

    説明

    エイリアス

    証明書を簡単に識別できる一意の名前。

    Key Algorithm

    RSA (デフォルト) または DSA を使用します。

    Key Size

    証明書の作成に使用する暗号鍵を生成する際のサイズ (ビット単位) を指定します。 鍵のサイズが大きいほど、暗号が破られにくくなりますが、暗号の解読にかかる時間も長くなります。 DSA の場合、鍵のサイズは 512 ～ 1,024 で指定します。 RSA の場合は、鍵のサイズを 2,048 以上にすることをおすすめします。

    Signature Algorithm

    デフォルト (SHA256withRSA) を使用します。 組織に固有のセキュリティー制限がある場合は、DSA に対して SHA384withRSA、SHA512withRSA、SHA1withRSA、SHA1withDSA のいずれかのアルゴリズムを使用できます。

    Common Name

    このフィールドはオプションであり、以前の Web ブラウザーやソフトウェアとの後方互換性の確保に使用されます。 サーバー名の完全修飾ドメイン名を共通名として使用することをおすすめします。

    URL https://www.gisserver.example.com:6443/arcgis/ を使用してインターネットでサーバーにアクセスできる場合は、www.gisserver.example.com を共通名として使用します。

    URL https://gisserver.example.com:6443/arcgis を使用して LAN (ローカル エリア ネットワーク) のみでサーバーにアクセスできる場合は、gisserver.domain.com を共通名として使用します。

    Organizational Unit

    組織単位の名前 (たとえば、GIS 部門)。

    組織

    組織の名前 (たとえば、Esri)。

    City or Locality

    都市または地域の名前 (たとえば、Redlands)。

    州

    都道府県のフル ネーム (たとえば、California)。

    国コード

    国の短縮コード (たとえば、US)。

    妥当性

    この証明書が有効な日数 (たとえば、365)。

    Subject Alternative Name

    SAN (Subject Alternative Name) は、アクセスする Web サイトで提示された SSL 証明書がその Web サイト用に発行されたものであるかどうかの検証に使用されます。

    このパラメーターが空のままである場合は、ローカル コンピューターの完全修飾ドメイン名がデフォルト値として使用されます。 SAN フィールドには、複数の値を指定できます。ただし、必ず Web サイトの完全修飾ドメイン名を含めなければなりません。 SAN パラメーター値はスペースを含むことができません。

    たとえば、サーバーが主に URL https://www.esri.com でアクセスされる場合、SAN パラメーターは DNS:www.esri.com に設定します。 サーバーが、パブリック インターネットでは URL https://www.esri.com を、組織の LAN (ローカル エリア ネットワーク) 内では URL https://gisserver.esri.com を使用してアクセスされる場合、SAN パラメーターは DNS:www.esri.com,DNS:gisserver.esri.com に設定します。

    SAN パラメーターにワイルドカード (*.esri.com) を使用することはサポートされていますが、推奨されません。 同じ証明書が複数の Web サイトやサブドメインで使用される場合、次の例に示すように各 Web サイトまたはサブドメインを SAN パラメーターに列挙します:

    例: DNS:www.esri.com,DNS:esri.com,DNS:www.esri.ch,DNS:www.esri.rw,DNS:www.esri.de,DNS:maps.esri.com,DNS:support.esri.com,DNS:pro.arcgis.com。

  5. Generate をクリックして、証明書を生成します。

CA に対する証明書への署名の要求

独自の証明書を Web ブラウザーが信頼できる証明書として受け入れるためには、Verisign や Thawte などの有名な認証機関による検証と副署が必要です。

レガシー:

10.5.1 およびそれ以前のバージョンでは、init_user_param.sh スクリプトの CA_ROOT_CERTIFICATE_DIR 変数を使用して、CA 署名のルート証明書を OS の証明書ストアにインポートしていました。 10.6 以降では、この手順は不要です。

  1. 前のセクションで作成した自己署名証明書を開き、generateCSR をクリックします。 コンテンツをファイルにコピーします。通常、ファイルの拡張子は .csr です。

  2. 選択した CA に CSR を送信します。 DER (Distinguished Encoding Rules) または Base64 エンコード証明書を取得できます。 CA が、証明書を適用する Web サーバーのタイプを要求した場合、Other/Unknown または Java Application Server を指定します。 アイデンティティーが確認された後で、.crt または .cer ファイルが返送されます。

  3. CA から受信した署名済み証明書を、ArcGIS Server Administrator Directory からアクセスできるコンピューターの場所に保存します。 署名済みの証明書だけでなく、ルート証明書も CA から発行されます。 CA ルート証明書をコンピューターに保存します。

  4. ArcGIS Server Administrator Directory にログインします: https://gisserver.example.com:6443/arcgis/admin。

  5. コンピューター > [コンピューター名] > sslcertificates > importRootOrIntermediate の順にクリックして、CA から提供されたルート証明書をインポートします。CA からその他の中間証明書が発行されている場合は、それらの証明書もインポートします。

  6. コンピューター > [コンピューター名] > sslcertificates の順に移動します。

  7. CA に送信した自己署名証明書の名前をクリックします。

  8. importSignedCertificate をクリックして、CA から受け取った署名済みの証明書を保存した場所を参照します。

  9. 送信 をクリックします。 これにより、前のセクションで作成した自己署名証明書が CA 署名証明書に置き換えられます。

ArcGIS Server が CA 署名証明書を使用する構成

注意:

CA 署名証明書で定義された CDP (CRL 配布ポイント) は有効で、ArcGIS Server をホストしているコンピューターからアクセス可能な必要があります。 証明書で定義された CDP がインターネット アクセスの欠如、ネットワーク、またはファイアウォール設定の関係で無効またはアクセスできない場合、ArcGIS Pro での公開は失敗します。 この問題を回避するには、「共通の問題と解決策」トピックにある「CA 発行の証明書を使用する ArcGIS Server サイトでサービスを公開できません」の手順に従います。

  1. https://gisserver.example.com:6443/arcgis/admin で ArcGIS Server Administrator Directory にログインします。 gisserver.example.com は、ArcGIS Server がインストールされているコンピューターの完全修飾名に置き換えます。

  2. コンピューター > [コンピューター名] の順に移動します。

  3. edit をクリックします。

  4. Web サーバーの SSL 証明書 フィールドに、署名済み証明書の名前を入力します。 指定する名前は、前のセクションで CA 署名証明書に置き換えた自己署名証明書のエイリアスと一致する必要があります。

  5. 編集の保存 をクリックして、変更内容を適用します。 これにより、ArcGIS Server のサイトが自動的に再起動されます。

  6. サイトが再起動したら、URL https://gisserver.example.com:6443/arcgis/admin にアクセスできることを確認します。 この URL から応答がない場合、ArcGIS Server は指定された SSL 証明書を使用できなかったことになります。 http://gisserver.example.com:6080/arcgis/admin で ArcGIS Server Administrator Directory にログインし、SSL 証明書をチェックして、ArcGIS Server を新しいまたは別の証明書を使用するよう構成します。

  7. 現在のページで、Web server SSL Certificate プロパティを表示し、適切な証明書が HTTPS に使用されることを確認します。

デプロイメントの各 ArcGIS Server コンピューターの構成

複数のコンピューターの ArcGIS Server デプロイメントでは、サイトに参加する各 ArcGIS Server コンピューター用に CA 署名証明書を取得し、構成する必要があります。 すべての証明書がインポートされたら、ArcGIS Server サイトの各コンピューターを再起動します。

CA のルート証明書を Windows の証明書ストアにインポートする

認証機関のルート証明書が Windows の証明書ストアに存在しない場合は、インポートする必要があります。

  1. ArcGIS Server をホストしているコンピューターにログインします。

  2. CA から受け取った署名済みの証明書を、このコンピューター上の場所にコピーします。

  3. この証明書を開き、証明のパス タブをクリックします。 証明書の状態 が この証明書は問題ありません。 である場合、CA ルート証明書は Windows 証明書ストアに存在しています。証明書のインポートは必要ありません。 手順 12 に進みます。

  4. CA ルート証明書をこのコンピューター上の場所にコピーします。

  5. この証明書を開き、一般 タブをクリックします。 証明書のインストール ボタンをクリックします。

  6. 証明書のインポート ウィザード が開き、ようこそ ウィンドウが表示されたら、次へ をクリックします。

  7. 証明書ストア パネルで、証明書をすべて次のストアに配置する オプションを選択します。

  8. 参照 ボタンをクリックします。 証明書ストアの選択 ダイアログ ボックスで、物理ストアを表示する オプションを有効にします。

  9. 信頼されたルート証明機関 フォルダーを展開して、その内容を表示します。 使用する証明書ストアとして ローカル コンピューター を選択します。 OK をクリックします。

  10. 証明書ストア パネルで、次へ をクリックします。

  11. 完了 をクリックします。

  12. サイト内の各 ArcGIS Server コンピューターについて、手順 1 から 11 までを繰り返します。

  13. 各コンピューターで ArcGIS Server を再起動します。

サイトへのアクセス

HTTPS がデフォルトで有効になっていると、ArcGIS Server はポート 6443 でリクエストを待機します。 次の URL を使用して、安全に ArcGIS Server にアクセスします:

ArcGIS Server Manager

https://gisserver.example.com:6443/arcgis/manager

ArcGIS Server Services Directory

https://gisserver.example.com:6443/arcgis/rest/services
注意:

ArcGIS Server の名前を変更しても、引き続き HTTPS を使用して ArcGIS Server にアクセスできますが、新しい証明書を生成し、ArcGIS Server がその証明書を使用するように構成する必要があります。