中間ＣＡ証明書のマージ

背景

   シマンテックの証明書をdelegated環境で使用する場合は、
   中間CA証明書・クロスルート設定CA証明書を、サーバ証明書に
   組み込む必要がある。手順を以下に記す。

手順

    1.シマンテックから証明書受領。

    2.delegatedでSSLリバースプロキシの場合は、
      「X.509形式 (Apacheを代表とするサーバ(Microsoft IIS以外)用)」を
      エディタで server01-cert_verisign_public.pem として保存。

    3.グローバル・サーバID用中間CA証明書（クロスルート設定CA証明書込み）の
      取得用サイトにアクセスする。
      https://www.jp.websecurity.symantec.com/repository/intermediate.html

    4.「グローバル・サーバID」の「２枚１組」から申し込み時期に一致する
      リンクをクリックする。

    5.「CN = VeriSign Class 3 International Server CA - G3」を確認

    6.取得（画面からコピー）する。

    7.エディタで VeriSign_Class_3_International_ServerCA-G3.txt を新規作成、
      先ほどコピーした内容を貼り付けて保存する。

    8.# grep -i cert VeriSign_Class_3_International_ServerCA-G3.txt
      で 「-----BEGIN CERTIFICATE-----」～「-----END CERTIFICATE-----」が
      二組そろっていることを確認。

　 9.サーバ証明書とマージ
     (1) 
         # cat server01-cert_verisign_public.pem > test1

     (2)

         # cat VeriSign_Class_3_International_ServerCA-G3.txt >> test1

      ・メモ
          手順４で「１枚毎」を選択した場合は、さらにエディタで*G5.txtを
　　　　作成し、次のコマンドでマージすれば良い。
         # cat VeriSign_Class_3_Public_Primary_Certification_Authority-G5.txt >> test1
          面倒なだけなので、「２枚１組」で良い。

　  10.形式変換
          # openssl pkcs12 -inkey server01-nopasskey.pem  \
             -in test1 -export -out server01-merged.pkcs12
          # openssl pkcs12 -in server01-merged.pkcs12 -nodes  \
     　     -out server01-merged.pem

　  11.証明書のありかを設定して、ｄｅｌｅｇａｔｅｄ起動準備
　　   ・Windowsサーバの場合は、
    　   copy server01-nopasskey.pem [DGROOT]\bin\server-key.pem
     　  copy server01-merged.pem      [DGROOT]\bin\server-cert.pem  
　　　　　←2015/03/22訂正（server01.pemをserver01-merged.pemに）。
　　　　　　見てくれた方は意味不明だったと思います。済みません。

   　　・ Ｌｉｎｕｘサーバの場合は、delegated起動スクリプトに、
　　　 証明書のありかを記載。


　  12.証明書の実装状態を確認
　　   ・ブラウザで確認

　　   ・Symantecのチェックツールでも確認しておくと良さそう
          Certificate Chainが構造化されている事が確認できる。

          チェックツールのサイトアドレスはこちら

              https://ssltools.websecurity.symantec.com/checker/views/certCheck.jsp

参考

   Certificate Chaining
   http://help.globalscape.com/help/eft6/Certificate_Chaining.htm

   APサーバに中間証明書付のSSLサーバ証明書をインポートするには？
   (2011/12/31)
   http://acro-engineer.hatenablog.com/entry/20111231/1325314832

   How to configure SSL
   http://docs.codehaus.org/display/JETTY/How+to+configure+SSL

   SSL証明書ファイルのエンコードタイプとopensslでの変換方法
   http://www.digicert.ne.jp/howto/basis/file_types.html

以上