シグニチャー証明書の作成とインストール

ここでは、否認防止および署名者の検証に使用されるシグニチャー証明書について説明します。

インバウンドのシグニチャー証明書

Document Manager は、文書を受信すると、参加者の署名証明書を使用して、送信者の署名を確認します。参加者は、自己署名証明書を X.509 DER 形式で管理者に送信します。管理者は、Community Console を使用して、参加者の証明書をそれぞれの参加者のプロファイルにインストールします。

証明書をインストールするには、以下の手順を実行します。

  1. 参加者の X.509 シグニチャー証明書を DER 形式で受信します。
  2. Community Console を使用して、証明書を参加者のプロファイルにインストールします。
    1. 「アカウント管理」>「プロファイル」>「コミュニティー参加者」をクリックして、参加者のプロファイルを検索します。
    2. 「証明書」をクリックします。
    3. 「証明書のロード」をクリックします。
    4. 証明書のタイプとして「デジタル署名」を選択します。
    5. 証明書の説明を入力します (必須)。
    6. 「状況」を「使用可能」に変更します。
    7. 「参照」をクリックし、証明書の保管先のディレクトリーに移動します。
    8. 証明書を選択し、「オープン」をクリックします。
    9. 「アップロード」をクリックし、次に「保管」をクリックします。
  3. 証明書がすでに CA で署名されているにもかかわらず 、CA ルート証明書や証明書チェーンに所属する証明書の中にまだハブ・オペレーター・プロファイルにインストールされていないものがあ る場合は、ここでそれらの証明書をインストールします。
    1. 「アカウント管理」>「プロファイル」>「証明書」をクリックして、「証明書リスト」ページを表示します。

      Community Console にハブ・オペレーターとしてログインし、証明書を自分のプロファイルにインストールしてください。

    2. 「証明書のロード」をクリックします。
    3. 「ルートおよび中間」を選択します。
    4. 証明書の説明を入力します (必須)。
    5. 「状況」を「使用可能」に変更します。
    6. 「参照」をクリックし、証明書の保管先のディレクトリーに移動します。
    7. 証明書を選択し、「オープン」をクリックします。
    8. 「アップロード」をクリックし、次に「保管」をクリックします。
    注: CA 証明書がすでにインストールされている場合は、このステップを実行する必要がありません。
  4. パッケージ (最も高いレベル)、参加者、または接続レベル (最も低いレベル) で署名を使用可能にします。 この設定により、接続レベルの他の設定をオーバーライドできます。 必要な属性が欠落している場合は、接続の要約によって通知されます。

    例えば、参加者接続の属性を変更するには、「アカウント管理」>「参加者の接続」をクリックし、参加者を選択します。「属性」をクリックし、属性を編集します (「AS 署名済み」など)。

アウトバウンド署名証明書

Document Manager は、参加者にアウトバウンド署名文書を送信するときにこの証明書を使用します。すべてのポートおよびプロトコルに対して同じ証明書および鍵が使用されます。

デジタル署名証明書は、複数持つことができます。そのうちの 1 つが、デフォルトで使用される 1 次証明書になります。他の 1 つは 2 次証明書となり、1 次証明書の有効期限が切れた場合や、他の理由で 1 次証明書を使用できない場合に使用されます。

自己署名証明書の使用

自己署名証明書を使用する場合は、以下の手順を実行します。

  1. IKEYMAN ユーティリティーを始動します。
  2. IKEYMAN を使用して、自己署名証明書および鍵ペアを生成します。
  3. IKEYMAN を使用して、ご使用の公開鍵を含む証明書をファイルに抽出します。
  4. 参加者に証明書を配布します。配布方法としては、証明書をパスワードで保護された ZIP ファイルにして、E メールで送信することをお勧めします。参加者は、管理者に連絡して、ZIP ファイルのパスワードを求める必要があります。
  5. IKEYMAN を使用して、自己署名証明書と秘密鍵のペアを PKCS12 ファイルの形式でエクスポートします。
  6. Community Console を使用して、自己署名証明書と秘密鍵のペアを PKCS12 ファイルの形式でエクスポートします。
    1. 「アカウント管理」>「プロファイル」>「証明書」をクリックして、「証明書リスト」ページを表示します。

      ハブ・オペレーターとして Community Console にログインしてください。

    2. 「PKCS12 のロード」をクリックします。
      注:
      1. アップロードされる PKCS12 ファイルには、秘密鍵が 1 つだけと、それに関連する証明書が含まれている必要があります。
      2. 証明書と秘密鍵を DER エンコード証明書および PKCS#8 エンコード秘密鍵としてアップロードすることもできます。
    3. 証明書のタイプとして「デジタル署名」を選択します。
    4. 証明書の説明を入力します (必須)。
    5. 「状況」を「使用可能」に変更します。
    6. 「参照」をクリックし、証明書の保管先のディレクトリーに移動します。
    7. 証明書を選択し、「オープン」をクリックします。
    8. パスワードを入力します。
    9. デジタル署名証明書が 2 つある場合は、「証明書の使用」リスト から「1 次」または「2 次」を選択して、証明書が 1 次証明書な のか 2 次証明書なのかを指定します。
    10. 「アップロード」をクリックし、次に「保管」をクリックします。
  7. 参加者がもう 1 つ署名証明書を持っている場合には、ステップ 6 を繰り返します。

SSL クライアント認証とデジタル署名の両方の 1 次証明書と 2 次証明書をアップロードし、さらに 1 次証明書を 2 つの異なるエントリーとしてアップロードする場合は、対応する 2 次証明書を 2 つの異なるエントリーとしてアップロードしてください。

CA が署名した証明書の使用

CA が署名した証明書を使用する場合は、以下の手順に従います。

  1. IKEYMAN ユーティリティーを始動します。
  2. IKEYMAN を使用して、Receiver の認証要求および鍵ペアを生成します。
  3. CA に証明書署名要求 (CSR) をサブミットします。
  4. CA から署名証明書を受信したら、IKEYMAN を使用して、この署名証明書を鍵ストアに配置します。
  5. すべての参加者に署名 CA 証明書を配布します。

Copyright IBM Corp. 2003, 2005