翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# で認証機関 (CA) として Windows Server を設定する AWS CloudHSM
AWS CloudHSM は、クライアント SDK 3 およびクライアント SDK 5 を介して Windows Server を認証機関 (CA) として設定するサポートを提供します。これらのツールを使用する手順は、現在ダウンロードしているクライアント SDK のバージョンによって異なります。次のセクションでは、各 SDK に関する情報を提供します。
**Topics**
+ [Windows Server CA を使用するクライアント SDK 5](win-ca-overview-sdk5.md)
+ [Windows Server CA を使用するクライアント SDK 3](win-ca-overview-sdk3.md)
# Client SDK 5 を使用した認証局 (CA) として Windows Server を設定します。
公開鍵基盤 (PKI) において、認証局 (CA) は、デジタル証明書を発行する信頼されたエンティティです。これらのデジタル証明書は、公開鍵暗号方式およびデジタル署名を使用して、パブリックキーを ID (個人または組織) にバインドします。CA を操作するには、CA によって発行された証明書に署名するプライベートキーを保護して、信頼関係を維持する必要があります。プライベートキーを AWS CloudHSM クラスター内の HSM に保存し、HSM を使用して暗号化署名オペレーションを実行できます。
このチュートリアルでは、Windows Server と AWS CloudHSM を使用して CA を設定します。Windows 用 AWS CloudHSM クライアントソフトウェアを Windows Server にインストールしたら、Windows Server に Active Directory Certificate Services (AD CS) のロールを追加します。このロールを設定するときは、 AWS CloudHSM キーストレージプロバイダー (KSP) を使用して CA のプライベートキーを作成し、 AWS CloudHSM クラスターに保存します。KSP は、Windows サーバーを AWS CloudHSM クラスターに接続するブリッジです。最後のステップで、Windows Server CA を使用して、証明書署名リクエスト (CSR) に署名します。
詳細については、以下の各トピックを参照してください。
**Topics**
+ [ステップ 1: 前提条件の設定](#win-ca-prerequisites-sdk5)
+ [ステップ 2: を使用して Windows Server CA を作成する AWS CloudHSM](#win-ca-setup-sdk5)
+ [ステップ 3: を使用して Windows Server CA で証明書署名リクエスト (CSR) に署名する AWS CloudHSM](#win-ca-sign-csr-sdk5)
## ステップ 1: 前提条件の設定
で Windows Server を認証機関 (CA) としてセットアップするには AWS CloudHSM、以下が必要です。
+ 少なくとも 1 つの HSM を持つアクティブな AWS CloudHSM クラスター。
+ Windows 用の AWS CloudHSM クライアントソフトウェアがインストールされた Windows Server オペレーティングシステムを実行する Amazon EC2 インスタンス。このチュートリアルでは Microsoft Windows Server 2016 を使用します。
+ HSM で CA のプライベートキーを所有および管理するための暗号化ユーザー (CU)。
**を使用して Windows Server CA の前提条件を設定するには AWS CloudHSM**
1. 「[開始方法](getting-started.md)」のステップを完了します。Amazon EC2 クライアントを起動するときは、Windows Server AMIを選択します。このチュートリアルでは Microsoft Windows Server 2016 を使用します。これらのステップを完了すると、少なくとも 1 つの HSM を含むアクティブなクラスターが提供されます。Windows 用のクライアントソフトウェアがインストールされた状態で Windows Server を実行している Amazon EC2 AWS CloudHSM クライアントインスタンスもあります。
1. (オプション) 他の HSM をクラスターに追加します。詳細については、「[AWS CloudHSM クラスターへの HSM の追加](add-hsm.md)」を参照してください。
1. クライアントインスタンスに接続します。詳細については、「Amazon EC2 ユーザーガイド」の「[インスタンスに接続する](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/EC2_GetStarted.html#ec2-connect-to-instance-windows)」を参照してください。**
1. [Managing HSM users with CloudHSM CLI](manage-hsm-users-chsm-cli.md) または [Managing HSM users with CloudHSM Management Utility (CMU)](manage-hsm-users-cmu.md) を使用して、Crypto User (CU) を作成します。CU のユーザー名とパスワードを書き留めます。次のステップを完了するために必要になります。
1. 前のステップで作成した CU ユーザー名とパスワードを使用して、[HSM のログイン認証情報を設定します](ksp-library-authentication.md)。
1. ステップ 5 で、Windows 資格情報マネージャーを使用して HSM 認証情報を設定した場合は、SysInternals から [https://live.sysinternals.com/psexec.exe](https://live.sysinternals.com/psexec.exe) をダウンロードして、*NT Authority\$1SYSTEM* として以下のコマンドを実行します。
```
psexec.exe -s "C:\Program Files\Amazon\CloudHsm\tools\set_cloudhsm_credentials.exe" --username --password
```
** と ** を HSM 認証情報に置き換えてください。
を使用して Windows Server CA を作成するには AWS CloudHSM、「」を参照してください[Windows Server CA の作成](#win-ca-setup-sdk5)。
## ステップ 2: を使用して Windows Server CA を作成する AWS CloudHSM
Windows Server CA を作成するには、Active Directory 証明書サービス (AD CS) ロールを Windows Server に追加します。このロールを追加するときは、 AWS CloudHSM キーストレージプロバイダー (KSP) を使用して CA のプライベートキーを作成し、 AWS CloudHSM クラスターに保存します。
**注記**
Windows Server CA を作成すると、ルート CA または下位 CA の作成を選択できます。通常、この決定はパブリックキーインフラストラクチャの設計および組織のセキュリティポリシーに基づいて行います。このチュートリアルではルート CA を作成する方法を簡単に説明します。
**AD CS ロールを Windows Server に追加して CA のプライベートキーを作成するには**
1. Windows Server に接続していない場合は、接続します。詳細については、「Amazon EC2 ユーザーガイド」の「[インスタンスに接続する](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/EC2_GetStarted.html#ec2-connect-to-instance-windows)」を参照してください。**
1. Windows Server で [**サーバーマネージャー**] を起動します。
1. [**サーバー マネージャー**] ダッシュボードで、[**役割と機能の追加**] を選択します。
1. [**開始する前に**] 情報を読み、[**次へ**] を選択します。
1. [**インストールのタイプ**] ページで、[**ロールベースまたは機能ベースのインストール**] を選択します。次いで、**[次へ]** を選択します。
1. [**サーバーの選択**] で、[**Select a server from the server pool (サーバープールからサーバーを選択する)**] を選択します。次いで、**[次へ]** を選択します。
1. [**Server Roles (サーバーの役割位)**] で、以下を実行します。
1. [**Active Directory Certificate Services**] を選択します。
1. [**Add features that are required for Active Directory Certificate Services (Active Directory Certificate Services に必要な機能を追加する)**] で、[**機能の追加**] を選択します。
1. [**次へ**] を選択してサーバーロールの選択を完了します。
1. [**機能**] で、デフォルトを受け入れて、[**次へ**] を選択します。
1. [**AD CS**] で、以下を実行します
1. [**次へ**] を選択します。
1. [**証明機関**] を選択してから、[**次へ**] を選択します。
1. [**確認**] で確認情報を読み、[**インストール**] を選択します。ウィンドウを閉じないでください。
1. 強調表示された [**Configure Active Directory Certificate Services on the destination server (ターゲットサーバーの Active Directory Certificate Services を設定する)**] リンクを選択します。
1. [**認証情報**] で、表示される認証情報を検証または変更します。次いで、**[次へ]** を選択します。
1. [**役割サービス**] で、[**証明機関**] を選択します。次いで、**[次へ]** を選択します。
1. [**Setup Type (セットアップタイプ)**] で、[**Standalone CA (スタンドアロン CA)**] を選択します。次いで、**[次へ]** を選択します。
1. [**CA Type (CA タイプ)**] で、[**Root CA (ルート CA)**] を選択します。次いで、**[次へ]** を選択します。
**注記**
パブリックキーインフラストラクチャの設計と組織のセキュリティポリシーに基づいて、ルート CA または下位 CA の作成を選択できます。このチュートリアルではルート CA を作成する方法を簡単に説明します。
1. [**プライベートキー**] で、[**Create a new private key (新しいプライベートキーを作成する)**] を選択します。次いで、**[次へ]** を選択します。
1. [**暗号化**] で、以下の操作を実行します。
1. [**暗号化プロバイダーを選択する**] で、メニューから [**CloudHSM キーストレージプロバイダー**] のいずれかを選択します。これらは、 AWS CloudHSM キーストレージプロバイダーです。たとえば、[**RSA\$1CloudHSM キーストレージプロバイダー**] を選択できます。
1. [**Key length (キーの長さ)**] で、キーの長さのオプションを 1 つ選択します。
1. [**Select the hash algorithm for signing certificates issued by this CA (この CA によって発行された証明書に署名するためのハッシュアルゴリズムを選択する)**] で、ハッシュアルゴリズムのオプションを 1 つ選択します。
[**次へ**] を選択します。
1. [**CA Name (CA 名)**] で、以下を実行します。
1. (省略可能) 共通名を編集します。
1. (省略可能) 識別子名サフィックスを入力します。
[**次へ**] を選択します。
1. [**有効期間**] で、期間を年、月、週、または日で指定します。次いで、**[次へ]** を選択します。
1. [**Certificate Database (証明書データベース)**] では、デフォルト値をそのままにするか、必要に応じてデータベースとデータベースログの場所を変更できます。次いで、**[次へ]** を選択します。
1. [**確認**] で、CA に関する情報を確認し、[**構成する**] を選択します。
1. [**閉じる**] を選択し、もう一度 [**閉じる**] を選択します。
これで、 で Windows Server CA が作成されました AWS CloudHSM。CA を使用して証明書署名リクエスト (CSR) に署名する方法の詳細については、「[CSR への署名](#win-ca-sign-csr-sdk5)」を参照してください。
## ステップ 3: を使用して Windows Server CA で証明書署名リクエスト (CSR) に署名する AWS CloudHSM
で Windows Server CA を使用して AWS CloudHSM 、証明書署名リクエスト (CSR) に署名できます。これらのステップを完了するには、有効な CSR が必要です。CSR は以下を含むいくつかの方法で作成できます。
+ OpenSSL の使用
+ Windows Server インターネット インフォメーション サービス (IIS) マネージャを使用する
+ Microsoft マネジメントコンソールの証明書スナップインを使用する
+ Windows で **certreq** コマンドラインユーティリティを使用する
CSR を作成する手順は、このチュートリアルの範囲外です。CSR がある場合は、Windows Server CA を使用して署名できます。
**Windows Server CA を使用して CSR に署名するには**
1. Windows Server に接続していない場合は、接続します。詳細については、「Amazon EC2 ユーザーガイド」の「[インスタンスに接続する](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/EC2_GetStarted.html#ec2-connect-to-instance-windows)」を参照してください。**
1. Windows Server で [**サーバーマネージャー**] を起動します。
1. [**サーバー マネージャー**] ダッシュボードの右上隅で、[**ツール**]、[**証明機関**] の順に選択します。
1. [**証明機関**] ウィンドウで、コンピュータ名を選択します。
1. [**アクション**] メニューで、[**すべてのタスク**]、[**新しい要求の送信**] の順に選択します。
1. CSR ファイルを選択して、[**開く**] を選択します。
1. [**証明機関**] ウィンドウで、[**保留中の要求**] をダブルクリックします。
1. 保留中のリクエストを選択します。次に、[**アクション**] メニューで、[**すべてのタスク**]、[**発行**] の順に選択します。
1. [**証明機関**] ウィンドウで、[**Issued Requests (発行済みの要求)**] をダブルクリックします。
1. (オプション) 署名付き証明書をファイルにエクスポートするには、次のステップを実行します。
1. [**証明機関**] ウィンドウで、証明書をダブルクリックします。
1. [**詳細**] タブ、[**Copy to File (ファイルにコピー)**] の順に選択します。
1. [**Certificate Export Wizard (証明書のエクスポートウィザード)**] の手順に従います。
これで、 を使用する Windows Server CA と AWS CloudHSM、Windows Server CA によって署名された有効な証明書が作成されました。
# Client SDK 3 を使用した認証局 (CA) として Windows Server を設定します。
公開鍵基盤 (PKI) において、認証局 (CA) は、デジタル証明書を発行する信頼されたエンティティです。これらのデジタル証明書は、公開鍵暗号方式およびデジタル署名を使用して、パブリックキーを ID (個人または組織) にバインドします。CA を操作するには、CA によって発行された証明書に署名するプライベートキーを保護して、信頼関係を維持する必要があります。プライベートキーを AWS CloudHSM クラスター内の HSM に保存し、HSM を使用して暗号化署名オペレーションを実行できます。
このチュートリアルでは、Windows Server と AWS CloudHSM を使用して CA を設定します。Windows 用 AWS CloudHSM クライアントソフトウェアを Windows Server にインストールしたら、Windows Server に Active Directory Certificate Services (AD CS) のロールを追加します。このロールを設定するときは、 AWS CloudHSM キーストレージプロバイダー (KSP) を使用して CA のプライベートキーを作成し、 AWS CloudHSM クラスターに保存します。KSP は、Windows サーバーを AWS CloudHSM クラスターに接続するブリッジです。最後のステップで、Windows Server CA を使用して、証明書署名リクエスト (CSR) に署名します。
詳細については、以下の各トピックを参照してください。
**Topics**
+ [ステップ 1: 前提条件の設定](#win-ca-prerequisites-sdk3)
+ [ステップ 2: を使用して Windows Server CA を作成する AWS CloudHSM](#win-ca-setup-sdk3)
+ [ステップ 3: を使用して Windows Server CA で証明書署名リクエスト (CSR) に署名する AWS CloudHSM](#win-ca-sign-csr-sdk3)
## ステップ 1: 前提条件の設定
で Windows Server を認証機関 (CA) としてセットアップするには AWS CloudHSM、以下が必要です。
+ 少なくとも 1 つの HSM を持つアクティブな AWS CloudHSM クラスター。
+ Windows 用の AWS CloudHSM クライアントソフトウェアがインストールされた Windows Server オペレーティングシステムを実行する Amazon EC2 インスタンス。このチュートリアルでは Microsoft Windows Server 2016 を使用します。
+ HSM で CA のプライベートキーを所有および管理するための暗号化ユーザー (CU)。
**を使用して Windows Server CA の前提条件を設定するには AWS CloudHSM**
1. 「[開始方法](getting-started.md)」のステップを完了します。Amazon EC2 クライアントを起動するときは、Windows Server AMIを選択します。このチュートリアルでは Microsoft Windows Server 2016 を使用します。これらのステップを完了すると、少なくとも 1 つの HSM を含むアクティブなクラスターが提供されます。Windows 用のクライアントソフトウェアがインストールされた状態で Windows Server を実行している Amazon EC2 AWS CloudHSM クライアントインスタンスもあります。
1. (オプション) 他の HSM をクラスターに追加します。詳細については、「[AWS CloudHSM クラスターへの HSM の追加](add-hsm.md)」を参照してください。
1. クライアントインスタンスに接続します。詳細については、「Amazon EC2 ユーザーガイド」の「[インスタンスに接続する](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/EC2_GetStarted.html#ec2-connect-to-instance-windows)」を参照してください。**
1. [Managing HSM users with CloudHSM CLI](manage-hsm-users-chsm-cli.md) または [Managing HSM users with CloudHSM Management Utility (CMU)](manage-hsm-users-cmu.md) を使用して、Crypto User (CU) を作成します。CU のユーザー名とパスワードを書き留めます。次のステップを完了するために必要になります。
1. 前のステップで作成した CU ユーザー名とパスワードを使用して、[HSM のログイン認証情報を設定します](ksp-library-prereq.md)。
1. ステップ 5 で、Windows 資格情報マネージャーを使用して HSM 認証情報を設定した場合は、SysInternals から [https://live.sysinternals.com/psexec.exe](https://live.sysinternals.com/psexec.exe) をダウンロードして、*NT Authority\$1SYSTEM* として以下のコマンドを実行します。
```
psexec.exe -s "C:\Program Files\Amazon\CloudHsm\tools\set_cloudhsm_credentials.exe" --username --password
```
** と ** を HSM 認証情報に置き換えてください。
を使用して Windows Server CA を作成するには AWS CloudHSM、「」を参照してください[Windows Server CA の作成](#win-ca-setup-sdk3)。
## ステップ 2: を使用して Windows Server CA を作成する AWS CloudHSM
Windows Server CA を作成するには、Active Directory 証明書サービス (AD CS) ロールを Windows Server に追加します。このロールを追加するときは、 AWS CloudHSM キーストレージプロバイダー (KSP) を使用して CA のプライベートキーを作成し、 AWS CloudHSM クラスターに保存します。
**注記**
Windows Server CA を作成すると、ルート CA または下位 CA の作成を選択できます。通常、この決定はパブリックキーインフラストラクチャの設計および組織のセキュリティポリシーに基づいて行います。このチュートリアルではルート CA を作成する方法を簡単に説明します。
**AD CS ロールを Windows Server に追加して CA のプライベートキーを作成するには**
1. Windows Server に接続していない場合は、接続します。詳細については、「Amazon EC2 ユーザーガイド」の「[インスタンスに接続する](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/EC2_GetStarted.html#ec2-connect-to-instance-windows)」を参照してください。**
1. Windows Server で [**サーバーマネージャー**] を起動します。
1. [**サーバー マネージャー**] ダッシュボードで、[**役割と機能の追加**] を選択します。
1. [**開始する前に**] 情報を読み、[**次へ**] を選択します。
1. [**インストールのタイプ**] ページで、[**ロールベースまたは機能ベースのインストール**] を選択します。次いで、**[次へ]** を選択します。
1. [**サーバーの選択**] で、[**Select a server from the server pool (サーバープールからサーバーを選択する)**] を選択します。次いで、**[次へ]** を選択します。
1. [**Server Roles (サーバーの役割位)**] で、以下を実行します。
1. [**Active Directory Certificate Services**] を選択します。
1. [**Add features that are required for Active Directory Certificate Services (Active Directory Certificate Services に必要な機能を追加する)**] で、[**機能の追加**] を選択します。
1. [**次へ**] を選択してサーバーロールの選択を完了します。
1. [**機能**] で、デフォルトを受け入れて、[**次へ**] を選択します。
1. [**AD CS**] で、以下を実行します
1. [**次へ**] を選択します。
1. [**証明機関**] を選択してから、[**次へ**] を選択します。
1. [**確認**] で確認情報を読み、[**インストール**] を選択します。ウィンドウを閉じないでください。
1. 強調表示された [**Configure Active Directory Certificate Services on the destination server (ターゲットサーバーの Active Directory Certificate Services を設定する)**] リンクを選択します。
1. [**認証情報**] で、表示される認証情報を検証または変更します。次いで、**[次へ]** を選択します。
1. [**役割サービス**] で、[**証明機関**] を選択します。次いで、**[次へ]** を選択します。
1. [**Setup Type (セットアップタイプ)**] で、[**Standalone CA (スタンドアロン CA)**] を選択します。次いで、**[次へ]** を選択します。
1. [**CA Type (CA タイプ)**] で、[**Root CA (ルート CA)**] を選択します。次いで、**[次へ]** を選択します。
**注記**
パブリックキーインフラストラクチャの設計と組織のセキュリティポリシーに基づいて、ルート CA または下位 CA の作成を選択できます。このチュートリアルではルート CA を作成する方法を簡単に説明します。
1. [**プライベートキー**] で、[**Create a new private key (新しいプライベートキーを作成する)**] を選択します。次いで、**[次へ]** を選択します。
1. [**暗号化**] で、以下の操作を実行します。
1. [**Select a cryptographic provider (暗号化プロバイダーを選択する)**] で、メニューから [**Cavium Key Storage Provider (Cavium キーストレージプロバイダー)**] のいずれかを選択します。これらは、 AWS CloudHSM キーストレージプロバイダーです。たとえば、[**RSA\$1Cavium Key Storage Provider (RSA\$1Cavium キーストレージプロバイダー)**] を選択できます。
1. [**Key length (キーの長さ)**] で、キーの長さのオプションを 1 つ選択します。
1. [**Select the hash algorithm for signing certificates issued by this CA (この CA によって発行された証明書に署名するためのハッシュアルゴリズムを選択する)**] で、ハッシュアルゴリズムのオプションを 1 つ選択します。
[**次へ**] を選択します。
1. [**CA Name (CA 名)**] で、以下を実行します。
1. (省略可能) 共通名を編集します。
1. (省略可能) 識別子名サフィックスを入力します。
[**次へ**] を選択します。
1. [**有効期間**] で、期間を年、月、週、または日で指定します。次いで、**[次へ]** を選択します。
1. [**Certificate Database (証明書データベース)**] では、デフォルト値をそのままにするか、必要に応じてデータベースとデータベースログの場所を変更できます。次いで、**[次へ]** を選択します。
1. [**確認**] で、CA に関する情報を確認し、[**構成する**] を選択します。
1. [**閉じる**] を選択し、もう一度 [**閉じる**] を選択します。
これで、 で Windows Server CA が作成されました AWS CloudHSM。CA を使用して証明書署名リクエスト (CSR) に署名する方法の詳細については、「[CSR への署名](#win-ca-sign-csr-sdk3)」を参照してください。
## ステップ 3: を使用して Windows Server CA で証明書署名リクエスト (CSR) に署名する AWS CloudHSM
で Windows Server CA を使用して AWS CloudHSM 、証明書署名リクエスト (CSR) に署名できます。これらのステップを完了するには、有効な CSR が必要です。CSR は以下を含むいくつかの方法で作成できます。
+ OpenSSL の使用
+ Windows Server インターネット インフォメーション サービス (IIS) マネージャを使用する
+ Microsoft マネジメントコンソールの証明書スナップインを使用する
+ Windows で **certreq** コマンドラインユーティリティを使用する
CSR を作成する手順は、このチュートリアルの範囲外です。CSR がある場合は、Windows Server CA を使用して署名できます。
**Windows Server CA を使用して CSR に署名するには**
1. Windows Server に接続していない場合は、接続します。詳細については、「Amazon EC2 ユーザーガイド」の「[インスタンスに接続する](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/EC2_GetStarted.html#ec2-connect-to-instance-windows)」を参照してください。**
1. Windows Server で [**サーバーマネージャー**] を起動します。
1. [**サーバー マネージャー**] ダッシュボードの右上隅で、[**ツール**]、[**証明機関**] の順に選択します。
1. [**証明機関**] ウィンドウで、コンピュータ名を選択します。
1. [**アクション**] メニューで、[**すべてのタスク**]、[**新しい要求の送信**] の順に選択します。
1. CSR ファイルを選択して、[**開く**] を選択します。
1. [**証明機関**] ウィンドウで、[**保留中の要求**] をダブルクリックします。
1. 保留中のリクエストを選択します。次に、[**アクション**] メニューで、[**すべてのタスク**]、[**発行**] の順に選択します。
1. [**証明機関**] ウィンドウで、[**Issued Requests (発行済みの要求)**] をダブルクリックします。
1. (オプション) 署名付き証明書をファイルにエクスポートするには、次のステップを実行します。
1. [**証明機関**] ウィンドウで、証明書をダブルクリックします。
1. [**詳細**] タブ、[**Copy to File (ファイルにコピー)**] の順に選択します。
1. [**Certificate Export Wizard (証明書のエクスポートウィザード)**] の手順に従います。
これで、 を使用する Windows Server CA と AWS CloudHSM、Windows Server CA によって署名された有効な証明書が作成されました。