X.509 証明書

X.509証明書は、ユーザー、コンピュータ、サービス、またはデバイスを表すデジタル文書です。 証明書発行機関(CA)、下位CA、または登録機関がX.509証明書を発行します。 証明書には証明書の主体の公開鍵が含まれています。 それらは対象者の秘密鍵を含んでおらず、安全に保存する必要があります。 RFC 5280 は公開鍵証明書のフィールドや拡張を含む文書化を規定しています。 公開鍵証明書はデジタル署名されており、通常以下の情報が含まれています。

• 証明書科目に関する情報
• 対象の秘密鍵に対応する公開鍵
• 発行CAに関する情報
• サポートされる暗号化および/またはデジタル署名アルゴリズム
• 証明書の取り消しおよび有効性の判断情報

証明書フィールド

X.509証明書標準には3つの増分バージョンがあり、各バージョンが標準に証明書フィールドを追加しました:

• バージョン1(v1)は1988年に発行され、証明書の初期標準であるX.509に準拠しています。
• 1993年にリリースされたバージョン2(v2)では、バージョン1に含まれるフィールドに2つのフィールドが追加されました。
• バージョン3(v3)は2008年に公開され、現在のX.509標準のバージョンを表しています。 このバージョンでは証明書拡張のサポートが追加されました。

このセクションは、X.509証明書で利用可能な証明書フィールドおよび証明書拡張の一般的な参考資料として意図されています。 証明書フィールドや証明書拡張、データ型、制約、その他の詳細については、 RFC 5280 仕様を参照してください。

バージョン 1 のフィールド

以下の表は、X.509証明書のバージョン1証明書フィールドを説明しています。 この表に含まれるすべてのフィールドは、以降のX.509証明書バージョンでも利用可能です。

バージョン 2 のフィールド

以下の表は、バージョン2に追加されたフィールドを説明し、証明書発行者に関する情報を含みます。 しかし、これらのフィールドはほとんど使われません。 この表に含まれるすべてのフィールドは、以降のX.509証明書バージョンでも利用可能です。

バージョン3のフィールド

以下の表は、バージョン3に追加されたフィールドを説明しており、X.509証明書拡張の集合を表しています。

証明書の拡張

バージョン3で導入された証明書拡張は、ユーザーや公開鍵により多くの属性を関連付けたり、証明書発行機関間の関係を管理する方法を提供します。 証明書拡張に関する詳細は、RFC 5280仕様の証明書拡張セクションをご覧ください。

標準拡張機能

X.509標準は、この節に含まれる拡張をインターネット公開鍵インフラ(PKI)で使用するためのものを定義しています。

プライベートインターネット拡張

このセクションに含まれる拡張は標準的な拡張に似ており、発行するCAや証明書の対象に関するオンライン情報への申請を誘導するために使用できます。

証明書の形式

証明書はさまざまな形式で保存可能です。 Azure IoT Hub認証は通常、Privacy-Enhanced メール(PEM)および個人情報Exchange(PFX)形式を使用します。 以下の表は、証明書を表現するために一般的に使われるファイルとフォーマットを説明します。

自己署名入りの証明書

テスト目的でIoTハブにデバイスを認証するには、2つの自己署名証明書を使います。 この種の認証は、証明書が指紋や指紋と呼ばれる計算されたハッシュ値によって識別されるため、サムプリント認証とも呼ばれます。 これらの計算されたハッシュ値はIoT Hubでデバイスの認証に使用されます。

自己署名証明書を作成する

OpenSSL を使用して自己署名証明書を作成できます。 以下の手順では、bashシェルでOpenSSLコマンドを実行して自己署名証明書を作成し、IoT Hubでデバイスの認証に使える認証フィンガープリントを取得する方法を示します。

1. 以下のコマンドを実行して秘密鍵を生成し、PEMで符号化された秘密鍵(.key)ファイルを作成し、以下のプレースホルダーを対応する値に置き換えます。 以下のコマンドで生成される秘密鍵は、2048ビット暗号化を用いたRSAアルゴリズムを使用します。

   {キーファイル}。 あなたの秘密鍵ファイルの名前です。

   openssl genpkey -out {KeyFile} -algorithm RSA -pkeyopt rsa_keygen_bits:2048
   

2. 以下のコマンドを実行してPKCS #10証明書署名要求(CSR)を生成し、CSR(.csr)ファイルを作成し、以下のプレースホルダーを対応する値に置き換えます。 自己署名証明書にIoTデバイスのデバイスIDを必ず指定してください。

   {キーファイル}。 あなたの秘密鍵ファイルの名前です。

   {CsrFile}。 あなたのCSRファイルの名前です。

   {DeviceID}。 あなたのIoTデバイスの名前です。

   openssl req -new -key {KeyFile} -out {CsrFile}
   
   Country Name (2 letter code) [XX]:.
   State or Province Name (full name) []:.
   Locality Name (eg, city) [Default City]:.
   Organization Name (eg, company) [Default Company Ltd]:.
   Organizational Unit Name (eg, section) []:.
   Common Name (eg, your name or your server hostname) []:{DeviceID}
   Email Address []:.
   
   Please enter the following 'extra' attributes
   to be sent with your certificate request
   A challenge password []:.
   An optional company name []:.
   

3. 以下のコマンドを実行してCSRを確認し、以下のプレースホルダーを対応する値に置き換えてください。

   {CsrFile}。 証明書ファイルの名前です。

   openssl req -text -in {CsrFile} -verify -noout
   

4. 以下のコマンドを実行して自己署名証明書を生成し、PEMエンコードされた証明書(.crt)ファイルを作成します。これらのプレースホルダーは対応する値に置き換えられます。 このコマンドは秘密鍵でCSRに変換・署名し、365日後に有効期限となる自己署名証明書を生成します。

   {キーファイル}。 あなたの秘密鍵ファイルの名前です。

   {CsrFile}。 あなたのCSRファイルの名前です。

   {CrtFile}。 証明書ファイルの名前です。

   openssl x509 -req -days 365 -in {CsrFile} -signkey {KeyFile} -out {CrtFile}
   

5. 以下のコマンドを実行して証明書の指紋を取得し、以下のプレースホルダーを対応する値に置き換えます。 証明書のフィンガープリントは、その証明書に固有の計算されたハッシュ値です。 IoT HubでIoTデバイスをテストするためには指紋が必要です。

   {CrtFile}。 証明書ファイルの名前です。

   openssl x509 -in {CrtFile} -noout -fingerprint
   

アップロード後に証明書を手動で確認してください

ルート証明書発行機関(CA)証明書または従属CA証明書をIoTハブにアップロードすると、自動的に証明書の検証を選択できます。 アップロード時に証明書の自動認証を選択していない場合、証明書の状態は 未確認のまま表示されます。 証明書を手動で確認するために、以下の手順を踏む必要があります。

1. 証明書を選択して証明書 詳細 ダイアログをご覧ください。

2. ダイアログで「 検証コードを生成 」を選択します。

   

3. 確認コードをクリップボードにコピーします。 この認証コードは、今後の手順で証明書の対象として使用してください。 例えば、認証コードが 75B86466DA34D2B04C0C4C9557A119687ADAE7D4732BDDB3の場合は、次のステップで示すように証明書の件名として追加してください。

4. 認証証明書を作成する方法は3つあります。

   • Microsoftが提供するPowerShellスクリプトを使用している場合は、New-CACertsVerificationCert "<verification code>"を実行して「VerifyCert4.cer」という証明書を作成し、<verification code>を以前に生成した検証コードに置き換えます。 詳細については、Azure IoT Hub Device SDK for C の GitHub リポジトリにある「サンプルおよびチュートリアルのためのテスト用 CA 証明書の管理」を参照してください。

   • Microsoftが提供するBashスクリプトを使用している場合は、./certGen.sh create_verification_certificate "<verification code>"を実行してverification-code.cert.pemという証明書を作成し、<verification code>を以前に生成した検証コードに置き換えます。 詳細については、Azure IoT Hub Device SDK for CのGitHubリポジトリにある「Managing test CA certificates」のサンプルやチュートリアルをご覧ください。

   • OpenSSLを使って証明書を生成する場合、まず秘密鍵を作成し、その後証明書署名要求(CSR)ファイルを生成する必要があります。 次の例では、 <verification code> を以前に生成した検証コードに置き換えます。

   openssl genpkey -out pop.key -algorithm RSA -pkeyopt rsa_keygen_bits:2048
   
   openssl req -new -key pop.key -out pop.csr
   
   -----
   Country Name (2 letter code) [XX]:.
   State or Province Name (full name) []:.
   Locality Name (eg, city) [Default City]:.
   Organization Name (eg, company) [Default Company Ltd]:.
   Organizational Unit Name (eg, section) []:.
   Common Name (eg, your name or your server hostname) []:<verification code>
   Email Address []:
   
   Please enter the following 'extra' attributes
   to be sent with your certificate request
   A challenge password []:
   An optional company name []:
   

   その後、ルートCAまたは従属CAの適切な設定ファイルとCSRファイルを使って証明書を作成します。 以下の例は、rootのCA設定ファイルとCSRファイルからOpenSSLを使って証明書を作成する方法を示しています。

   openssl ca -config rootca.conf -in pop.csr -out pop.crt -extensions client_ext
   

   詳細は「 チュートリアル - テスト用証明書の作成とアップロード」をご覧ください。

5. 証明書詳細ビューで新しい証明書を選択してください。

6. 証明書のアップロード後、「 Verify」を選択します。 証明書の状態は 「Verified」に変更されるはずです。

詳細については次の情報をご覧ください。

X.509証明書やIoT Hubでの使用方法についての詳細は、以下の記事をご覧ください。

• X.509証明書用語の素人向けガイド
• X.509 CA証明書がIoTでどのように使われるかを理解する