関連トピック

# デバイス証明書を管理する （Web UI）

Firebox 証明書を表示し管理するために Fireware Web UI を使用することができます。これは以下の項目を含みます。

- 現在のデバイス証明書とそのプロパティのリストを表示する
- 信頼済み CA 証明書を更新する
- デバイスから証明書を削除する
- 証明書または CRL をインポートする
- 再署名または配布のために証明書をエクスポートする
- 証明書の署名要求 (CSR) を作成する
- Firebox の認証対象の Web サーバー証明書を選択する
- Branch Office VPN または Mobile ユーザーと共に使用する証明書を選択します。

FireCluster メンバーの証明書をインポート、更新、または削除すると、その変更が自動的に他の FireCluster メンバーと同期されます。FireCluster メンバーのために別々に証明書をインポートする必要はありません。

## 現在の証明書の表示

現在の証明書を表示するには、以下の手順に従います。

1. システム > 証明書の順に選択します。
   すべての証明書と証明書の署名要求 (CSR) がある証明書のリストが表示されます。

証明書のリストは以下の項目を含みます。

- 証明書の状態と種類。
- 証明書で使用されるアルゴリズム。
- 証明書のサブジェクト名または識別子。

証明書を表示するには、証明書を選択してから 詳細 をクリックします。

既定では、信頼済み CA 証明書はこのリストに含まれていません。

1. 信頼済み CA のすべての証明書を表示するには、プロキシのための信頼済み CA の表示 チェック ボックスを選択します。
2. 信頼済み CA の証明書を非表示にするには、プロキシのための信頼済み CA の表示 チェック ボックスをオフにします。

## 証明書を削除する

証明書を削除すると、認証に使用できなくなります。プロキシに既定で使用される自己署名証明書など、自動的に作成された証明書を削除すると、Firebox は次回の起動時に同じ目的の新しい自己署名証明書を作成します。別の証明書をインポートした場合、デバイスは新しい自己署名証明を作成しません。

プロキシ認証機関の証明書を削除してはならず、どの証明書も残してはなりません。デバイスが再起動すると、Firebox は不足している証明書を既定の証明書で自動的に置き換えます。

デバイスから証明書を削除するには、以下の手順を実行します：

1. 証明書 ダイアログ ボックスで 証明書 を選択します。
2. 削除 をクリックします。
   証明書の削除 ダイアログ ボックスが表示されます。
3. OK をクリックします。
   証明書は削除されます。

## 信頼済み CA 証明書を更新する

デバイスに格納されている信頼済み CA 証明書の新しいバージョンを自動的に取得し、自動的に新しい証明書をインストールすることができます。この更新は、デバイス上のすべての信頼済み CA 証明書が最新バージョンであることを確認します。期限切れの証明書が更新され、新しい信頼済み CA 証明書はデバイスに追加されます。更新された証明書は安全な WatchGuard サーバーからダウンロードされます。デバイスは、更新を48時間ごとにチェックします。

サーバーの自動アップデートを有効にするには、CA 証明書の自動更新を有効にするチェックボックスを選択します。

今更新する をクリックして信頼済み CA 証明書を直ちに更新します。

## ファイルから証明書をインポートする

Windows のクリップボードまたはローカル コンピュータのファイルから、証明書をインポートできます。証明書は、Base64 PEM エンコード形式または PFX ファイル形式である必要があります。

プロキシ コンテンツ インスペクション機能で使用する証明書をインポートする前に、その他 タイプの信頼の連鎖にある以前の各証明書をインポートする必要があります。そのためには、ルート CA 証明書から開始し、エンドエンティティ証明書へと進んでください。

信頼の連鎖を作成するその他の証明書を検証するために使用する Firebox の CA証明書をインポートするには、CA証明書をインポートし非公開キーを含まない場合、IPSec、Web サーバー、その他 カテゴリを必ず選択します。

### PFX ファイルについて

PFX 証明書バンドルはすべての必要な証明書と非公開キーを含み、単一のファイルとしてアップロードされます。

HTTPS コンテンツ インスペクションのために PFX バンドルを使用するには、次の 2 つの PFX ファイルが必要です：

1. 最初の プロキシ認証機関 PFXファイルは、プロキシ認証機関の証明書、非公開キーを持つプロキシ認証機関の証明書を発行する ルート CA 証明書を持つ必要があります。
2. 2番目のプロキシ サーバー PFX ファイルは、プロキシ認証機関の証明書、非公開キーを持つプロキシサーバーの証明書が必要です。

詳細については、次を参照してください：証明書について, HTTPS プロキシ コンテンツ インスペクションで証明書を使用するおよび SMTP プロキシ：TLS 暗号化。

### 証明書をインポートする

証明書ファイルをインポートするには次の手順を実行します：

1. システム > 証明書の順に選択します。
   証明書 ページが表示されます。
2. 証明書/CRL のインポート をクリックします。
3. 証明書をインポートする タブを選択します。

1. 証明書の種類ドロップダウンリストから、Base64 (PEM) 証明書 または PFX ファイル タイプを選択します。
2. 証明書の機能に一致するオプションを選択します。
   - プロキシ認証機関 (送信 SSL/TLS コンテンツ インスペクション用の CA 証明書の再署名) — 証明書が、外部ネットワークの Web サーバーから、信頼済みまたは任意ネットワーク上のユーザーによって要求された Web トラフィックを管理するプロキシ ポリシー用である場合は、このオプションを選択します。この場合インポートする証明書が CA 証明書である必要があります。プロキシでトラフィックを再暗号化するのに使用される CA 証明書をインポートする前に、この証明書を署名するのに使用する CA 証明書はその他カテゴリでインポートされたことを確認します。
   - プロキシサーバー (受信 SSL/TLS コンテンツ インスペクションのサーバー証明書) — 証明書が、Firebox によって保護されている Web サーバーから、外部ネットワーク上のユーザーによって要求された Web トラフィックを管理するプロキシ ポリシー用である場合は、このオプションを選択します。Web サーバー からトラフィックを再暗号化するのに使用される CA 証明書をインポートする前に、この証明書の署名に使用される CA 証明書はその他カテゴリでインポートされたことを確認します。
   - プロキシのために信頼済み CA — プロキシによって再暗号化されていないトラフィックを信頼するのに使用する証明書のためにこのオプションを選択します。たとえば、外部 Web サーバーの証明書に署名するために使用するルート証明書または中間 CA 証明書。
   - IPSec、Web サーバー、その他 — 次のいずれかに該当する場合に、このオプションを選択します：
     - 証明書が認証用の証明書、デバイスの IPSec 証明書、または CA 証明書である場合。
     - その他の証明書が検証され信頼のチェーンを作成するときその他の証明書を検証するために使用する Firebox のために CA 証明書をインポートします。CA 証明書 をインポートする場合は非公開キーを含まないようにします。
3. 証明書の種類 として Base64 (PEM) 証明書 を選択した場合、ファイルから証明書をロードするか、またはテキストボックスに PEM 証明書のコンテンツをコピーして貼付けすることができます。証明書がプライベート キーを含めれている場合は、パスワードを入力してキーを暗号化解除します。

証明書の種類 として PFX ファイル を選択した場合、PFX ファイル パスワード を入力して、アップロードする PFX ファイルを選択するために 参照 をクリックします。

1. 保存 をクリックします。
   証明書が Firebox に追加されます。

## ファイルからの CRL のインポート

ローカル コンピュータから以前にダウンロードした証明書失効リスト (CRL) をインポートできます。CRL は、VPN 認証に使用する証明書のステータスを確認するためにのみ使用されます。証明書は、PEM (base64) エンコード形式である必要があります。

1. 証明書/CRL のインポート をクリックします。
2. CRL のインポート タブを選択します。
3. 参照をクリックして、ファイルを検索します。
4. インポート をクリックします。
   CRL のインポート ダイアログ ボックスが表示されます。
5. OK をクリックします。
   指定した CRL は、デバイス上で CRL に追加されます。

## 証明書をエクスポートする

信頼済み CA による再署名またはネットワーク上のクライアントへの配布のために証明書をエクスポートすることができます。証明書がPEM 形式で保存されます。

証明書 を選択し、エクスポート をクリックします。

## 証明書の署名要求 (CSR) を作成します。

証明書の署名要求 (CSR) を作成するには次の手順を実行します：

1. 要求の作成 をクリックします。
   Certificate Request Wizard が開始されます。
2. 次へ をクリックします。
3. 完了した証明書の目的を選択します。
4. HTTPS プロキシで検査されたコンテンツを再暗号化するのに証明書が使用される場合は、プロキシ認証機関 (送信 SSL/TLS コンテンツ インスペクション用の CA 証明書の再署名) を選択します。
5. HTTPS プロキシで保護された Web サーバーをもう一度暗号化するために証明書を使用する場合は、プロキシ サーバー (受信 SSL/TLS コンテンツ インスペクションのサーバー証明書) を選択します。
6. VPN、 Firebox、または Management Server 認証を含む他すべての使用については、IPSec、Web サーバー 、その他 を選択します。
7. 次へ をクリックします。
8. デバイス名（host.example.comのようなホストまたはドメイン名）、デバイスが属する部門、デバイスが属する会社の名前、および都市、州または県、および国を入力します。これらの入力内容はサブジェクト名の作成に使用されます。
9. 次へ をクリックします。
   前の画面で入力した内容に基づいてサブジェクト名が作成されます。
10. DNS名、IP アドレス、および ユーザードメイン名 テキスト ボックスに適切な情報を入力します。
11. 次へ をクリックします。
12. 既定では、証明書では RSA 暗号化、2048 ビットのキー長、およびキーの暗号化と署名の両方が使用されます。次へ をクリックします。
    HTTPS プロキシ認証機関および HTTPS プロキシ サーバー証明書には、キー使用のオプションがありません。
13. 完了した CSR が表示されます。
    Firebox で使用する前に、署名のための証明書の認証機関にこの CSR を送信する必要があります。完了した証明書をインポートすると、その他 カテゴリで新しい証明書を署名するのに使用される CA証明書をまず最初にインポートしなければなりません。
14. 証明書をインポートするために 完了とインポート をクリックします。
    証明書／ CRL のインポート ダイアログ ボックスを表示されます。
15. 完了 をクリックしてウィザードを終了します。

## 認証対象の Web サーバー証明書を使用する

認証用にサードパーティ証明書を使用する場合、まずその証明書をインポートします。詳細については、前記の手順を参照してください。Firebox によって署名されたカスタム証明書を使用する場合は、証明書をエクスポートして Firebox に接続する各クライアントのデバイスにインポートすることを推奨します。

1. 認証 > Web サーバー 証明書 を選択します。
   [認証 Web サーバー証明書] ページが表示されます。
2. 以前にインポートした第三者の証明書を使用するには、第三者の証明書 を選択し、ドロップダウンリストから証明書を選択します。
   保存 をクリックし、この手順の残りのステップを完了しません。
3. Firebox認証に新しい証明書を作成するには、Firebox によって署名されたカスタム証明書 を選択します。
4. ダイアログ ボックスの下部にあるテキストボックスに、Firebox のインタフェースのドメイン名またはIPアドレスを入力します。追加 をクリックします。
   ドメイン名をすべて追加したら、OK をクリックします。
5. 組織の 一般名 を入力します。通常、これはドメイン名です。
   または、組織名 と 組織単位名 (両方とも任意) を入力して組織のどの部署が証明書を作成したかを識別します。
6. 保存 をクリックします。

#### 関連情報

証明書について

Mobile VPN with IPSec トンネル認証用の証明書

Branch Office VPN (BOVPN) トンネル認証の証明書

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索