このレルムの種類はユーザーのWebアプリケーションに対する認証を構成するために使用します。そのために、まずGeronimoがカスタムSSLリスナーを使用するように構成する必要があります。また、SSLキーとキー・ストアを構成する必要もあります。以下のセクションではこれらのモジュールのそれぞれを構成する方法を、順を追って説明します。

キー・ストアと証明書の作成

当構成のためには、まず新規にキー・ストアとプライベート・キーと証明要求(CSR)を作成し、次にCAからの応答をインポートします。

すでに「1.1.3.1. 証明書の管理」のセクションでキー・ストアとプライベート・キーの作成方法は述べましたので、このセクションではCSRを生成しCAから応答をインポートする方法を述べ、全体を明らかにします。

Geronimoのキー・ストアは <geronimo_home>\var\security\keystores ディレクトリーに格納されており、デフォルトのキー・ストアであるgeronimo-defaultが導入時に提供されています。今回は新規にキー・ストアを作成してみます。

Geronimoの管理コンソールから Keystores をクリックして Keystore Configuration ポートレットにアクセスします。

New Keystore をクリックし、新しいキー・ストアの名前とパスワードを指定後、 Create Keystore をクリックしてください。この例では各々My_Keystoreとpasswordを使います。

今しがた作成したキー・ストア・ファイルをクリックし、適切なリンクをクリックしてプライベート・キーを作成します。

適切なデータを入力のうえ、 Review Key Data をクリックしてください。

値が正しいことを確認したら Generate Key をクリックします。

新規にプライベート・キーを作成した直後は、このキーは自動的にロックされています。つまり、参照か削除しかできません。Certificate Signing Request (CSR)を作成するにはキーのロックを解除する必要があります。そのためには、Return to keystore list をクリックしてください。

プライベート・キーをアンロックするためにをクリックします。当該キー・ストアとプライベート・キー用のパスワードを求めるプロンプトが表示されます。

Unlock Keystore をクリックします。

証明要求(CSR)の作成とCA応答のインポート

プライベート・キーをアンロックしたので続いてCSRを作成します。Keystore Configuration ポートレットで作成したキー・ストアをクリックし、現在の中身を表示します。この例ではプライベート・キーはひとつだけです。 view または現在のプライベート・キーに該当するリンクをクリックし、詳細と追加のアクションを表示します。

Generate CSR をクリックすると、下記に示されているように証明要求が表示されるはずです。

これは PKCS10 の証明要求です。このテキストをコピーして、CAに送付するためにフラット・テキストに貼り付けます。

csr.txt

Back をクリックすればprivate key details ポートレットに戻れます。

この例では独自に自分で作ったCAを使いますので、このテストでは自分で自分の証明書に署名でき、標準的な手順を変更する必要はありません。もし貴方がCSRをCAに送付した場合は、CAは、CAによって署名された内容を含むファイルを別途返送してくるはずです。

csr_ca_reply.txt

private key detailsポートレットから Import CA reply をクリックします。証明応答ウインドウで事前に埋まっているテキストはすべて削除して、CAからの応答ファイルのテキストを貼り付けてから Save をクリックします。

CAからの応答を保管すると、証明書が別の Issuer になっていることに気が付かれることでしょう。Back to keystore をクリックして、次に Return to keystore list をクリックしてください。

信頼された証明書のインポート

クライアント認証を有効にするには貴方のCSRが信頼された証明書であると署名済のCAをインポートする必要があり、この処理は一度だけ行います。そのCAは、署名済のCSRをCA自身とは別の証明書として提供しなくてはなりません。この例では自己証明書を使いますので、以下のようにCA証明書を生成しました。

My_Own_CA_Certificate.txt

Keystore Configurationポートレットで貴方の作成したキー・ストア・ファイルをクリックし、次に Add Trust Certificate をクリックします。 Trusted Certificate ウインドウに事前に含まれていた中身はすべて削除して、CA証明書からの内容を貼り付けた後、その証明書に別名を追加します。

Review Certificate をクリックして、それから Import Certificate をクリックします。今インポートしたばかりの信頼された証明書が見えるはずです。

クライアント認証を使用するHTTPリスナーへの追加

Apache Geronimoには事前にポート8443でHTTPSリスナーが定義済ですが、クライアント認証要用には構成されていません。この例では新規にHTTPSリスナーを追加し、前のステップで作成してインポートした証明書を使ってクライアント認証を要求するように構成を行います。

この例ではGeronimoのTomcatディストリビューションを使います。Jettyディストリビューションを使う場合でも手順は同じですが、名前やリンクが若干異なっているかもしれませんのでご注意ください。

Geronimo管理コンソールから Web Server をクリックしNetwork Listenerポートレットにアクセスします。

Network Listenerポートレットから Add new HTTPS listener for Tomcat をクリックします。

フィールドへ適切なデータを入力し、Save をクリックします。この例ではキーストアのみを指定し、truststoreは使用しません。(訳注：原文にtrustoreはtruststoreの意と思われます)　キーストアのファイル・パスを指定する際は var/security/keystores/<your_keystore> のような形式で追加しますが、このパスはGeronimoの導入されたホーム・ディレクトリーへの相対パスです。

Client Auth Required のチェックボックスを選択することで、有効なクライアント証明書を提示したクライアントのみが暗号化コネクションを確立するようHTTPSリスナーに対し指示します。クライアント証明書は、以下のいずれかのロケーションに格納されたCA証明書と（順番に）検証されます。

上記で構成したトラスト・ストア
javax.net.ssl.trustStore system propertyに記載されているキーストア・ファイル
java-home/lib/security/jssecacerts
java-home/lib/security/cacerts

このHTTPSネットワーク・リスナー構成を保存するとこの構成が自動的に開始したことがステータスから見て取れます。もし貴方のブラウザーでこのポートにアクセスを試みても失敗しますが、それはまだ貴方のクライアントが有効な証明書を使うように構成されていないためです。