Linux での AWS CloudHSM SSL/TLS オフロードに JSSE で Tomcat を使う

1. 少なくとも 2 つのハードウェアセキュリティモジュール (HSM) があるアクティブな AWS CloudHSM クラスターで AWS CloudHSM の JCE をインストールして設定します。インストールの詳細については、「クライアント SDK 5 向け JCE」を参照してください。

2. AWS CloudHSM クラスターにアクセスできる EC2 Linux インスタンスで、Apache Tomcat の手順 に従って Tomcat ウェブサーバーをダウンロードしてインストールします。

3. CloudHSM CLI を使用して Crypto User (CU) を作成します。HSM ユーザーの管理の詳細については、CloudHSM CLI を使用した HSM ユーザー管理について を参照してください。

   ヒント

   CU のユーザー名とパスワードを書き留めます。後に、ウェブサーバーの HTTPS プライベートキーや証明書を生成またはインポートするときに必要になります。

4. Java キーツールを使用して JCE をセットアップするには、クライアント SDK 5 を使用して AWS CloudHSM を Java Keytool および Jarsigner と統合する に記載されている手順に従ってください。

KeyTool の genkeypair コマンドを使用して RSA キーペアを生成します

1. 下の <VARIABLES> を特定のデータに置き換えたら、次のコマンドを使用して jsse_keystore.keystore という名前のキーストアファイルを生成します。このファイルには HSM 上のプライベートキーへの参照が含まれます。

   $ keytool -genkeypair -alias <UNIQUE ALIAS FOR KEYS> -keyalg <KEY ALGORITHM> -keysize <KEY SIZE> -sigalg <SIGN ALGORITHM> \
           -keystore <PATH>/<JSSE KEYSTORE NAME>.keystore -storetype CLOUDHSM \
           -dname CERT_DOMAIN_NAME \
           -J-classpath '-J'$JAVA_LIB'/*:/opt/cloudhsm/java/*:./*' \
           -provider "com.amazonaws.cloudhsm.jce.provider.CloudHsmProvider" \
           -providerpath "$CLOUDHSM_JCE_LOCATION" \
           -keypass <KEY PASSWORD> -storepass <KEYSTORE PASSWORD>

   • <PATH>: キーストアファイルを生成するパス。

   • <UNIQUE ALIAS FOR KEYS>: これは HSM 上でキーを一意に識別するために使用されます。このエイリアスは、キーの LABEL 属性として設定されます。

   • <KEY PASSWORD>: キーへの参照はローカルキーストアファイルに保存され、このパスワードによってローカル参照が保護されます。

   • <KEYSTORE PASSWORD>: これはローカルキーストアファイルのパスワードです。

   • <JSSE KEYSTORE NAME>: キーストアファイルの名前。

   • <CERT DOMAIN NAME>: X.500 識別名。

   • <KEY ALGORITHM>: キーペアを生成するためのキーアルゴリズム (RSA と EC など)。

   • <KEY SIZE>: キーペアを生成するためのキーサイズ (たとえば、2048、3072、4096)。

   • <SIGN ALGORITHM>: キーペアを生成するためのキーサイズ（たとえば、SHA1withRSA、SHA224withRSA、SHA256withRSA、SHA384withRSA、SHA512withRSA）。

2. コマンドが成功したことを確認するには、次のコマンドを入力し、RSA キーペアが正常に生成されたことを確認します。

   $ ls <PATH>/<JSSE KEYSTORE NAME>.keystore

証明書を生成する

1. 前のステップで生成したキーストアファイルのコピーを入手します。

2. 次のコマンドを実行して、KeyTool を使用して証明書署名リクエスト (CSR) を作成します。

   $ keytool -certreq -keyalg RSA -alias unique_alias_for_key -file certreq.csr \
           -keystore <JSSE KEYSTORE NAME>.keystore -storetype CLOUDHSM \
           -J-classpath '-J$JAVA_LIB/*:/opt/cloudhsm/java/*:./*' \
           -keypass <KEY PASSWORD> -storepass <KEYSTORE PASSWORD>

   注記

   証明書署名リクエストの出力ファイルは certreq.csr です。

証明書に署名する

• 下の <VARIABLES> を特定のデータに置き換えた後、次のコマンドを実行して、HSM 上のプライベートキーを使用して CSR に署名します。これにより、自己署名証明書が作成されます。

  $ keytool -gencert -infile certreq.csr -outfile certificate.crt \
      -alias <UNIQUE ALIAS FOR KEYS> -keypass <KEY_PASSWORD> -storepass <KEYSTORE_PASSWORD> -sigalg SIG_ALG \
      -storetype CLOUDHSM -J-classpath '-J$JAVA_LIB/*:/opt/cloudhsm/java/*:./*' \
      -keystore jsse_keystore.keystore

  注記

  certificate.crt は、エイリアスのプライベートキーを使用する署名付き証明書です。

Keystore に証明書をインポートする

• 下の <VARIABLES> を特定のデータに置き換えた後、次のコマンドを実行して、署名付き証明書を信頼できる証明書としてインポートします。このステップでは、エイリアスで識別されるキーストアエントリに証明書を保存します。

  $ keytool -import -alias <UNIQUE ALIAS FOR KEYS> -keystore jsse_keystore.keystore \
      -file certificate.crt -storetype CLOUDHSM \
      -v -J-classpath '-J$JAVA_LIB/*:/opt/cloudhsm/java/*:./*' \
      -keypass <KEY PASSWORD> -storepass <KEYSTORE_PASSWORD>

証明書を PEM に変換する

• 次のコマンドを実行して、署名付き証明書ファイル (.crt) を PEM に変換します。PEM ファイルは http クライアントからのリクエストの送信に使用されます。

  $ openssl x509 -inform der -in certificate.crt -out certificate.pem

サーバーを停止します

• 下の <VARIABLES> を特定のデータに置き換えたら、設定を更新する前に、次のコマンドを実行して Tomcat Server を停止します

  $ /<TOMCAT DIRECTORY>/bin/shutdown.sh

  • <TOMCAT DIRECTORY>: Tomcat のインストールディレクトリ。

Tomcat のクラスパスを更新してください

1. クライアントインスタンスに接続します。

2. Tomcat インストールフォルダを探します。

3. 下の <VARIABLES> を特定のデータに置き換えたら、次のコマンドを使用して、Tomcat/bin/catalina.sh ファイルにある Tomcat クラスパスに Java ライブラリと Cloudhsm Java パスを追加します。

   $ sed -i 's@CLASSPATH="$CLASSPATH""$CATALINA_HOME"\/bin\/bootstrap.jar@CLASSPATH="$CLASSPATH""$CATALINA_HOME"\/bin\/bootstrap.jar:'"
           <JAVA LIBRARY>"'\/*:\/opt\/cloudhsm\/java\/*:.\/*@' <TOMCAT PATH> /bin/catalina.sh

   • <JAVA LIBRARY>: Java JRE ライブラリの場所。

   • <TOMCAT PATH>: Tomcat のインストールフォルダー。

HTTPS コネクタをサーバー設定に追加します。

1. Tomcat のインストールフォルダーに移動します。

2. 下の <VARIABLES> を特定のデータに置き換えたら、以下のコマンドを使用して HTTPS コネクタを追加し、前提条件で生成された証明書を使用します。

   $ sed -i '/<Connector port="8080"/i <Connector port=\"443\" maxThreads=\"200\" scheme=\"https\" secure=\"true\" SSLEnabled=\"true\" keystoreType=\"CLOUDHSM\" keystoreFile=\"
           <CUSTOM DIRECTORY>/<JSSE KEYSTORE NAME>.keystore\" keystorePass=\"<KEYSTORE PASSWORD>\" keyPass=\"<KEY PASSWORD>
           \" keyAlias=\"<UNIQUE ALIAS FOR KEYS>" clientAuth=\"false\" sslProtocol=\"TLS\"/>' <TOMCAT PATH>/conf/server.xml

   • <CUSTOM DIRECTORY>: キーストアファイルが置かれているディレクトリ。

   • <JSSE KEYSTORE NAME>: キーストアファイルの名前。

   • <KEYSTORE PASSWORD>: これはローカルキーストアファイルのパスワードです。

   • <KEY PASSWORD>: キーへの参照はローカルキーストアファイルに保存され、このパスワードによってローカル参照が保護されます。

   • <UNIQUE ALIAS FOR KEYS>: これは HSM 上でキーを一意に識別するために使用されます。このエイリアスは、キーの LABEL 属性として設定されます。

   • <TOMCAT PATH>: Tomcat フォルダへのパス。

サーバーの起動

• 下の <VARIABLES> を特定のデータに置き換えたら、以下のコマンドを使用して Tomcat サーバーを起動します。

  $ /<TOMCAT DIRECTORY>/bin/startup.sh

  注記

  <TOMCAT DIRECTORY> は、Tomcat のインストールディレクトリの名前です。

HTTPS のセキュリティグループを作成してウェブサーバーに割り当てるには

1. Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。

2. ナビゲーションペインで、[セキュリティグループ] を選択します。

3. [Create Security Group] を選択します。

4. [Create Security Group] で、以下の操作を行います。

   1. [Security group name] に、作成するセキュリティグループの名前を入力します

   2. (オプション) 作成するセキュリティグループの説明を入力します。

   3. [VPC] で、ウェブサーバーのAmazon EC2インスタンスが含まれている VPC を選択します。

   4. [Add rule (ルールの追加)] を選択します。

   5. [タイプ] で、ドロップダウンウィンドウから [HTTPS] を選択します。

   6. [ソース] には、ソースの場所を入力します。

   7. [セキュリティグループの作成] を選択します。

5. ナビゲーションペインで、[インスタンス] を選択します。

6. ウェブサーバーインスタンスの横にあるチェックボックスを選択します。

7. ページの上部で [アクション] ドロップダウンメニューを選択します。[セキュリティ] を選択し、[セキュリティグループの変更] を選択します。

8. [関連付けられたセキュリティグループ] で、検索ボックスを選択して HTTPS 用に作成したセキュリティグループを選択します。次に、[セキュリティグループの追加] を選択します。

9. [Save] を選択します。

ウェブブラウザで SSL/TLS オフロードを確認するには

1. ウェブブラウザを使用し、サーバーの公開 DNS 名または IP アドレスを使用してウェブサーバーに接続します。アドレスバーの URL が https:// で始まっていることを確認します。例えば、https://ec2-52-14-212-67.us-east-2.compute.amazonaws.com/ と指定します。

   ヒント

   Amazon Route 53 などの DNS サービスを使用して、ウェブサイトのドメイン名 (https://www.example.com/ など) をウェブサーバーにルーティングできます。詳細については、Amazon Route 53 開発者ガイド の Amazon EC2 インスタンスへのトラフィックのルーティング または DNS サービスのドキュメントを参照してください。

2. ウェブブラウザを使用して、ウェブサーバー証明書を表示します。詳細については、次を参照してください:

   • Mozilla Firefox の場合は、Mozilla サポートウェブサイトの「証明書を見る」を参照してください。

   • Google Chrome の場合は、ウェブ開発者向け Google ツールのウェブサイトで「セキュリティの問題を理解する」を参照してください。

   他のウェブブラウザでも、同様の機能を使用してウェブサーバー証明書を表示できる場合があります。

3. SSL/TLS 証明書が、ウェブサーバーに設定したものであることを確認してください。

OpenSSL s_client で SSL/TLS オフロードを確認するには

1. HTTPS を使用してウェブサーバーに接続するには、次の OpenSSL コマンドを実行します。<サーバー名> は、ウェブサーバーの公開 DNS 名または IP アドレスに置き換えます。

   openssl s_client -connect <server name>:443

   ヒント

   Amazon Route 53 などの DNS サービスを使用して、ウェブサイトのドメイン名 (https://www.example.com/ など) をウェブサーバーにルーティングできます。詳細については、Amazon Route 53 開発者ガイド の Amazon EC2 インスタンスへのトラフィックのルーティング または DNS サービスのドキュメントを参照してください。

2. SSL/TLS 証明書が、ウェブサーバーに設定したものであることを確認してください。