CA 証明書の管理

キーペアを生成します。

openssl genrsa -out root_CA_key_filename.key 2048

キーペアのプライベートキーを使用して CA 証明書を生成します。

openssl req -x509 -new -nodes \
    -key root_CA_key_filename.key \
    -sha256 -days 1024 \
    -out root_CA_cert_filename.pem

AWS IoT に CA 証明書を登録します。register-ca-certificate コマンドを使用して、CA 証明書ファイル名を入力します。詳細については、「AWS CLI コマンドリファレンス」の「register-ca-certificate」を参照してください。

aws iot register-ca-certificate \
    --ca-certificate file://root_CA_cert_filename.pem \
    --certificate-mode SNI_ONLY

成功した場合、このコマンドは certificateId を返します。

この時点で、CA 証明書は AWS IoT に登録されていますが、アクティブではありません。CA 証明書によって署名されたクライアント証明書を登録できるようにするには、CA 証明書をアクティブにする必要があります。

このステップにより CA 証明書がアクティブ化されます。

CA 証明書をアクティブ化するには、次のように update-certificate コマンドを使用します。詳細については、「AWS CLI コマンドリファレンス」の「update-certificate」を参照してください。

aws iot update-ca-certificate \
    --certificate-id certificateId \
    --new-status ACTIVE

get-registration-code を使用して、AWS IoT から登録コードを取得します。プライベートキー検証証明書の Common Name として使用するために、返された registrationCode を保存します。詳細については、「AWS CLI コマンドリファレンス」の「get-registration-code」を参照してください。

aws iot get-registration-code

プライベートキー検証証明書のキーペアを生成します。

openssl genrsa -out verification_cert_key_filename.key 2048

プライベートキー検証証明書の証明書署名リクエスト (CSR) を作成します。証明書の Common Name フィールドに、registrationCode によって返された get-registration-code を設定します。

openssl req -new \
    -key verification_cert_key_filename.key \
    -out verification_cert_csr_filename.csr

証明書に関するいくつかの情報 (例: Common Name) の入力を求められます。

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:
    State or Province Name (full name) []:
    Locality Name (for example, city) []:
    Organization Name (for example, company) []:
    Organizational Unit Name (for example, section) []:
    Common Name (e.g. server FQDN or YOUR name) []:your_registration_code
    Email Address []:

    Please enter the following 'extra' attributes
    to be sent with your certificate request
    A challenge password []:
    An optional company name []:

CSR を使用して、プライベートキー検証証明書を作成します。

openssl x509 -req \
    -in verification_cert_csr_filename.csr \
    -CA root_CA_cert_filename.pem \
    -CAkey root_CA_key_filename.key \
    -CAcreateserial \
    -out verification_cert_filename.pem \
    -days 500 -sha256

AWS IoT に CA 証明書を登録します。次のように、CA 証明書のファイル名とプライベートキー検証証明書のファイル名を register-ca-certificate コマンドに渡します。詳細については、「AWS CLI コマンドリファレンス」の「register-ca-certificate」を参照してください。

aws iot register-ca-certificate \
    --ca-certificate file://root_CA_cert_filename.pem \
    --verification-cert file://verification_cert_filename.pem

成功した場合、このコマンドは certificateId を返します。

この時点で、CA 証明書は AWS IoT に登録されていますが、アクティブではありません。CA 証明書によって署名されたクライアント証明書を登録できるようにするには、CA 証明書をアクティブにする必要があります。

このステップにより CA 証明書がアクティブ化されます。

CA 証明書をアクティブ化するには、次のように update-certificate コマンドを使用します。詳細については、「AWS CLI コマンドリファレンス」の「update-certificate」を参照してください。

aws iot update-ca-certificate \
    --certificate-id certificateId \
    --new-status ACTIVE

verification_cert_key_filename.key を、作成する検証証明書のキーファイルのファイル名 (例えば verification_cert.key など) で置き換えます。次にこのコマンドを実行して、プライベートキー検証証明書のキーペアを生成します。

openssl genrsa -out verification_cert_key_filename.key 2048

verification_cert_key_filename.key をステップ 1 で作成したキーファイルの名前で置き換えます。

verification_cert_csr_filename.csr を作成する証明書署名リクエスト (CSR) ファイルの名前で置き換えます。例えば、verification_cert.csr と指定します。

このコマンドを実行して、CSR ファイルを作成します。

openssl req -new \
    -key verification_cert_key_filename.key \
    -out verification_cert_csr_filename.csr

このコマンドでは、後で説明する追加情報の入力を求めるプロンプトが表示されます。

AWS IoT コンソールの [Verification certificate] (検証証明書) コンテナで、登録コードをコピーします。

openssl コマンドが入力を求める情報を以下の例に示します。Common Name フィールド以外では、独自の値を入力することも、空白のままにすることもできます。

Common Name フィールドに、前のステップでコピーした登録コードを貼り付けます。

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:
    State or Province Name (full name) []:
    Locality Name (for example, city) []:
    Organization Name (for example, company) []:
    Organizational Unit Name (for example, section) []:
    Common Name (e.g. server FQDN or YOUR name) []:your_registration_code
    Email Address []:

    Please enter the following 'extra' attributes
    to be sent with your certificate request
    A challenge password []:
    An optional company name []:

終了すると、コマンドによって CSR ファイルが作成されます。

verification_cert_csr_filename.csr を前のステップで使用した verification_cert_csr_filename.csr で置き換えます。

root_CA_cert_filename.pem を登録する CA 証明書のファイル名で置き換えます。

root_CA_key_filename.key を CA 証明書のプライベートキーファイルのファイル名で置き換えます。

verification_cert_filename.pem を作成する検証証明書のファイル名で置き換えます。例えば、verification_cert.pem と指定します。

openssl x509 -req \
    -in verification_cert_csr_filename.csr \
    -CA root_CA_cert_filename.pem \
    -CAkey root_CA_key_filename.key \
    -CAcreateserial \
    -out verification_cert_filename.pem \
    -days 500 -sha256

OpenSSL コマンドが完了したら、コンソールに戻ったときにこれらのファイルを使用できるようになります。

AWS Management Console にサインインして、AWS IoT コンソール を開きます。

左のナビゲーションペインで、[安全性]、[CA] の順に選択します。

認証局の一覧で、非アクティブ化する認証局を探し、省略記号のアイコンを選択してオプションメニューを開きます。

オプションメニューで、[無効化] を選択します。