2.3.6　SSLによるJP1/AJS3の通信の暗号化

(1)　SSL通信の基本的な用語

SSL通信の基本的な用語について説明します。

表2‒28　SSL通信の基本的な用語

項番	用語	説明
1	SSL（Secure Sockets Layer）	情報を暗号化してネットワーク上で送受信するためのプロトコルのことです。 クライアントとサーバの間で証明書による認証や鍵交換を実施し，通信の暗号化を実現します。
2	TLS（Transport Layer Security）	SSLに改良が加えられたプロトコルのことです。SSLのバージョン3.0の次のバージョンから名称がTLSに変更されています。 このマニュアルでは，SSLと表記している場合，TLSを含みます。
3	OpenSSL	SSLやTLSに対応した，オープンソースで開発・提供されているSSLのライブラリーのことです。
4	CA（Certificate Authority）	SSLを使用するための証明書を発行する認証局のことです。 CAには，次の2種類があります。 ルートCA 自分の正当性を自ら保証するCAのことです。 中間CA ルートCA以外の，上位のCAによる認証によって自らの正当性を保証するCAのことです。
5	CSR（Certificate Signing Request）	サーバ証明書を発行するための証明書署名要求のことです。CSRには，公開鍵の情報，要求元の組織名，所在地などの情報を記載します。 CSRはCAに提出します。CAは提出されたCSRに署名して，サーバ証明書として発行します。
6	サーバ証明書	CSRの発行元の団体の正当性を証明する，電子的な情報のことです。
7	ルート証明書	ルートCAが自らの正当性を保証するために発行する証明書のことです。サーバ証明書の発行元のCAの正当性を検証するために利用されます。
8	中間証明書	中間CAが自らの正当性を保証するために発行する証明書のことです。中間証明書はルート証明書と合わせることで，サーバ証明書の発行元のCAの正当性を保証します。
9	CN（Common Name）	サーバ証明書の登録情報の一つで，サーバ証明書が適用されるサーバのドメイン名（ホスト名）のことです。
10	SAN（Subject Alternative Names）	サーバ証明書の登録情報の一つで，CNの別名として扱われる情報のことです。 SANには複数の値を指定できるので，SANを指定することで，一つのサーバ証明書で複数の接続先とSSL通信ができるようになります。
11	ワイルドカード証明書	サーバ証明書の一種で，CNやSANのホスト名部分が「*」になっているサーバ証明書のことです。 同一ドメインであれば，一つのサーバ証明書でホスト名の異なる複数の接続先とSSL通信ができるようになります。JP1/AJS3でSSL通信を利用する場合，ワイルドカード証明書を利用できます。 「*」は，CNまたはSANの先頭（ホスト名部分）だけに使用できます。また，「*」を先頭以外に使用したり，正規表現のように「aから始まるホスト名」という意味で「a*」と指定したりはできません。 例えば，CNが「*.example.com」の場合，一つのサーバ証明書で次のようなホスト名に対応できます。 aaa.example.com bbb.example.com

ページの先頭へ

(2)　JP1/AJS3のSSL通信の概要

JP1/AJS3の各コンポーネント間の通信電文は，SSL通信を利用して暗号化できます。この機能を，通信暗号化機能と呼びます。通信暗号化機能はコンポーネント単位で有効・無効を設定します。JP1/AJS3 - Manager，JP1/AJS3 - Agent，JP1/AJS3 - View，およびJP1/AJS3 - Web Consoleの通信暗号化機能の有効・無効は，通信するコンポーネント同士で統一する必要があります。ただし，環境設定パラメーターAJS3SSLの値を「INETD」に設定すれば，JP1/AJS3 - ViewとJP1/AJS3 - Manager間で通信暗号化機能を有効にした場合でも，JP1/AJS3 - ManagerとJP1/AJS3 - Agent間の通信暗号化機能を無効にできます。

それぞれのコンポーネントの通信暗号化機能について説明します。

JP1/AJS3 - Manager

JP1/AJS3 - Managerの通信暗号化機能を利用すると，ほかのJP1/AJS3 - Manager，JP1/AJS3 - Agent，JP1/AJS3 - View，およびJP1/AJS3 - Web Consoleとの通信を暗号化できます。

JP1/AJS3 - Managerの通信暗号化機能を有効にするには，JP1/Baseでの設定が必要です。通信暗号化機能を有効にすると，JP1/AJS3 - Managerの通信電文がJP1/BaseのOpenSSLで暗号化されます。

JP1/BaseのSSL通信の詳細については，マニュアル「JP1/Base 運用ガイド」の通信暗号化機能の説明を参照してください。

JP1/AJS3 - Agent

JP1/AJS3 - Agentの通信暗号化機能を利用すると，JP1/AJS3 - Managerとの通信を暗号化できます。

JP1/AJS3 - Agentの通信暗号化機能を有効にするには，JP1/Baseでの設定が必要です。通信暗号化機能を有効にすると，JP1/AJS3 - Agentの通信電文がJP1/BaseのOpenSSLで暗号化されます。

JP1/BaseのSSL通信の詳細については，マニュアル「JP1/Base 運用ガイド」の通信暗号化機能の説明を参照してください。

JP1/AJS3 - View

JP1/AJS3 - Viewの通信暗号化機能を利用すると，JP1/AJS3 - Managerとの通信を暗号化できます。

JP1/AJS3 - Viewの通信暗号化機能を有効にするには，JP1/AJS3 - Viewの非暗号化通信ホスト設定ファイル（nosslhost.conf）を編集して有効にする必要があります。

JP1/AJS3 - Web Console

JP1/AJS3 - Web Consoleの通信暗号化機能を利用すると，次の通信を暗号化できます。

• JP1/AJS3 - Web ConsoleとJP1/AJS3 - Managerの通信

  JP1/AJS3 - Web ConsoleとJP1/AJS3 - Managerの通信を暗号化するためには，JP1/AJS3 - Web Consoleの非暗号化通信ホスト設定ファイル（nosslhost.conf）で，通信暗号化機能を有効にする必要があります。

• WebブラウザーとJP1/AJS3 - Web Consoleの通信

  WebブラウザーとJP1/AJS3 - Web Consoleの通信を暗号化するためには，サーバ証明書および秘密鍵が必要です。

  また，Web GUIやユーザーアプリケーションなどのクライアントプログラムでも，Webブラウザーなどの設定でSSL通信を有効にする必要があります。

なお，次に示す通信は，JP1/AJS3の通信暗号化機能の対象外です。ほかの手段で通信の安全を確保してください。

• フレキシブルジョブの宛先エージェントとの通信

• JP1/AJS3 - Print Option ManagerとJP1/AJS3 - Print Option間の通信

• HTTP接続ジョブの実行エージェントとHTTP接続先（Web上の業務システム）間の通信

• Outlookを使用しないメール送信ジョブの実行エージェントとSMTPサーバ間およびPOP3サーバ間の通信

• 通信暗号化機能がない連携製品とJP1/AJS3 - Manager間の通信

通信の安全を確保する手段の例を次に示します。

• VPNを使用する

• HTTP接続ジョブの設定でHTTPS通信を使用する

また，次に示す通信もJP1/AJS3の通信暗号化機能の対象外ですが，盗聴の危険性はありません。

• JP1/AJS3 - ManagerまたはJP1/AJS3 - Agentの自ホスト間通信のうち，他ホストとの通信に使用しないポートを利用した通信

通信暗号化機能の対象となる通信を次の図に示します。

図2‒27　通信暗号化機能の対象となる通信

注意事項

• SSL通信の有効・無効が異なるコンポーネント同士は通信できません。SSL通信の設定は，通信するコンポーネント同士で統一してください。

• JP1/AJS3の通信暗号化機能がサポートしている暗号化プロトコルは，TLSバージョン1.2だけです。それ以外のプロトコルやバージョンはサポートしていません。

• 通信暗号化機能を有効にしたJP1/AJS3製品に，通信暗号化機能をサポートしていないバージョンのJP1/AJS製品，連携製品を接続して使用することはできません。これらを接続して使用する場合は，通信暗号化機能は無効にしてください。

ページの先頭へ

(3)　マネージャー・エージェント構成でのサーバ証明書とルート証明書

マネージャーホストとエージェントホストの通信電文をSSL通信で暗号化する場合，サーバ側のホストにサーバ証明書が，クライアント側のホストにルート証明書が必要です。

マネージャー・エージェント構成では，処理のリクエストを送信する側がクライアント，送信先がサーバになります。つまり，マネージャーホストにとっては，ジョブの実行リクエストを送信する自ホストがクライアント，送信先のエージェントホストがサーバになります。逆に，エージェントホストにとっては，ジョブの実行結果を送信する自ホストがクライアント，送信先のマネージャーホストがサーバになります。そのため，マネージャーとエージェントには，それぞれサーバ証明書とルート証明書が必要です。

また，マネージャーホストは自ホストとも通信するため，自ホストのサーバ証明書に対するルート証明書も必要です。

マネージャー・エージェント構成でのサーバ証明書とルート証明書の配置を，次の図に示します。

図2‒28　マネージャー・エージェント構成でのサーバ証明書とルート証明書の配置

同一のCAで発行してもらう証明書の組み合わせについて説明します。図中の数字は，次の項番と対応しています。

1. マネージャーホストにとってはエージェントホストがサーバで，マネージャーホスト自身はクライアントになります。そのため，エージェントホストにサーバ証明書Aが，マネージャーホストにルート証明書Aが必要になります。

2. エージェントホストにとってはマネージャーホストがサーバで，エージェントホスト自身はクライアントになります。そのため，エージェントホストにルート証明書Mが，マネージャーホストにサーバ証明書Mが必要になります。

3. マネージャーホストは自ホストとも通信するため，自ホストのサーバ証明書Mに対するルート証明書Mが必要です。ただし，サーバ証明書Aとサーバ証明書Mを発行したCAが同一である場合，ルート証明書Mとルート証明書Aは同一のファイルになります。この場合，それぞれ別々に取得してマネージャーホストに配置する必要はありません。

4. JP1/AJS3 - Viewホストにとっては，マネージャーホストがサーバ，JP1/AJS3 - Viewホストがクライアントになります。そのため，マネージャーホストのサーバ証明書Mに対するルート証明書Mが必要になります。

このように，マネージャー・エージェント構成の場合，すべてのマネージャーホストとエージェントホストにサーバ証明書とルート証明書が，JP1/AJS3 - Viewホストにルート証明書が必要になります。

ページの先頭へ

(4)　マネージャー・エージェント構成でのサーバ証明書とルート証明書の設定の流れ

サーバ証明書およびルート証明書は，それぞれCAに発行を依頼します。サーバ証明書とルート証明書の取得および設定の流れを次に示します。

図2‒29　サーバ証明書とルート証明書の取得および設定の流れ

マネージャーホストとエージェントホストが複数存在する場合，通信するマネージャーホストとエージェントホストのすべての組み合わせで，これらの作業を実施します。また，JP1/AJS3 - Viewホストが複数存在する場合，すべてのJP1/AJS3 - Viewホストでクライアントホストの作業を実施します。

設定方法の詳細については，マニュアル「JP1/Automatic Job Management System 3 構築ガイド　21.4.2 マネージャー・エージェント構成でのSSL通信の設定手順」を参照してください。

ページの先頭へ

(5)　Web Consoleサーバのサーバ証明書とルート証明書

Web Consoleサーバを利用する場合，マネージャーホスト，エージェントホスト，JP1/AJS3 - Viewホストの通信の暗号化に加えて，次のホストの通信を暗号化します。

• Web Consoleサーバとマネージャーホストの通信

• WebブラウザーとWeb Consoleサーバの通信

それぞれのホストでの証明書の取得方法や配置方法は，Web Consoleサーバとマネージャーホストを異なるホストに導入するか，同一のホストに導入するかによって異なります。

ページの先頭へ

(6)　Web Consoleサーバのサーバ証明書とルート証明書の設定の流れ

Web Consoleサーバを利用する場合のサーバ証明書およびルート証明書の基本的な設定の流れは，「(4) マネージャー・エージェント構成でのサーバ証明書とルート証明書の設定の流れ」と同じです。ただし，Web Consoleサーバとマネージャーホストのシステム構成によって，CSRや秘密鍵の作成方法，取得したサーバ証明書の配置先や配置方法などが異なります。

詳細については，マニュアル「JP1/Automatic Job Management System 3 構築ガイド　21.4.1 JP1/AJS3のシステム構成とSSL通信の設定」を参照してください。

ページの先頭へ

(7)　SSL通信に関する注意事項

SSL通信に関する注意事項について説明します。

ページの先頭へ