2.3.6　SSLによるJP1/AJS3の通信の暗号化

(1)　SSL通信の基本的な用語

SSL通信の基本的な用語について説明します。

表2‒28　SSL通信の基本的な用語

項番	用語	説明
1	SSL（Secure Sockets Layer）	情報を暗号化してネットワーク上で送受信するためのプロトコルのことです。 クライアントとサーバの間で証明書による認証や鍵交換を実施し，通信の暗号化を実現します。
2	TLS（Transport Layer Security）	SSLに改良が加えられたプロトコルのことです。SSLのバージョン3.0の次のバージョンから名称がTLSに変更されています。 このマニュアルでは，SSLと表記している場合，TLSを含みます。
3	OpenSSL	SSLやTLSに対応した，オープンソースで開発・提供されているSSLのライブラリーのことです。
4	CA（Certificate Authority）	SSLを使用するための証明書を発行する認証局のことです。 CAには，次の2種類があります。 ルートCA 自分の正当性を自ら保証するCAのことです。 中間CA ルートCA以外の，上位のCAによる認証によって自らの正当性を保証するCAのことです。
5	CSR（Certificate Signing Request）	サーバ証明書を発行するための証明書署名要求のことです。CSRには，公開鍵の情報，要求元の組織名，所在地などの情報を記載します。 CSRはCAに提出します。CAは提出されたCSRに署名して，サーバ証明書として発行します。
6	サーバ証明書	CSRの発行元の団体の正当性を証明する，電子的な情報のことです。
7	ルート証明書	ルートCAが自らの正当性を保証するために発行する証明書のことです。サーバ証明書の発行元のCAの正当性を検証するために利用されます。
8	中間証明書	中間CAが自らの正当性を保証するために発行する証明書のことです。中間証明書はルート証明書と合わせることで，サーバ証明書の発行元のCAの正当性を保証します。
9	CN（Common Name）	サーバ証明書の登録情報の一つで，サーバ証明書が適用されるサーバのドメイン名（ホスト名）のことです。
10	SAN（Subject Alternative Names）	サーバ証明書の登録情報の一つで，CNの別名として扱われる情報のことです。 SANには複数の値を指定できるので，SANを指定することで，一つのサーバ証明書で複数の接続先とSSL通信ができるようになります。
11	ワイルドカード証明書	サーバ証明書の一種で，CNやSANのホスト名部分が「*」になっているサーバ証明書のことです。 同一ドメインであれば，一つのサーバ証明書でホスト名の異なる複数の接続先とSSL通信ができるようになります。JP1/AJS3でSSL通信を利用する場合，ワイルドカード証明書を利用できます。 「*」は，CNまたはSANの先頭（ホスト名部分）だけに使用できます。また，「*」を先頭以外に使用したり，正規表現のように「aから始まるホスト名」という意味で「a*」と指定したりはできません。 例えば，CNが「*.example.com」の場合，一つのサーバ証明書で次のようなホスト名に対応できます。 aaa.example.com bbb.example.com
12	RSA証明書	このマニュアルでは，RSA公開鍵を含むサーバ証明書のことを指します。
13	ECDSA証明書	このマニュアルでは，ECDSA公開鍵を含むサーバ証明書のことを指します。JP1/Baseのマニュアルでは「ECC暗号のサーバ証明書」と記載しています。
14	クロスルート証明書	別のルートCAへ接続できるようにするため，追加で使用される証明書のことです。

ページの先頭へ

(2)　JP1/AJS3のSSL通信の概要

JP1/AJS3の各コンポーネント間の通信電文は，SSL通信を利用して暗号化できます。この機能を，通信暗号化機能と呼びます。通信暗号化機能はコンポーネント単位で有効・無効を設定します。JP1/AJS3 - Manager，JP1/AJS3 - Agent，JP1/AJS3 - View，およびJP1/AJS3 - Web Consoleの通信暗号化機能の有効・無効は，通信するコンポーネント同士で統一する必要があります。ただし，環境設定パラメーターAJS3SSLの値を「INETD」に設定すれば，JP1/AJS3 - ViewとJP1/AJS3 - Manager間で通信暗号化機能を有効にした場合でも，JP1/AJS3 - ManagerとJP1/AJS3 - Agent間の通信暗号化機能を無効にできます。

それぞれのコンポーネントの通信暗号化機能について説明します。

JP1/AJS3 - Manager

JP1/AJS3 - Managerの通信暗号化機能を利用すると，ほかのJP1/AJS3 - Manager，JP1/AJS3 - Agent，JP1/AJS3 - View，およびJP1/AJS3 - Web Consoleとの通信を暗号化できます。

JP1/AJS3 - Managerの通信暗号化機能を有効にするには，JP1/Baseでの設定が必要です。通信暗号化機能を有効にすると，JP1/AJS3 - Managerの通信電文がJP1/BaseのOpenSSLで暗号化されます。

JP1/BaseのSSL通信の詳細については，マニュアル「JP1/Base 運用ガイド」の通信暗号化機能の説明を参照してください。

JP1/AJS3 - Agent

JP1/AJS3 - Agentの通信暗号化機能を利用すると，JP1/AJS3 - Managerとの通信を暗号化できます。

JP1/AJS3 - Agentの通信暗号化機能を有効にするには，JP1/Baseでの設定が必要です。通信暗号化機能を有効にすると，JP1/AJS3 - Agentの通信電文がJP1/BaseのOpenSSLで暗号化されます。

JP1/BaseのSSL通信の詳細については，マニュアル「JP1/Base 運用ガイド」の通信暗号化機能の説明を参照してください。

JP1/AJS3 - View

JP1/AJS3 - Viewの通信暗号化機能を利用すると，JP1/AJS3 - Managerとの通信を暗号化できます。

JP1/AJS3 - Viewの通信暗号化機能を有効にするには，JP1/AJS3 - Viewの非暗号化通信ホスト設定ファイル（nosslhost.conf）を編集して有効にする必要があります。

JP1/AJS3 - Web Console

JP1/AJS3 - Web Consoleの通信暗号化機能を利用すると，次の通信を暗号化できます。なお，次の通信の暗号化機能の有効・無効を統一する必要はありません。

• JP1/AJS3 - Web ConsoleとJP1/AJS3 - Managerの通信

  JP1/AJS3 - Web ConsoleとJP1/AJS3 - Managerの通信を暗号化するためには，JP1/AJS3 - Web Consoleの非暗号化通信ホスト設定ファイル（nosslhost.conf）で，通信暗号化機能を有効にする必要があります。

• WebブラウザーとJP1/AJS3 - Web Consoleの通信

  WebブラウザーとJP1/AJS3 - Web Consoleの通信を暗号化するためには，サーバ証明書および秘密鍵が必要です。

  また，Web GUIやユーザーアプリケーションなどのクライアントプログラムでも，Webブラウザーなどの設定でSSL通信を有効にする必要があります。

なお，次に示す通信は，JP1/AJS3の通信暗号化機能の対象外です。ほかの手段で通信の安全を確保してください。

• フレキシブルジョブの宛先エージェントとの通信

• JP1/AJS3 - Print Option ManagerとJP1/AJS3 - Print Option間の通信

• HTTP接続ジョブの実行エージェントとHTTP接続先（Web上の業務システム）間の通信

• Outlookを使用しないメール送信ジョブの実行エージェントとSMTPサーバ間およびPOP3サーバ間の通信

• 通信暗号化機能がない連携製品とJP1/AJS3 - Manager間の通信

通信の安全を確保する手段の例を次に示します。

• VPNを使用する

• HTTP接続ジョブの設定でHTTPS通信を使用する

また，次に示す通信もJP1/AJS3の通信暗号化機能の対象外ですが，盗聴の危険性はありません。

• JP1/AJS3 - ManagerまたはJP1/AJS3 - Agentの自ホスト間通信のうち，他ホストとの通信に使用しないポートを利用した通信

通信暗号化機能の対象となる通信を次の図に示します。

図2‒27　通信暗号化機能の対象となる通信

注意事項

• SSL通信の有効・無効が異なるコンポーネント同士は通信できません。SSL通信の設定は，通信するコンポーネント同士で統一してください。

• JP1/AJS3の通信暗号化機能がサポートしている暗号化プロトコルは，TLSバージョン1.2およびTLSバージョン1.3です。それ以外のプロトコルやバージョンはサポートしていません。

• 通信暗号化機能を有効にしたJP1/AJS3製品に，通信暗号化機能をサポートしていないバージョンのJP1/AJS製品，連携製品を接続して使用することはできません。これらを接続して使用する場合は，通信暗号化機能は無効にしてください。

• JP1/AJS3の通信暗号化機能を有効にした場合，無効の場合に比べて，JP1/AJS3の通信暗号化機能の対象となる通信を使用して動作するジョブの実行性能が低下するおそれがあります。そのため，運用を想定したテストを十分に実施し，性能に問題がないかを確認してください。

ページの先頭へ

(3)　マネージャー・エージェント構成でのサーバ証明書とルート証明書

マネージャーホストとエージェントホストの通信電文をSSL通信で暗号化する場合，サーバ側のホストにサーバ証明書が，クライアント側のホストにルート証明書が必要です。

マネージャー・エージェント構成では，処理のリクエストを送信する側がクライアント，送信先がサーバになります。つまり，マネージャーホストにとっては，ジョブの実行リクエストを送信する自ホストがクライアント，送信先のエージェントホストがサーバになります。逆に，エージェントホストにとっては，ジョブの実行結果を送信する自ホストがクライアント，送信先のマネージャーホストがサーバになります。そのため，マネージャーとエージェントには，それぞれサーバ証明書とルート証明書が必要です。

また，マネージャーホストは自ホストとも通信するため，自ホストのサーバ証明書に対するルート証明書も必要です。

マネージャー・エージェント構成でのサーバ証明書とルート証明書の配置を，次の図に示します。

図2‒28　マネージャー・エージェント構成でのサーバ証明書とルート証明書の配置

同一のCAで発行してもらう証明書の組み合わせについて説明します。図中の数字は，次の項番と対応しています。

1. マネージャーホストにとってはエージェントホストがサーバで，マネージャーホスト自身はクライアントになります。そのため，エージェントホストにサーバ証明書Aが，マネージャーホストにルート証明書Aが必要になります。

2. エージェントホストにとってはマネージャーホストがサーバで，エージェントホスト自身はクライアントになります。そのため，エージェントホストにルート証明書Mが，マネージャーホストにサーバ証明書Mが必要になります。

3. マネージャーホストは自ホストとも通信するため，自ホストのサーバ証明書Mに対するルート証明書Mが必要です。ただし，サーバ証明書Aとサーバ証明書Mを発行したCAが同一である場合，ルート証明書Mとルート証明書Aは同一のファイルになります。この場合，それぞれ別々に取得してマネージャーホストに配置する必要はありません。

4. JP1/AJS3 - Viewホストにとっては，マネージャーホストがサーバ，JP1/AJS3 - Viewホストがクライアントになります。そのため，マネージャーホストのサーバ証明書Mに対するルート証明書Mが必要になります。

このように，マネージャー・エージェント構成の場合，すべてのマネージャーホストとエージェントホストにサーバ証明書とルート証明書が，JP1/AJS3 - Viewホストにルート証明書が必要になります。

ページの先頭へ

(4)　マネージャー・エージェント構成でのサーバ証明書とルート証明書の設定の流れ

サーバ証明書およびルート証明書は，それぞれCAに発行を依頼します。サーバ証明書とルート証明書の取得および設定の流れを次に示します。

図2‒29　サーバ証明書とルート証明書の取得および設定の流れ

マネージャーホストとエージェントホストが複数存在する場合，通信するマネージャーホストとエージェントホストのすべての組み合わせで，これらの作業を実施します。また，JP1/AJS3 - Viewホストが複数存在する場合，すべてのJP1/AJS3 - Viewホストでクライアントホストの作業を実施します。

設定方法の詳細については，マニュアル「JP1/Automatic Job Management System 3 構築ガイド　21.4.2 マネージャー・エージェント構成でのSSL通信の設定手順」を参照してください。

ページの先頭へ

(5)　Web Consoleサーバのサーバ証明書とルート証明書

Web Consoleサーバを利用する場合，マネージャーホスト，エージェントホスト，JP1/AJS3 - Viewホストの通信の暗号化に加えて，次のホストの通信を暗号化します。

• Web Consoleサーバとマネージャーホストの通信

• WebブラウザーとWeb Consoleサーバの通信

それぞれのホストでの証明書の取得方法や配置方法は，Web Consoleサーバとマネージャーホストを異なるホストに導入するか，同一のホストに導入するかによって異なります。

ページの先頭へ

(6)　Web Consoleサーバのサーバ証明書とルート証明書の設定の流れ

Web Consoleサーバを利用する場合のサーバ証明書およびルート証明書の基本的な設定の流れは，「(4) マネージャー・エージェント構成でのサーバ証明書とルート証明書の設定の流れ」と同じです。ただし，Web Consoleサーバとマネージャーホストのシステム構成によって，CSRや秘密鍵の作成方法，取得したサーバ証明書の配置先や配置方法などが異なります。

詳細については，マニュアル「JP1/Automatic Job Management System 3 構築ガイド　21.4.1 JP1/AJS3のシステム構成とSSL通信の設定」を参照してください。

ページの先頭へ

(7)　SSL通信に関する注意事項

SSL通信に関する注意事項について説明します。

ページの先頭へ