IIS10.0編
改版履歴 | |||
版数 | 日付 | 内容 | 担当 |
V.1.0 | 2018/2/26 | 初版 | NII |
V.1.1 | 2018/3/26 | CT対応版の中間CA証明書について説明を追加 | NII |
V.1.2 | 2018/7/9 | ECDSA対応版のルート証明書、中間CA証明書について説明を追加 | NII |
V.2.4 | 2019/4/22 | ECC認証局 中間CA証明書の名称を変更 | NII |
V.2.5 | 2020/1/31 | 画像と文字の位置を修正 | NII |
V.2.6 | 2020/4/13 | 中間CA証明書のファイル名を修正 | NII |
V.2.7 | 2020/8/25 | 中間CA証明書の記載内容を修正 | NII |
V.2.8 | 2020/12/22 | 中間CA証明書を修正 | NII |
V.2.9 | 2025/12/18 | RSA認証局 中間CA証明書のファイル名を変更、クロスルート証明書用の手順を追加 | NII |
目次
1. IIS10.0 によるサーバ証明書の利用
1-1. 前提条件
1-2. 証明書のインストール
1-2-1. 事前準備
1-2-2. ルートCA証明書のインストール
1-2-3. 中間CA証明書のインストール
1-2-4. サーバ証明書のインストール
1-3. サーバ証明書の置き換えインストール
1-4. 起動確認
1. IIS10.0 によるサーバ証明書の利用
1-1. 前提条件
IIS（Internet Information Services）10.0 (以下IIS)でサーバ証明書を使用する場合の前提条件について記載します。
適宜、サーバ証明書をインストールする利用管理者様の環境により、読み替えをお願いします。
（本マニュアルではWindows Server2016、OpenSSL3.5.0.8でCSRを作成し、IISへインストールする方法での実行例を記載しております）
前提条件 |
|
発行・更新時いずれも、必ず新たにCSR作成、鍵ペア生成をしてください。
鍵ペアの鍵長は、RSAの場合は2048bit、ECDSAの場合は384bit(P-384/secp384r1)にしてください。
1-2. 証明書のインストール
本章ではIISへのサーバ証明書のインストール方法について記述します。
1-2-1. 事前準備
事前準備として、サーバ証明書、中間CA証明書を取得してください。また、ルートCA証明書がインストールされているか確認を行ってください。
事前準備 |
|
1-2-2. ルートCA証明書のインストール
以下の手続きに従って、ルートCA証明書のインストールを行ってください。
※ [1-2-1 事前準備]でルートCA証明書が存在した場合は、本手続きは不要です。次の「1-2-3 中間CA証明書のインストール」へ進んでください。
なお、IISの場合、以下の不具合がMicrosoftから発表されており「NII Open Domain CA - G8 RSA」から発行された証明書を利用する際は、「SECOM TLS RSA Root CA 2024」Root CA証明書を無効にする必要があります。
https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/certificates-and-public-key-infrastructure-pki/secured-website-certificate-validation-fails
「NII Open Domain CA - G8 RSA」で発行された証明書で証明書チェーンが正しく構築されない事象について |
|---|
1. 事象の概要利用者のブラウザによって、Web サイトの証明書チェーンが正しく構築されず、接続エラーが発生する場合があります。 これは、サーバーに「複数の証明書パス（チェーン）」が存在することにより、Windows が 誤った（短い）チェーンを選択してクライアントへ提示してしまうことが原因です。 Microsoft の技術文書（KB 2831004）でも、複数の信頼パスが存在すると Windows は短いチェーンを優先的に選択し、必要なクロスルートのチェーンが提示されない場合がある、と記載されています。これに該当するものと思われます。 2. 原因今回の証明書には以下の 2 種類のパスが存在していました。 パスA（Windows が選択する短いチェーン）SECOM TLS RSA Root CA 2024（自己署名）
└ NII Open Domain CA - G8 RSA
└ EE証明書（利用管理者がインストールしたサーバ証明書）
パスB（本来選択されるべきパス：Chrome / Apple プラットフォーム / Firefox が必要とするクロスルート経由）Security Communication RootCA2
└ SECOM TLS RSA Root CA 2024（クロスルート証明書）
└ NII Open Domain CA - G8 RSA
└ EE証明書（利用管理者がインストールしたサーバ証明書）
Windows はパスAを優先しますが、Chrome / Apple / Firefox はパスBを必要とするため、サーバーが誤った中間証明書を提示すると接続に失敗します。 3. 回避策IIS では、Windows の証明書ストアに存在する中間証明書から自動選択してチェーンを提示します。 このため「使用しない証明書パスの中間証明書を、IIS サーバーから削除または無効化」する必要があります。 4. 具体的手順以下は Microsoft KB 2831004 の手順をベースに、説明いたします。 4.1 手順 1：管理者としてログオンサーバーへ ローカル管理者権限 または同等権限でログオンします。 4.2 手順 2：MMC に「証明書」スナップインを追加
4.3 手順 3：誤った証明書チェーンを構成するルート証明書を確認MMC 左側で次へ進みます： 証明書（ローカル コンピューター）
└ [信頼されたルート認証局]
└ 証明書ここに、使用すべきではない（＝誤ったチェーンを形成する）証明書が含まれている可能性があります。 
今回対象となるのは下記の証明書です。 ◆ 削除/無効化すべき証明書
※この自己署名パスを残すと、IIS はこの短いチェーンを選択してしまいます。 4.4 手順 4：証明書を削除または無効化① 削除する場合対象の証明書を右クリック → [削除] ② 無効化する場合対象の証明書を右クリック → 4.5 手順 5：クロスルート経由の正しい中間証明書が存在していることを確認次の証明書が「中間証明機関」に存在することを確認します。 ◆ 正しく残すべき証明書
これらが残っていれば、IIS はクロスルート経由（パスB）を選択してクライアントに提示します。 4.6 手順 6：サーバー再起動設定が反映されない場合、以下のいずれかを実施してください。
IIS が証明書ストアを読み直すため、再起動によってチェーンが正しく提示されることがあります。 4.7 手順 7：自動ルート更新の無効化不要な証明書（短いチェーンの中間証明書）が自動で復元されてしまう場合があります。
コンピューター構成
└ 管理用テンプレート
└ システム
└ インターネット通信管理
└ インターネット通信の設定
この状況で問題なく、動作していることをご確認お願いします。
|
ルートCA証明書のインストール |
最新のWindowsでは、既にインストールされているか、ルートCA証明書をダブルクリックするだけで自動インストールされます。
|
1-2-3. 中間CA証明書のインストール
以下の手続きに従って、中間CA証明書のインストールを行ってください。
中間CA証明書のインストール |
|
1-2-4. サーバ証明書のインストール
新規でサーバ証明書をインストールする場合は以下の手続きを実施してください。
サーバ証明書のインストール | |
| |
CSRをIISで作成した場合(RSA)
| |
CSRをIISで作成した場合(ECDSA)
|
1-3. サーバ証明書の置き換えインストール
更新したサーバ証明書をインストールする場合は以下の手続きを実施してください。
既に対象のサーバに証明書をインストールしている場合は、事前にインストールしている証明書の削除が必要です。
サーバ証明書の置き換えインストール |
|