Apache Tomcat 11

Tomcatは現在、JKS、PKCS11、または PKCS12 フォーマットのキーストアでのみ動作します。JKS フォーマットはJava標準の「Java KeyStore」フォーマットであり、keytool コマンドラインユーティリティによって作成されるフォーマットです。このツールはJDKに含まれています。PKCS12 フォーマットはインターネット標準であり、OpenSSLやMicrosoftのキーマネージャーなどを介して操作できます。

キーストア内の各エントリは、エイリアス文字列によって識別されます。多くのキーストア実装ではエイリアスを大文字と小文字を区別しない方法で扱いますが、大文字と小文字を区別する実装も利用可能です。例えば、PKCS11 仕様では、エイリアスが大文字と小文字を区別することを要求しています。エイリアスの大文字と小文字の区別に関連する問題を避けるため、大文字と小文字のみが異なるエイリアスを使用することは推奨されません。

既存の証明書を JKS キーストアにインポートするには、keytool に関するドキュメント（JDKドキュメントパッケージ内）をお読みください。OpenSSLは鍵の前に読み取り可能なコメントを追加することがよくありますが、keytool はそれをサポートしていません。したがって、証明書が鍵データの前にコメントを持っている場合は、keytool で証明書をインポートする前にそれらを削除してください。

自身のCAによって署名された既存の証明書をOpenSSLを使用して PKCS12 キーストアにインポートするには、次のようなコマンドを実行します

openssl pkcs12 -export -in mycert.crt -inkey mykey.key
                       -out mycert.p12 -name tomcat -CAfile myCA.crt
                       -caname root -chain

より高度なケースについては、OpenSSLのドキュメントを参照してください。

単一の自己署名証明書を含む新しい JKS キーストアを一から作成するには、ターミナルコマンドラインから以下を実行します

Windows

"%JAVA_HOME%\bin\keytool" -genkey -alias tomcat -keyalg RSA

Unix

$JAVA_HOME/bin/keytool -genkey -alias tomcat -keyalg RSA

（RSAアルゴリズムは安全なアルゴリズムとして推奨され、これにより他のサーバーやコンポーネントとの一般的な互換性も確保されます。）

このコマンドは、実行したユーザーのホームディレクトリに「.keystore」という名前の新しいファイルを作成します。異なる場所またはファイル名を指定するには、上記の keytool コマンドに -keystore パラメータと、その後にキーストアファイルへの完全なパス名を追加します。後述するように、この新しい場所を server.xml 設定ファイルにも反映させる必要があります。例:

Windows

"%JAVA_HOME%\bin\keytool" -genkey -alias tomcat -keyalg RSA
  -keystore \path\to\my\keystore

Unix

$JAVA_HOME/bin/keytool -genkey -alias tomcat -keyalg RSA
  -keystore /path/to/my/keystore

このコマンドを実行した後、まずキーストアのパスワードを求められます。Tomcatが使用するデフォルトのパスワードは「changeit」（すべて小文字）ですが、必要であればカスタムパスワードを指定できます。後述するように、カスタムパスワードを server.xml 設定ファイルにも指定する必要があります。

次に、会社名、連絡先名など、この証明書に関する一般情報の入力を求められます。この情報は、アプリケーションのセキュアなページにアクセスしようとするユーザーに表示されるため、ここで提供される情報がユーザーの期待と一致していることを確認してください。

最後に、キーパスワードの入力を求められます。これは、この証明書（同じキーストアファイルに保存されている他の証明書とは対照的に）専用のパスワードです。keytool のプロンプトでは、ENTERキーを押すとキーストアと同じパスワードがキーに自動的に使用されると表示されます。同じパスワードを使用することも、カスタムパスワードを選択することも自由です。キーストアパスワードとは異なるパスワードを選択した場合は、server.xml 設定ファイルにもカスタムパスワードを指定する必要があります。

すべてが成功した場合、これでサーバーで使用できる証明書を含むキーストアファイルが作成されました。

TomcatはSSLの2つの異なる実装を使用できます

• Javaランタイムの一部として提供されるJSSE実装
• OpenSSLを使用するJSSE実装

正確な設定詳細は、使用されている実装に依存します。汎用的な protocol="HTTP/1.1" を指定してコネクタを構成した場合、Tomcatが使用する実装は自動的に選択されます。

必要に応じて、実装の自動選択を回避できます。Connector のprotocol属性にクラス名を指定することで行います。

APRライブラリがロードされているかどうかにかかわらず、Java (JSSE) コネクタを定義するには、以下のいずれかを使用します

<!-- Define an HTTP/1.1 Connector on port 8443, JSSE NIO implementation -->
<Connector protocol="org.apache.coyote.http11.Http11NioProtocol"
           sslImplementationName="org.apache.tomcat.util.net.jsse.JSSEImplementation"
           port="8443" .../>

<!-- Define an HTTP/1.1 Connector on port 8443, JSSE NIO2 implementation -->
<Connector protocol="org.apache.coyote.http11.Http11Nio2Protocol"
           sslImplementationName="org.apache.tomcat.util.net.jsse.JSSEImplementation"
           port="8443" .../>

OpenSSL JSSE実装も、必要に応じて明示的に構成できます。Tomcat NativeライブラリまたはJava 22がインストールされている場合、sslImplementationName 属性を使用することで有効化できます。OpenSSL JSSE実装を使用する場合、設定はJSSE属性またはOpenSSL属性のいずれかを使用できますが、同じSSLHostConfigまたはConnector要素内で両方の種類の属性を混在させてはなりません。

Tomcat Nativeを使用する場合

<!-- Define an HTTP/1.1 Connector on port 8443, JSSE NIO implementation and OpenSSL -->
<Connector protocol="org.apache.coyote.http11.Http11NioProtocol" port="8443"
           sslImplementationName="org.apache.tomcat.util.net.openssl.OpenSSLImplementation"
           .../>

Java 22 FFM APIを使用する場合

<!-- Define an HTTP/1.1 Connector on port 8443, JSSE NIO implementation and OpenSSL -->
<Connector protocol="org.apache.coyote.http11.Http11NioProtocol" port="8443"
           sslImplementationName="org.apache.tomcat.util.net.openssl.panama.OpenSSLImplementation"
           .../>

または、個々のコネクタに sslImplementationName 属性を追加することなく、すべてのコネクタでOpenSSLを有効にするために、Server にリスナーを追加することもできます。

Tomcat Nativeを使用する場合

<Listener className="org.apache.catalina.core.AprLifecycleListener"/>

Java 22 FFM APIを使用する場合

<Listener className="org.apache.catalina.core.OpenSSLLifecycleListener"/>

リスナーの SSLRandomSeed 属性は、エントロピーのソースを指定することを可能にします。本番システムには信頼できるエントロピーのソースが必要ですが、エントロピーの収集には多くの時間が必要となる場合があるため、テストシステムではTomcatの起動を迅速にするために「/dev/urandom」のような非ブロッキングのエントロピーソースを使用できます。

最終ステップは、$CATALINA_BASE/conf/server.xml ファイル内でコネクタを構成することです。ここで $CATALINA_BASE はTomcatインスタンスのベースディレクトリを表します。SSLコネクタの例である <Connector> 要素は、Tomcatとともにインストールされるデフォルトの server.xml ファイルに含まれています。JSSE設定スタイルでJSSEを使用するSSLコネクタを構成するには、コメントを削除し、以下のように編集する必要があります

<!-- Define an SSL Coyote HTTP/1.1 Connector on port 8443 -->
<Connector
    protocol="org.apache.coyote.http11.Http11NioProtocol"
    port="8443"
    maxThreads="150"
    SSLEnabled="true">
  <SSLHostConfig>
    <Certificate
      certificateKeystoreFile="${user.home}/.keystore"
      certificateKeystorePassword="changeit"
      type="RSA"
      />
    </SSLHostConfig>
</Connector>

OpenSSLの設定スタイルでは、多くのSSL設定、特に鍵と証明書について異なる属性を使用します。APR設定スタイルの例は以下の通りです

<!-- Define an SSL Coyote HTTP/1.1 Connector on port 8443 -->
<Connector
    protocol="org.apache.coyote.http11.Http11NioProtocol"
    port="8443"
    maxThreads="150"
    SSLEnabled="true" >
  <SSLHostConfig>
    <Certificate
        certificateKeyFile="conf/localhost-rsa-key.pem"
        certificateFile="conf/localhost-rsa-cert.pem"
        certificateChainFile="conf/localhost-rsa-chain.pem"
        type="RSA"
        />
  </SSLHostConfig>
</Connector>

設定オプションおよび必須属性に関する情報は、HTTPコネクタ設定リファレンスのSSLサポートセクションに記載されています。Tomcatは、すべてのTLSコネクタでJSSEまたはOpenSSLのいずれの設定スタイルもサポートしています。

port 属性は、Tomcatがセキュアな接続をリッスンするTCP/IPポート番号です。これを任意のポート番号に変更できます（例：https 通信のデフォルトポートである443）。ただし、多くのオペレーティングシステムでは、1024より小さいポート番号でTomcatを実行するには、特別な設定（このドキュメントの範囲外）が必要です。

ここでポート番号を変更した場合、非SSLコネクタの redirectPort 属性に指定されている値も変更する必要があります。これにより、サーブレット仕様で要求されているように、SSLが必須であることを指定するセキュリティ制約のあるページにアクセスしようとするユーザーをTomcatが自動的にリダイレクトできるようになります。

これらの設定変更を完了した後、通常通りTomcatを再起動する必要があります。そうすれば、TomcatがサポートするすべてのウェブアプリケーションにSSL経由でアクセスできるようになります。例えば、試してみてください。

https://:8443/

すると、通常のTomcatスプラッシュページが表示されるはずです（ROOTウェブアプリケーションを変更していない限り）。もしこれが動作しない場合、以下のセクションにいくつかのトラブルシューティングのヒントが記載されています。

選択した認証局から証明書を取得するには、いわゆる証明書署名要求 (CSR) を作成する必要があります。そのCSRは、認証局によってあなたのウェブサイトを「安全」であると識別する証明書を作成するために使用されます。CSRを作成するには、以下の手順に従ってください。

• ローカルの自己署名証明書を作成します（前のセクションで説明されています）。

  keytool -genkey -alias tomcat -keyalg RSA
      -keystore <your_keystore_filename>

  注: 場合によっては、有効な証明書を作成するために、「名と姓」のフィールドにウェブサイトのドメイン（例：www.myside.org）を入力する必要があります。
• CSRは以下で作成されます

  keytool -certreq -keyalg RSA -alias tomcat -file certreq.csr
      -keystore <your_keystore_filename>

これで、認証局に提出できる certreq.csr というファイルができました（認証局のウェブサイトのドキュメントで提出方法を確認してください）。その結果、証明書を受け取ることができます。

証明書が手に入ったら、ローカルのキーストアにインポートできます。まず、いわゆるチェーン証明書またはルート証明書をキーストアにインポートする必要があります。その後、自分の証明書のインポートに進むことができます。

• 証明書を取得した認証局からチェーン証明書をダウンロードします。
  Verisign.comの商用証明書については、以下にアクセスしてください: http://www.verisign.com/support/install/intermediate.html
  Verisign.comの試用版証明書については、以下にアクセスしてください: http://www.verisign.com/support/verisign-intermediate-ca/Trial_Secure_Server_Root/index.html
  Trustcenter.deについては、以下にアクセスしてください: http://www.trustcenter.de/certservices/cacerts/en/en.htm#server
  Thawte.comについては、以下にアクセスしてください: http://www.thawte.com/certs/trustmap.html
  
• チェーン証明書をキーストアにインポートします

  keytool -import -alias root -keystore <your_keystore_filename>
      -trustcacerts -file <filename_of_the_chain_certificate>

• そして最後に新しい証明書をインポートします

  keytool -import -alias tomcat -keystore <your_keystore_filename>
      -file <your_certificate_filename>

各認証局は他とわずかに異なる傾向があります。若干異なる情報を要求したり、証明書と関連する証明書チェーンを異なる形式で提供したりする場合があります。さらに、認証局が証明書を発行するために使用する規則は時間とともに変化します。その結果、上記のコマンドが変更される必要がある場合があります。支援が必要な場合は、Apache Tomcatユーザーメーリングリストを通じてサポートを受けることができます。

Apache Tomcatでは、OCSP対応証明書にOCSPレスポンダーの場所がエンコードされている必要があります。openssl.cnf ファイルにおける基本的なOCSP関連の認証局設定は以下のようになるでしょう

#... omitted for brevity

[x509]
x509_extensions = v3_issued

[v3_issued]
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid,issuer
# The address of your responder
authorityInfoAccess = OCSP;URI:http://127.0.0.1:8088
keyUsage = critical,digitalSignature,nonRepudiation,keyEncipherment,dataEncipherment,keyAgreement,keyCertSign,cRLSign,encipherOnly,decipherOnly
basicConstraints=critical,CA:FALSE
nsComment="Testing OCSP Certificate"

#... omitted for brevity

上記の設定は、OCSPレスポンダーアドレス 127.0.0.1:8088 を証明書にエンコードします。以下の手順を実行するには、openssl.cnf とその他CAの構成が準備されている必要があることに注意してください。OCSP有効証明書を生成するには

• 秘密鍵の作成

  openssl genrsa -aes256 -out ocsp-cert.key 4096

• 署名要求 (CSR) の作成

  openssl req -config openssl.cnf -new -sha256 \
    -key ocsp-cert.key -out ocsp-cert.csr

• CSRへの署名

  openssl ca -openssl.cnf -extensions ocsp -days 375 -notext \
    -md sha256 -in ocsp-cert.csr -out ocsp-cert.crt

• 証明書を検証できます

  openssl x509 -noout -text -in ocsp-cert.crt