目的

Intermediate CA で署名した TLSサーバー証明書 を作成し、 証明書チェーン を検証する。

---

完成形

Root CA
  └─ Intermediate CA
       └─ Server Certificate

---

前提

項目	内容
OS	Debian 13.x
OpenSSL	3.5
作業ディレクトリ	pki/server
Intermediate CA証明書	../intermediate/intermediate.crt
Intermediate CA秘密鍵	../intermediate/intermediate.key
Root CA証明書	../root/ca.crt
証明書拡張ファイル	../extensions.cnf
ドメイン名	www.example.com
IPアドレス	192.168.1.1

---

手順

1. 秘密鍵の作成

サーバー証明書の発行作業に使用する、パスフレーズ付きの 秘密鍵 を作成する。

openssl genpkey \
  -algorithm RSA \
  -aes-256-cbc \
  -pkeyopt rsa_keygen_bits:2048 \
  -out server.key
chmod 600 server.key

使用するコマンド

• openssl genpkey

主なオプション

オプション	役割
-algorithm RSA	RSA鍵を生成する
-aes-256-cbc	秘密鍵をパスフレーズで暗号化する
-pkeyopt rsa_keygen_bits:2048	鍵長を2048ビットにする
-out server.key	秘密鍵を server.key へ保存する

確認

openssl pkey -in server.key -check -noout

期待する結果： Key is valid

発行用の鍵とサービス配備用の鍵

server.key はパスフレーズで暗号化した発行用の原本として保持する。 nginxを非対話で自動起動させる構成では、後の手順で権限を制限したパスフレーズなしの privkey.pem を別に作り、サービスにはそちらを配備する。 privkey.pem も秘密鍵なので公開してはいけない。

---

2. CSRの作成

サーバー証明書の発行をIntermediate CAへ要求するための CSR を作成する。

openssl req -new \
  -key server.key \
  -out server.csr

Subjectの入力例

コマンドを実行するとSubjectの入力を求められるため、対話形式で入力する。

Country Name (2 letter code) [AU]:JP
State or Province Name (full name) [Some-State]:Tokyo
Locality Name (eg, city) []:Shinjuku
Organization Name (eg, company) [Internet Widgits Pty Ltd]:JEC
Organizational Unit Name (eg, section) []:CC
Common Name (e.g. server FQDN or YOUR name) []:www.example.com
Email Address []:

対話入力を省略する場合は -subj を使用する。

-subj "/C=JP/ST=Tokyo/L=Shinjuku/O=JEC/OU=CC/CN=www.example.com"

サーバー名の指定

Common Name にはサーバー名と同じ www.example.com を入力し、証明書を識別しやすくする。

現在のTLS証明書検証では、Common Nameではなく SAN で接続先のDNS名やIPアドレスを確認する。 SANが存在する場合、Common Nameが接続先名と一致することは必須条件ではない。 extensions.cnf の subjectAltName に、実際に接続するDNS名またはIPアドレスを必ず指定する。

subjectAltName=DNS:www.example.com,IP:192.168.1.1

DNS名で接続する場合は DNS、IPアドレスで接続する場合は IP へ値を設定する。

使用するコマンド

• openssl req

主なオプション

オプション	役割
-new	新しいCSRを作成する
-key server.key	CSRへ含める公開鍵と署名に使う秘密鍵を指定する
-out server.csr	CSRを server.csr へ保存する

---

3. サーバー証明書の作成

CSRへIntermediate CAの秘密鍵で署名し、サーバー証明書を作成する。

openssl x509 -req \
  -in server.csr \
  -CA ../intermediate/intermediate.crt \
  -CAkey ../intermediate/intermediate.key \
  -days 365 -sha256 \
  -out server.crt \
  -extfile ../extensions.cnf \
  -extensions server_cert

使用するコマンド

• openssl x509

主なオプション

オプション	役割
-req	入力ファイルをCSRとして読み込む
-in server.csr	署名するCSRを指定する
-CA ../intermediate/intermediate.crt	署名に使うIntermediate CA証明書を指定する
-CAkey ../intermediate/intermediate.key	署名に使うIntermediate CA秘密鍵を指定する
-days 365	証明書の有効期間を365日にする
-sha256	SHA-256 を使って証明書へ署名する
-out server.crt	証明書を server.crt へ保存する
-extfile ../extensions.cnf	拡張を記述した設定ファイルを読み込む
-extensions server_cert	[ server_cert ] セクションを適用する

シリアル番号

OpenSSL 3.5では、シリアル番号ファイルを使用しない場合、 -CAcreateserial を指定せず大きなランダム値を使用する方法が推奨されている。詳細は -CAcreateserial を参照。

---

4. nginx用の証明書チェーンと秘密鍵を作成する

nginxの ssl_certificate には、サーバー証明書を先頭、その後ろにIntermediate CA証明書を連結したファイルを指定する。Root CA証明書は通常サーバーから配布せず、クライアントのTrust Storeへ登録する。

cat server.crt ../intermediate/intermediate.crt > fullchain.pem

nginxの自動起動用に、発行用の server.key からパスフレーズを取り除いた配備用秘密鍵を作る。実行時に server.key のパスフレーズを入力する。

openssl pkey \
  -in server.key \
  -out privkey.pem
chmod 600 privkey.pem

privkey.pem の取り扱い

privkey.pem はパスフレーズで暗号化されていない。nginxの自動起動に使用できるが、所有者をroot、権限を600として配備する。 通常運用では、秘密鍵の保管、バックアップ、アクセス権、更新手順まで設計する。パスフレーズ付き鍵を直接使用する場合は、nginxの ssl_password_file も検討する。

作成後の成果物は次のとおり。

ファイル	内容	配備先
../root/ca.crt	Root CA証明書	接続するクライアントのTrust Store
../intermediate/intermediate.crt	Intermediate CA証明書	fullchain.pem の2番目
server.crt	サーバー証明書	fullchain.pem の先頭
server.key	パスフレーズ付き発行用秘密鍵	PKI作業ディレクトリで保管
fullchain.pem	サーバー証明書＋Intermediate CA証明書	nginxの ssl_certificate
privkey.pem	パスフレーズなしの配備用秘密鍵	nginxの ssl_certificate_key

nginxへ配備する場合は、サイト名に合わせたディレクトリへコピーする。

sudo install -d -o root -g root -m 700 \
  /etc/nginx/tls/www.example.com
sudo install -o root -g root -m 644 fullchain.pem \
  /etc/nginx/tls/www.example.com/fullchain.pem
sudo install -o root -g root -m 600 privkey.pem \
  /etc/nginx/tls/www.example.com/privkey.pem

---

動作確認

証明書チェーン

openssl verify \
  -CAfile ../root/ca.crt \
  -untrusted ../intermediate/intermediate.crt \
  -purpose sslserver \
  server.crt

期待する結果： server.crt: OK

DNS名

openssl verify \
  -CAfile ../root/ca.crt \
  -untrusted ../intermediate/intermediate.crt \
  -purpose sslserver \
  -verify_hostname www.example.com \
  server.crt

期待する結果： server.crt: OK

IPアドレス

openssl verify \
  -CAfile ../root/ca.crt \
  -untrusted ../intermediate/intermediate.crt \
  -purpose sslserver \
  -verify_ip 192.168.1.1 \
  server.crt

期待する結果： server.crt: OK

使用するコマンド

• openssl verify

主なオプション

オプション	役割
-CAfile ../root/ca.crt	信頼するRoot CA証明書を指定する
-untrusted ../intermediate/intermediate.crt	チェーン構築に使うIntermediate CA証明書を指定する
-purpose sslserver	TLSサーバー証明書として使用できるか検証する
-verify_hostname www.example.com	SANに指定したDNS名を検証する
-verify_ip 192.168.1.1	SANに指定したIPアドレスを検証する

---

関連

• Root CA
• Intermediate CA
• 証明書
• CSR
• 証明書チェーンと信頼
• X.509拡張
• OpenSSL設定ファイル

---

参考リンク

OpenSSL公式ドキュメント

• openssl-genpkey 秘密鍵の生成方法と、鍵生成アルゴリズム固有のオプション。

• openssl-pkey 秘密鍵・公開鍵の読み込み、表示、変換、整合性確認。

• openssl-req CSRの作成、Subjectの対話入力、各オプション。

• openssl-x509 CSRへのCA署名、証明書の作成、表示、変換。

• openssl-verify 証明書チェーン、DNS名、IPアドレスの検証。

• x509v3_config basicConstraints、keyUsage、extendedKeyUsage、subjectAltName などのX.509拡張設定形式。