管理ユーザのメンテナンス

管理ユーザのメンテナンスも PHPki で行う事が可能です．ただ，実際は htpasswd を編集しているだけですので Apache の htpasswd を直接実行する形でも問題はないと思います．
ここではせっかくですので PHPki 上から実施する方法を解説します．

htpasswd ファイルのオーナ・グループの変更

これも不具合の一つですが，普通にセットアップを進めると htpasswd ファイルのオーナが root となり，管理画面経由での修正が行えません．従いまして，管理画面経由でのユーザ情報修正を行う場合事前準備が必要となります．

SSH などでコンソールアクセスし，パスワードファイルを修正しましょう．
パスワードファイルは「PHPki で簡単証明書運用 (1) 【PHPki の修正と導入 (修正版)】」での「Enter the location of your PHPki password (i.e. /etc/phpkipasswd):」で入力したパスになります．

分からなくなってしまった場合は，PHPki を展開したディレクトリ以下の /ca/.htaccess などを開いて確認する事が可能です．
.htaccess の AuthUserFile 行にあるファイルパスがパスワードファイルとなります．

このファイルを Apache 実行ユーザ (www など) に所有者を変更しましょう．次のような形で chown コマンドを実行してください．

# chown www:www /usr/local/www/phpki-0.83/phpkipasswd

管理画面へのアクセス

証明書の作成と似ていますが，Apacheの Alias で設定した URL に /admin をつけてブラウザでアクセスしてください．証明書の管理の際と同様 Basic 認証のダイアログが表示されますので，ユーザ情報を入力して次に進んでください．
こんな感じのログイントップ画面が表示されれば管理画面アクセスは完了です．

ユーザの追加またはパスワード変更

管理画面メニューの「Add User or Change Password」をクリックすると，ユーザの追加または既存ユーザのパスワード変更を行うことができます．
ユーザ管理画面は次の画面となります．

入力項目は次のとおりとなります．入力項目を全て入力後「Submit」ボタンをクリックして次へ進めてください．

1. UserID
   既存のユーザ名を入力するか，新規ユーザ名を入力します．既存のユーザ名の場合はパスワード変更，新規ユーザ名の場合はユーザ追加となります．
2. Password
   新しいパスワードを入力します．
3. Verify Password
   確認の為，もう一度パスワードを入力します．

ユーザの追加が成功すると，次の画面のような表示となり「Adding password for user [追加のユーザ名]」という表示があります．

また，パスワード変更の場合は次の画面表示で「Updating password for user [変更したユーザ名]」の表示があります．

ユーザの削除

ユーザを削除する場合は管理画面メニューの「Remove User」より行う事ができます．クリックすると次の画面に移動します．

削除したいユーザ名を入力し「Submit」をクリックしてください．削除が成功すると，次の画面表示となり「Deleting password for user [削除したユーザ名]」の表示があります．

ユーザ一覧の表示

作成されているユーザの一覧を表示するには管理画面メニューの「List Password File Contents」より行う事が出来ます．クリックすると次の画面表示となり，ユーザ一覧が表示されます．
正直，htpasswd ファイルそのままですのでやっつけ仕事すぎな気がしています…

CRLの取得

CRL(Certificate Revocation List) 失効した証明書のリストの取得について解説します．

管理画面へアクセス

証明書の作成と同様，Apacheの Alias で設定した URL に /ca をつけてブラウザでアクセスしてください．
こんな感じのログイントップ画面が表示されれば管理画面アクセスは完了です．

CRLの表示

今リストされている一覧をテキストとして表示したい場合は「Update & View the Certificate Revocation List」より確認することが出来ます．クリックすると次のような画面となり，CRL の一覧が表示されます．

CRL はシリアル番号で管理されており「Revoked Certificates」以下にリストされます．実際にこれらシリアル番号はどの証明書だったのかを確認したい場合は管理画面トップの「Manage Certificates」より失効(Revoke) となっている証明書の詳細を確認してください．

CRL のダウンロード

CRL をダウンロードするには「Download the Certificate Revocation List」をクリックする事でダウンロードが行えます．

一般利用者向けのインタフェース

今までは管理者アクセスでの利用を紹介していましたが，認証無しの一般利用者向けのインタフェースも用意されています．一般利用者は表示またはダウンロードのみが可能となっています．

管理インタフェースへのアクセス

証明書の作成と同様，Apacheの Alias で設定した URL にブラウザでアクセスしてください．今までは /ca などをつけていましたが今回はなにもつけません．
こんな感じのログイントップ画面が表示されれば管理画面アクセスは完了です．

各メニューは次のとおりです．

• Search for a Certificate
  作成済みの証明書の検索，表示とダウンロードが出来ます．管理者向けインタフェースでは常に一覧として表示されていましたが，一般向けインタフェースでは検索よりマッチしたものだけの表示となります．
• Download Our Root Certificate
  CA 証明書のダウンロードが出来ます．
• Display Our Root Certificate (PEM Encoded)
  PEM 形式でエンコードされた CA 証明書を表示します．
• Download Our Certificate Revocation List
  CRL をダウンロードできます．

証明書の検索，表示，ダウンロード

作成済みの証明書の検索と，マッチした証明書の表示またはダウンロードを行うには「Search for a Certificate」を利用します．クリックすると次のような検索画面が表示されます．

検索バーに証明書の名前を入力し「Find It!」をクリックすると，入力と一致した証明書が次のような画面で一覧で表示されます．

虫眼鏡アイコンをクリックする事で詳細の表示，ダウンロードアイコンをクリックすることでダウンロードが行えます．

セキュリティ上の懸念ですが，これら証明書はパスワードで保護されていますので，これ自体が流出してもパスワードが漏れない限りは不正利用が出来ない．という事でこの実装にしているものと思われます．

CA 証明書のダウンロード

CA 証明書をダウンロードしたい場合は「Download Our Root Certificate」より行えます．クリックすると通常のブラウザの場合証明書のインストールを促されると思います．ファイルとして取得したい場合は右クリックからリンク先ファイルのダウンロードを行ってください．

CA 証明書の表示

CA 証明書を PEM 形式で表示するには「Display Our Root Certificate (PEM Encoded)」より行えます．クリックすると次のような PEM 形式で出力された画面が表示されます．

CRL のダウンロード

CRL をダウンロードするには「Download Our Certificate Revocation List」より行えます．クリックするとファイルダウンロードが開始されます．

以上，若干駆け足で進んだ部分もありますが，PHP で証明書管理を行うソフトウェア PHPki の紹介となります．
導入部分の不具合などを修正した改変バージョンを今作成中ですので，そのうち公開したいと思っています．

お付き合いありがとうございました．

管理画面へアクセス

証明書の作成と同様，Apacheの Alias で設定した URL に /ca をつけてブラウザでアクセスしてください．この画面は以前もアクセスしていると思いますので，認証を通過しログイントップより解説します．
こんな感じのログイントップ画面が表示されれば管理画面アクセスは完了です．

証明書の管理

管理画面メニューの「Manage Certificates」をクリックすると，証明書の管理を行うことができます．
証明書管理画面は次の画面となります．

右側に4つのアイコンが用意されており、それぞれ次の作業で使用します．

1. 虫眼鏡
   選択した証明書の詳細内容を表示する
2. ダウンロード
   選択した証明書を証明書形式を指定してダウンロードする
3. 無効化・失効
   選択した証明書を失効させ，証明書失効リストに失効情報を記載する
4. 更新
   選択した証明書の有効期限を更新する

証明書の詳細内容を表示する

「虫眼鏡アイコン」をクリックすると、次のように詳細情報を表示できます．

管理画面のトップで表示されるサマリはあまり多くの情報が載っていませんので，証明書の失効や更新を行う前にここで詳細情報を確認しましょう．
主な確認ポイントは次のとおりになるかと思います．

• Serial Number

この画面上では「1048578 (0x100002)」が該当します．通常は意識することはありませんが，失効した場合のCRL(証明書失効リスト)は失効した証明書のシリアル番号で管理されますので，失効させたい場合は意識した方が良いでしょう．

• Issuer

PHPki で管理している以上，PHPki の Root CA が載りますので，これも通常意識する必要はありませんが，きちんと PHPki の Root CA で署名されていることを確認しておきましょう．

• Certificate purposes

証明書の種類がここでわかります．SSLサーバ証明書の場合は「SSL Server」と「Netscape SSL Server」が「Yes」になります．
証明書を多数管理すると，場合によっては同じホスト名で複数の証明書を作成することになります．その場合，失効，更新を行う際に間違って意図しない証明書を操作してしまう可能性が出てきますので，実施しようとしている証明書なのか，必ず確認しましょう．

参考までに，Certificate purposes はこのような形でリストされています．

SSL client : No
SSL client CA : No
SSL server : Yes
SSL server CA : No
Netscape SSL server : Yes
Netscape SSL server CA : No
S/MIME signing : No
S/MIME signing CA : No
S/MIME encryption : No
S/MIME encryption CA : No
CRL signing : No
CRL signing CA : No
Any Purpose : Yes
Any Purpose CA : Yes
OCSP helper : Yes
OCSP helper CA : No

証明書のダウンロード

「ダウンロード」アイコンをクリックすると，このような画面に移動します．

証明書作成時に PEM 形式でダウンロードすることが出来ましたが，ダウンロードを忘れた場合や他の形式でダウンロードしたい場合，ここから実施します．ダウンロード出来る証明書タイプは次のとおりです．

• PKCS#12 Bundle

PKCS#12 は IIS や Java の証明書として利用される形式で，秘密鍵と証明書を１つのファイルに格納する形式です．Apache では扱えません．Apache で扱うには PKCS#12 を PEM に変換する必要がありますので，最初から PEM で取得したほうがはやいです．

• PEM Certificate

PEM 形式の証明書です．ダウンロードするファイルには証明書のみが含まれます．

• PEM Key

PEM 形式の秘密鍵 (Private Key) です．ダウンロードするファイルには秘密鍵のみが含まれます．

• PEM Bundle

PEM 形式の秘密鍵と証明書です．ダウンロードするファイルには秘密鍵，証明書の順番で含まれます．

• PEM Bundle w/Root

PEM 形式の秘密鍵と証明書，および CA 証明書が含まれます．ダウンロードするファイルには秘密鍵，証明書，CA 証明書の順番で含まれます．

PKCS#12 は形式として秘密鍵と証明書がセットになっていますので悩む必要はないとおもいますが，PEM 形式は無駄に複数の方法があります．こちらは利用形態に合わせてダウンロードすることになります．
一番手っ取り早いのは「PEM Bundle w/Root」でダウンロードすることです．秘密鍵と証明書を分けたい．という場合は必要に応じて，後でファイルを分割することで対応が出来ますので，都度取得や配布の手間がありません．

また，運用として秘密鍵と証明書を明示的に分けて依頼者に渡したい．というような場合は「PEM Certificate」と「PEM Key」のそれぞれをダウンロードして提供する．という形になります．

最終的にはどのような運用を行うのか．を検討したうえでダウンロード方法を決定して頂ければ問題はないでしょう．

証明書の失効

「失効」アイコンをクリックすると，このような画面が表示されます．

単純明快で「Yes」もしくは「Cancel」しかありません．当然「Yes」をクリックすると失効してしまいます．

しかし，理解しておく必要がある点として，失効したからといってもその失効した証明書が有効なのか無効なのかをリアルタイムにクライアントは判断できません．
CRL(証明書失効リスト) をクライアントに配布するか，各自取得してもらうか．などのアクションを取って明示的にCRLを更新するまでは，有効なものとして扱われます．

従って，どのようにCRLの更新を行うのか．の運用方法はあらかじめ検討しておく必要があります．

とは言え，後述の「証明書の更新」に詳細を書きますがリアルタイムで CRL の更新・配布する仕組みを作ってしまうと PHPki の場合は運用が破たんしてしまいます…

証明書の更新

「更新」アイコンをクリックすると，このような画面が表示されます．

「Certificate Password」に証明書作成時のパスワード(CA 証明書ではなく，更新する証明書のパスワード)を入力，「Certificate Life」で更新する有効期間を選択し「Submit Request」ボタンをクリックすることで期限が更新された証明書が作成されます．

注意点として，新しい証明書が作成された段階で既存の証明書は失効されてしまいます．従ってCRL(証明書失効リスト)をどのように配布するのか．をあらかじめ検討しておく必要があります．

また，合わせて注意しなければならない点があります．
本当に注意する必要があると思いましたので，大きくしてみました…

間違ったパスワードを入力して証明書の更新を試みた場合，新しい証明書が作成出来ないのは当然として，既存の証明書も失効されてしまいます．

ですので，その場合はあらためてすぐに，失効した証明書から更新をかけて正しい証明書を作成する必要があります．
その為，上述の「証明書の失効」のところでリアルタイムにCRLを更新・配布する仕組みがあると破たんすると書いています…

この動きはどうなんだ? と思うのですが…

以上，証明書の管理でした．次は CRL と PHPki のアカウント管理ついて書こうと思います．

管理画面へアクセス

Apacheの Alias で設定した URL に /ca をつけてブラウザでアクセスしてください．多分こんな形で Forbidden になると思います．

どのような形でも良いので HTTPS アクセスが可能な Web Server 環境であれば https://[サーバ名 or アドレス]/phpki/ca の形で SSL アクセスすると次のような認証画面が表示されます．

ここのユーザ，パスワードは「secure.sh」実行時に指定したユーザ名とパスワードを入力してください．認証が成功するとこのようなトップ画面が表示されます．

Web サーバの SSL 設定は，PHPki で証明書を作ってからやるんだ!! という方は .htaccess ファイルを修正して一時的に SSL(HTTPS) ではなく，通常の HTTP アクセスを可能なように設定しましょう．

PHPki のソースを展開したディレクトリ以下に ca というディレクトリがあります．この ca ディレクトリ以下に .htaccess ファイルがありますので，このファイルを修正します．修正は簡単で，一番下の行の SSLRequreSSL をコメントアウトします．

AuthName "Restricted Area"
AuthType Basic
AuthUserFile "/usr/local/www/phpkipasswd-master"
require valid-user
SSLRequireSSL

を

AuthName "Restricted Area"
AuthType Basic
AuthUserFile "/usr/local/www/phpkipasswd-master"
require valid-user
#SSLRequireSSL

に変更します．

修正後あらためてブラウザでアクセスしてください．HTTP でも認証画面が表示され，認証が成功すると上述の管理画面トップが表示されます．

署名されたサーバ証明書を作成する

さて，いよいよ本題です．
管理画面トップの「Create a New Certificate」をクリックしてください．クリックすると「Certificate Request Form」画面に移動します．

ここから必要項目を入力していくのですが，アスタリスク(＊) が付いている項目は必須項目です．全部についています…
じゃぁ，全て必須項目って注釈で良いじゃないか!! と思いつつ，各項目を入力して行きましょう．

• Common Name

証明書を発行するサーバのホスト名を FQDN で入力します．たとえば，www.seichan.org 等です．

Tip として，ワイルドカード証明書を作る場合は *.seichan.org など，ホスト名部分をアスタリスク(*) にすることで作成出来ます．
利用頻度は低いと思いますが，IPアドレスを入力して設定することも可能です．アドレスが変わるということは良くある話ですので…

• E-mail Address

証明書を発行するサーバの管理者のメールアドレスを入力します．証明書内に埋め込まれますので外部に公開する場合などでは，恥ずかしいアドレスは避けましょう．

• Organization (Company/Agency)

組織名，通常は会社名の英文字正式名称を入力します．

• Department/Unit

所属名や部署名を英文字で入力します．OpenSSLで証明書を作成する際の Organizational Unit Name になります．

• Locality (City/County)

市町村名を英文字で入力します．

• State/Province

都道府県名を英文字で入力します．

• Country

2文字の国コードを入力します．日本の場合は「JP」です．

• Certificate Password

この証明書のパスワードを設定します．Root CA パスワードや，管理画面アクセス用のパスワードでは無いので注意してください．

• Certificate Life

証明書の有効期限を選択します．Root CA 証明書でも書きましたが，あまり長いのも本来は良くないことですので適切な有効年数を指定してください．

• Key Size

鍵長を選択します．大きいサイズの方が暗号強度が高いという事になります．Root CA と同等か一段低い程度で十分かと思います．

• Certificate Use

一番重要な箇所です．証明書を作成するにあたっての利用用途を選択します．Web サーバなどの SSL 証明書であれば「SSL Server」を選択してください．下に選択項目と利用用途を表としてまとめましたので，よろしければ合わせてご参照ください．

「SSL Server」を選択した場合，追加で2つの入力フォームが出現します．

• Alternative DNS Names

「Common Name」で入力したFQDN以外でも同じ証明書を利用したい場合はここに1行 1FQDN で入力します．上でワイルドカード署名書についてふれましたが，ワイルドカードだと範囲が広すぎる場合が多い為，ここのフィールドで必要分のみ設定した方がセキュアです．

• IP’s

「Common Name」で入力したIPアドレス以外でも同じ証明書を利用したい場合はここに1行 1IPで入力します．

入力が完了したら「Submitt Request」ボタンをクリックしてください．

続いて入力内容の確認画面へ移りますので，入力内容の確認後問題があれば「Go Back」ボタンを，問題が無い場合は「Yes! Create and Download」ボタンをクリックします．

「Yes! Create and Download」ボタンをクリックした後は内部的に証明書が作成，署名されます．その後，ブラウザのダウンロード画面が表示されますのでダウンロードしてください．

証明書のパスワード除去

先ほどダウンロードした証明書は当然そのまま利用可能です．ですが，パスワードが埋め込まれている為，証明書を利用する (Apache などの) サービスやデーモンを起動させる際，毎回パスワード入力が必要となります．
パスワード入力を行う方が安全なことは間違いないのですが，それは知っているけど楽したい!! という方はパスワードを除去しちゃいましょう．

パスワードの除去は PHPki では出来ないため，openssl コマンドで実施します．次のようなコマンドでパスワードを除去できます．

openssl rsa -in www.seichan.org.pem -out www.seichan.org_nopwd.pem
Enter pass phrase for www.seichan.org.pem: [パスワード]

この場合パスワード有りの証明書ファイル「www.seichan.org.pem」からパスワードを除去し，「www.seichan.org_nopwd.pem」として証明書を作成しています．パスワード無しの証明書を使用するよう，ソフトウェアの設定を変更してください．

証明書とRSA秘密鍵の分離

先ほどダウンロードした証明書はRSA秘密鍵とサーバ証明書がひとつのファイルに収められています．このまま利用することが可能なソフトウェアではそのまま利用しても問題はありません．ただ，分離して管理したい場合や，ひとつのファイルに纏められていると利用できないソフトウェアの場合は分離する必要があります．
これは通常のエディタで対応することが可能です．
「—–BEGIN RSA PRIVATE KEY—–」から始まりその直後の「—–END CERTIFICATE—–」までが RSA秘密鍵となり，「—–BEGIN CERTIFICATE—–」から「—–END CERTIFICATE—–」までがサーバ証明書になります．

これらの区切り文字を含んだ形でそれぞれのファイルとして保存することで分離出来ます．長くなるので間を端折りますが，次のような形のファイルを作成するということです．

• RSA秘密鍵

-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: DES-EDE3-CBC,D8B9BA859B623F2E
qBlaPoF5ludJ1Fta8fhgH1BZOVMV1VDN+m+EXM2R5mepam6WSuFfJXZBaJLaokPK
kwLCkpVdpzAXBxkOZJ8IevENqa0+hSR0N0jNsP3uK6cKtkkMgvkeGYRTpN36YNPc
....
XRptZ7V5dYEw2IUD7v/4qnM1mLxRLH6HLgI4iiY73XVXgfIsgfeNkh3C+g5v/Je4
-----END RSA PRIVATE KEY-----

• サーバ証明書

-----BEGIN CERTIFICATE-----
MIIG9jCCBd6gAwIBAgIDEAABMA0GCSqGSIb3DQEBDQUAMIG0MQswCQYDVQQGEwJK
UDEOMAwGA1UECBMFVG9reW8xEjAQBgNVBAcTCVNoaW5hZ2F3YTEcMBoGA1UEChMT
U2VpY2hhbiBIb21lIFNlcnZlcjEeMBwGA1UECxMVQ2VydGlmaWNhdGUgQXV0aG9y
...
Y0sfGwIhmoxAbNNKLN0uuRI/Us0T4Yils4yE
-----END CERTIFICATE-----

証明書種別のまとめ

付録として，各証明書種別の詳細な説明が記載されているサイトの URL をリンクしました．

なぜ「VPN Client Only」と「VPN Server Only」および「VPN Client, VPN Server」の説明サイトが同じ場所を指しているか．ですが，単純に PHPki のコード上，これら3つの処理の違いが無いからです…
単純にわかりやすいように名前を分けたのか，何か意図があって分けているのかが不明です…

以上，サーバ証明書を作る．でした．次回はそれら証明書の管理についてふれたいと思います．

RootCA 証明書を作成する

Apacheの Alias で設定した URL にブラウザでアクセスすると，こんなトップ画面が表示されますので，画面右上の「Setup」をクリックしてください．

すると，次の画面の「Certificate Authority Initial Setup」が表示され，ここで RootCA の必要情報を入力して行きます．

入力項目と各項目の説明は次のとおりです．

• Organization

組織名，通常は会社名の英文字正式名称を入力します．
なお，GlobalSign の Root CA の場合「GlobalSign」が入力されています．

• Department/Unit

所属名や部署名を英文字で入力します．OpenSSLでの自己認証局を作成する際の Organizational Unit Name になります．
なお，GlobalSign の Root CA の場合「GlobalSign Root CA – R3」等が入力されています．

• Common Name

認証局の名前を英文字で入力します．サーバ証明書では無いのでここはホスト名(FQDN)である必要はありません．むしろ，証明書の表示をした際にわかりやすい名前にすべきです．
GlobalSign の Root CA の場合「GlobalSign」が入力されています．

• Technical Contact E-mail Address

認証局を管理する所属が持つメールアドレスを入力します．PHPkiはメールアドレスの正当性を正規表現でチェックしていますので，正しいメールアドレス形式で入力してください．

• Locality

市町村名を英文字で入力します．

• State/Province

都道府県名を英文字で入力します．

• Country

2文字の国コードを入力します．日本の場合は「JP」です．

• Password

当然パスワードを入力します．このパスワードは今後サーバ証明書の署名等で利用しますので，推測しづらいけれど使いやすいパスワードが理想です．

• Certificate Life

Root CA 証明書の有効年数を選択します．あまり長いのも本来は良くないことですので適切な有効年数を指定してください。
とはいえ，大体は自己認証局って長めで作っちゃいますよね…

• Key Size

鍵長を選択します．大きいサイズの方が暗号強度が高いという事になりますが，2048bit もあれば十分じゃないでしょうか

• Certficate Authority Base URL

認証局の URL を入力します．URL は最後に / (スラッシュ) で終える必要があります．今現在アクセスしている URL を入力で問題はありません．

• Certificate Authority CRL Distribution Points

CRL (失効した証明書のリスト) を配布するポイントを入力します．上述の Base URL からの続きを入力するのですが，デフォルトのままで問題ありません．

• Certificate Authority Revocation Check URL

証明書の失効を確認する為の URL を入力します．こちらも上述の Base URL からの続きを入力するのですが，デフォルトのままで問題ありません．

• Certificate Authority Policy URL

認証局のポリシー (ステートメント・声明) を記載した URL を入力します．こちらも上述の Base URL からの続きを入力します．デフォルトのままで問題ありません．

• Root Certificate Comment
• Email Certificate Comment
• Email/Signing Certificate Comment
• SSL Server Certificate Comment
• Time Stamping Certificate Comment

ルート証明書，電子メール証明書などのコメント属性に埋め込む文字列を入力します．英文字で好きな文字列を入力してかまいません．以上が認証局の証明書等の入力項目となります．次に，保存場所等のシステム情報を「Configuration Options」に入力していきます．

• Storage Directory

証明書などのファイルを保存する場所を入力します．Apache Web Server の DocumentRoot の外 (Web ブラウザでアクセスが出来ない場所) を指定しましょう．ここで入力したディレクトリはあらかじめ作成しておく必要があります．
また，作成したディレクトリは，Web Server のユーザ権限で読み書き出来るように，ディレクトリオーナーを Apache 動作ユーザに変更します (chown www など)．また，他のユーザがアクセス出来ないようにパーミッションを絞ってください (chmod 700)．

• Location of OpenSSL Executable

openssl コマンドのパスを入力します．which openssl で表示されるパス名を入力しましょう．殆どの場合はデフォルトで大丈夫です．

• Enter the location of your PHPki password

前に「secure.sh」を実行した時に入力したパスワードファイルのパスを入力します．secure.sh で入れているのにここで入力させる意味がぶっちゃけ良くわかりません．なんで統合していないのか…

• File Upload Prefix

ここでプレフィックスを指定すると，ファイルをアップロードする際に必要であればプレフィックスを付けることが出来ます．複数の認証局を運用している場合などの環境では，どの認証局で署名したかわかりやすくなるとは思います．

• Page Header Title

PHPki のページヘッダのタイトルを設定します．英文字で好きな文字列に変更してかまいません．

• Help Document Contact Info

ヘルプページに埋め込む問い合わせ先情報を入力します．こちらも好きなように入力して構いません．

以上でシステムの設定項目も終了です．「Submit」ボタンをクリックするとこれら入力項目が反映され，Root CA 証明書が作成されます．
「Submit」をクリックする前にディレクトリの作成を忘れないようにしましょう．正しく処理が完了すると次の画面が表示されます．「Procceed To The PHPki Main Menu」ボタンをクリックすると，PHPki トップ画面へ移動します。

トップ画面に移動でき，PUBLIC CONTENT MENU が表示されれば正常です。「Download Our Root Certificate」のリンクをクリックすると先ほど作成した Root CA 証明書がダウンロード出来ます．

今回も長くなってしまったので，次回にまわします．次回はようやくサーバ証明書等の発行です．

証明書を管理するのって大変ですよね．openssl のコマンドってよく使うコマンド群ではないので覚えづらいのと，作った物の管理もしづらかったり．
そんな怠惰な人にぴったりなのが「PHPki (PHPki Digital Certificate Authority)」です．PHPki は PHP で作成されている OpenSSL の Web フロントエンドです．
リンクしている大本のサイトにライブデモがありますので，どんなもんかちらっと見て頂ければと．
今回は，PHPki の導入と使い方を纏めたいと思います．利用開始までの手順がちょっと面倒なので備忘録を兼ねて…

ダウンロードとインストール

PHPki は Sourceforge で配布されています．「http://sourceforge.net/projects/phpki/」にアクセスしてダウンロードすることが可能です．最新版は 2014/01/30 現在 phpki-0.83.tar.gz なのですが，これが結構不具合があることがわかりました．

したがって，Sourceforge からのダウンロードではなく GitHub 「https://github.com/radicand/phpki」から最新のコードを取得することをお薦めします．
GitHub の画面右側に「Download ZIP」がありますので，これをクリックする事で最新のソースを zip 化してダウンロードすることが可能です．ファイル名は master.zip になります．

取得したら Web サーバ上で展開します．Seichan の環境だと Ports で導入した Apache が動いていて，こういった物は /usr/local/www 以下において httpd.conf で Alias を設定する感じですので，例はそのような形で書きます．
RHEL 系の Linux だと /var/www とかだったと思いますが，そのあたり配置は自由です．

# cd /usr/local/www
# unzip /home/seichan/master.zip
Archive:  /home/seichan/master.zip
d phpki-master
 extracting: phpki-master/.htaccess
 extracting: phpki-master/CHANGELOG
 extracting: phpki-master/LICENSE.TXT
 extracting: phpki-master/Makefile
 extracting: phpki-master/README.md
 extracting: phpki-master/TODO
 extracting: phpki-master/about.php

Seichan の環境の場合は，先に書いたとおり Apache の Alais 設定ファイルとして /usr/local/etc/apache22/Includes 以下にファイルを作成します．
AllowOverride all は PHPki の Readme に記載されていますのでその通り追加しています．

Alias /phpki083 "/usr/local/www/phpki-master"
<Directory "/usr/local/www/phpki-master">
  Options none
  AllowOverride all
  Order Deny,Allow
  Allow from all
</Directory>

以上が完了したら，ブラウザでアクセスし，正常に表示されるところまで確認してください．
よくある PHP 関連のソフトウェアは，この後ブラウザでアクセスして設定．という形なのですが，残念ながらこのままアクセスしてもうまく動作しませんので，以下の作業を続けて行います．

Makefile を修正して make distclean を実行する

Linux の場合は修正の必要が無いかもしれません．次の2つの行 (32行目，34行目) の chown の個所を修正します．

修正前

find . ! -type d -follow -exec chown $(UID).$(GID) {} \;
find . -type d -follow -exec chown $(UID).$(GID) {} \;

修正後

find . ! -type d -follow -exec chown $(UID):$(GID) {} \;
find . -type d -follow -exec chown $(UID):$(GID) {} \;

修正が終わったら，make distclean を実行します．

# make distclean
find . -name .*.swp -follow -exec rm -f {} \;
find . -name test.php -exec rm -f {} \;
find . -name phpinfo.php -exec rm -f {} \;
find . -name "deleteme*" -exec rm -f {} \;
find . -name "newcert*.???" -exec rm -f {} \;

なぜ先に make distclean を行うのか．という理由ですが，zip を展開しただけの状態では .htaccess の構文が間違っている他，パーミッションの初期化をしてくれるからです．
これを実行しないと後々ハマることになるので必ず実施しましょう．

PHP ファイル群を修正する

phpki-0.83 と違ってそんなに数はないのですが，一部 PHP 開始タグが <?php ではなく <? と，short_open_tag が有効なことを想定した記述があります．
実行する環境で short_open_tag が有効であれば問題はありませんが，無効な環境の場合，各ファイルを書き換えるか short_open_tag を有効にしてあげてください．先に修正した .htaccess に次の一文を追加してあげれば short_open_tag の対応が完了となります．

php_flag short_open_tag on

ファイルを修正したい．という人は次のファイルを修正してください．

• help.php の9行目から12行目

<a href=<?=BASE_URL?>help/PKI_basics.html><h3>PKI and E-mail Encryption- A Brief Explanation</h3></a>
<a href=<?=BASE_URL?>help/cacert_install_ie.html><h3>Installing Our Root Certificate For Use With Outlook and Outlook Express</h3></a>
<p><a href=<?=BASE_URL?>help/usercert_install_ie.html><h3>Installing Your Personal E-mail Certificate For Use With Outlook and Outlook Express</h3></a>
<p><a href=<?=BASE_URL?>help/glossary.html><h3>Glossary</h3></a>

を

<a href=<?php echo BASE_URL?>help/PKI_basics.html><h3>PKI and E-mail Encryption- A Brief Explanation</h3></a>
<a href=<?php echo BASE_URL?>help/cacert_install_ie.html><h3>Installing Our Root Certificate For Use With Outlook and Outlook Express</h3></a>
<p><a href=<?php echo BASE_URL?>help/usercert_install_ie.html><h3>Installing Your Personal E-mail Certificate For Use With Outlook and Outlook Express</h3></a>
<p><a href=<?php echo BASE_URL?>help/glossary.html><h3>Glossary</h3></a>

• help.php の14行目

<?

を

<?php

• about.php の13行目

Web application for managing a <a href=<?=BASE_URL?>help/glossary.html#PKI target=help/glossary>

を

Web application for managing a <a href=<?php echo BASE_URL?>help/glossary.html#PKI target=help/glossary>

• ca/help.php の367行目

<?=$config[getting_help]?>

を

<?php echo $config[getting_help]?>

• ca/help.php の371行目

<?

を

<?php

• ca/request_cert.php の362行目，366行目

<td>Alternative DNS Names<br>(only one per Line)</td><td><textarea name=dns_names cols=30 rows=5><?= htvar($dns_names) ?></textarea></td>
<td>IP's<br>(only one per Line)</td><td><textarea name=ip_addr cols=30 rows=5><?= htvar($ip_addr) ?></textarea></td>

を

<td>Alternative DNS Names<br>(only one per Line)</td><td><textarea name=dns_names cols=30 rows=5><?php echo htvar($dns_names) ?></textarea></td>
<td>IP's<br>(only one per Line)</td><td><textarea name=ip_addr cols=30 rows=5><?php echo htvar($ip_addr) ?></textarea></td>

root ユーザで secure.sh を修正してから実行

展開したディレクトリ直下に secure.sh というファイルがあります．実行したいところではあるのですが，一番大事なところが間違っているので修正します．

• secure.sh の65行目

user=${x:-apache}

を

owner=${x:-apache}

修正後，secure.sh を実行します．ただ，残念ながら(?) /bin/bash と先頭行に記載されています．ただ，/bin/bash ではなく /bin/sh でも動作しますので，bash が未導入の環境の場合は先頭行を /bin/sh に変更して実行してください．

実行すると以下のような表示とともに，次の確認・入力項目が現れます．それぞれ環境に合わせて入力してください．

• Enter the location of your PHPki password (i.e. /etc/phpkipasswd):

パスワードファイルをどこに作るか聞かれますので，パスを指定します．本環境の場合，Apache の DocumentRoot 以外に展開して Alias で設定をしていますので，展開したディレクトリ (/usr/local/www/phpki-0.83/phpkipasswd) の一つ上のディレクトリにパスワードファイルを作成しています．

• Enter a user id:
• New password:
• Re-type new password:

管理者アカウント名を入力します．普段使いの管理者ユーザ名を指定してください．Seichan はとりあえず admin としています…
また，パスワードの入力も聞かれますので，2回入力してください．

• See the README file for more information about the ‘pkiadmin’ user.
• New password:
• Re-type new password:

いまいち理由がわからないのですが，デフォルトで pkiadmin というユーザも作成されます．これのパスワードも設定してください．

• Enter the user ID your web server runs as [apache]:
• Enter the group ID your web server runs as [apache]:

Apache Web Server が動作するユーザID/グループID の指定が促されます．FreeBSD だと www というアカウントが Web Server 用アカウントですので www と指定していますが，これは環境に合わせてください．

• Enter the IP or subnet address [192.168.0.0/16] which will be allowed access to the user admin module in under ./admin:

admin という URL/ディレクトリ以下へのアクセスを許可するネットワークを指定してください．admin 以下の URL にアクセスして証明書の作成等を行いますので，許可している所からのアクセスに留めることが必要です．

通しで実行した結果を以下に貼り付けます．

# ./secure.sh

This application is designed to be an easy to use "certificate factory"
requiring minimum human intervention to administer.  It is intended for
use within a trusted INTRAnet for the creation and management of x.509
e-mail digital certificates by departmental managers.  IT IS NOT INTENDED
FOR USE OVER THE INTERNET.

This application stores private keys within a sub-directory, making them
potentially susceptible to compromise.  Extra care has been taken in the
design of this application to protect the security of your certificates,
on the condition that you INSTALL IT AS THE ROOT USER.  However, no
software is 100% secure.

Enter the location of your PHPki password (i.e. /etc/phpkipasswd): /usr/local/www/phpki-0.83/phpkipasswd

The file you specified does not yet exist.
Let's create it and add your first user.
Enter a user id: admin
Creating the admin user account...
New password:
Re-type new password:
Adding password for user admin
Creating the administrator account...
See the README file for more information about the
'pkiadmin' user.
New password:
Re-type new password:
Adding password for user pkiadmin

Enter the user ID your web server runs as [apache]: www

Enter the group ID your web server runs as [apache]: www

Enter the IP or subnet address [192.168.0.0/16] which will be allowed access
to the user admin module in under ./admin: 192.168.0.0/16

Working...
Done.

ベタな設定はこれで完了で，以降は Web アクセスして実施可能となります．キリが良いところになったので，次回にまわします…

以下はログとしておいてありますが，まったく参考になりません…

証明書を管理するのって大変ですよね．openssl のコマンドってよく使うコマンド群ではないので覚えづらいのと，作った物の管理もしづらかったり．
そんな怠惰な人にぴったりなのが「PHPki (PHPki Digital Certificate Authority)」です．PHPki は PHP で作成されている OpenSSL の Web フロントエンドです．
リンクしている大本のサイトにライブデモがありますので，どんなもんかちらっと見て頂ければと．
今回は，PHPki の導入と使い方を纏めたいと思います．利用開始までの手順がちょっと面倒なので備忘録を兼ねて…

ダウンロードとインストール

PHPki は Sourceforge で配布されています．「http://sourceforge.net/projects/phpki/」にアクセスし，最新の tarball を取得してください．
# 最新のといっても，phpki-0.83.tar.gz が最新だと思いますし，0.83 は 2011/12 に公開されたようですので，だいぶ経っちゃっていますが…

取得したら Web サーバ上で展開します．Seichan の環境だと Ports で導入した Apache が動いていて，こういった物は /usr/local/www 以下において httpd.conf で Alias を設定する感じですので，例はそのような形で書きます．
RHEL 系の Linux だと /var/www とかだったと思いますが，そのあたり配置は自由です．

# cd /usr/local/www
# tar xvf /home/seichan/phpki-0.83.tar.gz

Seichan の環境の場合は，先に書いたとおり Apache の Alais 設定ファイルとして /usr/local/etc/apache22/Includes 以下にファイルを作成します．
AllowOverride all は PHPki の Readme に記載されていますのでその通り追加しています．

Alias /phpki083 "/usr/local/www/phpki-0.83"
<Directory "/usr/local/www/phpki-0.83">
  Options none
  AllowOverride all
  Order Deny,Allow
  Allow from all
</Directory>

よくある PHP 関連のソフトウェアは，この後ブラウザでアクセスして設定．という形なのですが，残念ながらこのままアクセスしてもうまく動作しませんので，以下の作業を続けて行います．

php.ini を修正する

PHPki は POST メソッドで結構大きいデータを流します．その為，register_long_arrays が有効である必要がありますので必要に応じて register_long_arrays を On にしてください．

register_long_arrays = On

.htaccess を正しく修正する

展開したディレクトリ直下に .htaccess ファイルが作成されていますが，このファイルの書式が正しくありません．
元のファイルはこの様な形で記述されていると思います．

-e Options FollowSymLinks
-e php_flag register_globals off
-e php_flag register_long_arrays on
-e AddType application/x-x509-ca-cert .crt  .pem
-e AddType application/pkix-crl    .crl
-e AddType application/pkix-cert   .cer .der

上述の設定を下の記述に修正してください．

Options FollowSymLinks
php_flag register_globals off
php_flag register_long_arrays on
AddType application/x-x509-ca-cert .crt  .pem
AddType application/pkix-crl    .crl
AddType application/pkix-cert   .cer .der

PHP ファイル群を修正する

良い/悪いの判断はおいておいて，PHP 開始タグが <?php ではなく <? と，short_open_tag が有効なことを想定した記述があちこちにあります．ですので，実行する環境で short_open_tag が有効であれば問題はありませんが，無効な環境の場合，各ファイルを書き換えるか short_open_tag を有効にしてあげてください．先に修正した .htaccess に次の一文を追加してあげれば対応が完了となります．

php_flag short_open_tag on

root ユーザで secure.sh を実行

展開したディレクトリ直下に secure.sh というファイルがありますので，これを実行します．残念ながら(?) /bin/bash と先頭行に記載されています．ただ，/bin/bash ではなく /bin/sh でも動作しますので，bash が未導入の環境の場合は先頭行を /bin/sh に変更して実行してください．

実行すると以下のような表示とともに，次の確認・入力項目が現れます．それぞれ環境に合わせて入力してください．

• Enter the location of your PHPki password (i.e. /etc/phpkipasswd):

パスワードファイルをどこに作るか聞かれますので，パスを指定します．本環境の場合，Apache の DocumentRoot 以外に展開して Alias で設定する流れにしていますので，展開したディレクトリ (/usr/local/www/phpki-0.83/phpkipasswd) 以下にパスワードファイルを作成しています．

• Enter a user id:
• New password:
• Re-type new password:

管理者アカウント名を入力します．普段使いの管理者ユーザ名を指定してください．Seichan はとりあえず admin としています…
また，パスワードの入力も聞かれますので，2回入力してください．

• See the README file for more information about the ‘pkiadmin’ user.
• New password:
• Re-type new password:

いまいち理由がわからないのですが，デフォルトで pkiadmin というユーザも作成されます．これのパスワードも設定してください．

• Enter the user ID your web server runs as [apache]:
• Enter the group ID your web server runs as [apache]:

Apache Web Server が動作するユーザID/グループID の指定が促されます．FreeBSD だと www というアカウントが Web Server 用アカウントですので www と指定していますが，これは環境に合わせてください．

• Enter the IP or subnet address [192.168.0.0/16] which will be allowed access to the user admin module in under ./admin:

admin という URL/ディレクトリ以下へのアクセスを許可するネットワークを指定してください．admin 以下の URL にアクセスして証明書の作成等を行いますので，許可している所からのアクセスに留めることが必要です．

通しで実行した結果を以下に貼り付けます．

# ./secure.sh

This application is designed to be an easy to use "certificate factory"
requiring minimum human intervention to administer.  It is intended for
use within a trusted INTRAnet for the creation and management of x.509
e-mail digital certificates by departmental managers.  IT IS NOT INTENDED
FOR USE OVER THE INTERNET.

This application stores private keys within a sub-directory, making them
potentially susceptible to compromise.  Extra care has been taken in the
design of this application to protect the security of your certificates,
on the condition that you INSTALL IT AS THE ROOT USER.  However, no
software is 100% secure.

Enter the location of your PHPki password (i.e. /etc/phpkipasswd): /usr/local/www/phpki-0.83/phpkipasswd

The file you specified does not yet exist.
Let's create it and add your first user.
Enter a user id: admin
Creating the admin user account...
New password:
Re-type new password:
Adding password for user admin
Creating the administrator account...
See the README file for more information about the
'pkiadmin' user.
New password:
Re-type new password:
Adding password for user pkiadmin

Enter the user ID your web server runs as [apache]: www

Enter the group ID your web server runs as [apache]: www

Enter the IP or subnet address [192.168.0.0/16] which will be allowed access
to the user admin module in under ./admin: 192.168.0.0/16

Working...
Done.

ベタな設定はこれで完了で，以降は Web アクセスして実施可能となります．キリが良いところになったので，次回にまわします…