自己署名証明書を使用した HTTPS の構成

このトピックでは、自己署名証明書を使用して ArcGIS Server で HTTPS を構成する方法を説明します。自己署名証明書を使用して HTTPS を構成する手順は、以下のとおりです。

1. 新しい自己署名証明書を作成します。
2. 証明書を使用するように ArcGIS Server を構成します。
3. 配置された各 GIS サーバーを構成します。
4. サイトで HTTPS を構成します。
5. HTTPS を使用してサイトにアクセスします。
6. OS 証明書ストアに証明書をインポートします。

新しい自己署名証明書の作成

1. https://gisserver.domain.com:6443/arcgis/admin で ArcGIS Server Administrator Directory にログインします。
2. [machines] > [<コンピューター名>] > [sslcertificates] の順に移動します。
3. [generate] をクリックします。
4. このページのパラメーターに値を指定します。

   オプション	説明
   エイリアス	証明書を簡単に識別できる一意の名前。
   Key Algorithm	RSA (デフォルト) または DSA を使用します。
   Key Size	証明書の作成に使用する暗号鍵を生成する際のサイズ (ビット単位) を指定します。鍵のサイズが大きいほど、暗号が破られにくくなりますが、暗号の解読にかかる時間も長くなります。DSA の場合、鍵のサイズは 512 ～ 1,024 で指定します。RSA の場合は、鍵のサイズを 2,048 以上にすることをお勧めします。
   Signature Algorithm	デフォルト (SHA256withRSA) を使用します。組織に固有のセキュリティ制限がある場合は、 SHA384withRSA、SHA512withRSA、SHA1withRSA、SHA1withDSA のいずれかのアルゴリズムを DSA で使用できます。
   Common Name	このフィールドはオプションであり、古い Web ブラウザーやソフトウェアとの下位互換性のために使用されます。サーバー名の完全修飾ドメイン名を共通名として使用することをお勧めします。 サーバーに https://www.gisserver.com:6443/arcgis/ の URL を使用してインターネット経由でアクセスできる場合は、www.gisserver.com を共通名として使用します。 サーバーに https://gisserver.domain.com:6443/arcgis の URL を使用して LAN (ローカル エリア ネットワーク) のみでアクセスできる場合は、gisserver.domain.com を共通名として使用します。
   Organizational Unit	組織単位の名前 (たとえば、GIS 部門)。
   組織	組織の名前 (たとえば、Esri)。
   City or Locality	都市または地域の名前 (たとえば、Redlands)。
   州	都道府県のフル ネーム (たとえば、California)。
   Country Code	国の短縮コード (たとえば、US)。
   Validity	この証明書が有効な日数 (たとえば、365)。
   Subject Alternative Name	SAN (Subject Alternative Name) は、アクセス対象の Web サイトによって提示された SSL 証明書がその Web サイト用に発行されたものであることを検証するために使用されます。 SAN が定義されていない場合、Web ブラウザーは、共通名 (CN) パラメーターを使用して SSL 証明書の検証を試みることができますが、一部の Web ブラウザーは、Web サイトによって提示された SSL 証明書を検証できなかったことを示すエラーを表示する場合があります。SAN フィールドは、複数の値をサポートします。ただし、Web サイトの完全修飾ドメイン名を SAN フィールドに含める必要があります。SAN パラメーター値はスペースを含むことができません。 たとえば、サーバーが主に URL https://www.esri.com を使用してアクセスされる場合、SAN パラメーターを DNS:www.esri.com に設定する必要があります。サーバーが URL https://www.esri.com を使用してパブリックなインターネット上でアクセスされ、URL https://gisserver.esri.com を使用して組織の LAN (ローカル エリア ネットワーク) 内でアクセスされる場合、SAN パラメーターを DNS:www.esri.com,DNS:gisserver.esri.com に設定する必要があります。 SAN パラメーター内でワイルドカード (*.esri.com) を使用することは、サポートされていますが、お勧めしません。同じ証明書が複数の Web サイトまたはサブドメインで使用された場合、次の例に示すように、各 Web サイトまたはサブドメインのリストを SAN パラメーターに入力します。 例: DNS:www.esri.com,DNS:esri.com,DNS:www.esri.ch,DNS:www.esri.rw,DNS:www.esri.de,DNS:maps.esri.com,DNS:support.esri.com,DNS:pro.arcgis.com。

5. [Generate] をクリックして、証明書を生成します。

SSL 証明書を使用するための ArcGIS Server の構成

ArcGIS Server で使用する証明書を指定するには、次の手順に従います。

1. https://gisserver.domain.com:6443/arcgis/admin で ArcGIS Server Administrator Directory にログインします。
2. [machines] > [<コンピューター名>] の順に移動します。
3. [edit] をクリックします。
4. [Web server SSL Certificate] フィールドに、使用する証明書の名前を入力します。
5. [Save Edits] をクリックして、変更内容を適用します。ArcGIS Server サイトが自動的に再起動します。
6. サイトが再起動したら、URL https://gisserver.domain.com:6443/arcgis/admin にアクセスできることを確認します。この URL から応答がない場合、ArcGIS Server は証明書を使用できなかったことになります。ArcGIS Server Administrator Directory (http://gisserver.domain.com:6080/arcgis/admin) にログインします。SSL 証明書をチェックし、新規または別個の証明書を使用するように ArcGIS Server を構成します。
7. 現在のページの [Web server SSL Certificate] プロパティで、適切な証明書が HTTPS で使用されることを確認します。

配置された各 GIS サーバーの構成

ArcGIS Server を複数のコンピューターを使用して配置している場合は、サイトに参加している GIS サーバーごとに新しい自己署名証明書を作成し、作成した証明書を使用するようにその GIS サーバーを構成する必要があります。

サイトでの HTTPS の構成

1. URL https://gisserver.domain.com:6443/arcgis/admin にアクセスできることを確認します。この URL から応答がない場合、ArcGIS Server は指定された証明書を使用できなかったことになります。証明書をチェックし、新規または別個の証明書を使用するように ArcGIS Server を構成します。
2. URL https://gisserver.domain.com:6443/arcgis/admin にアクセスできる場合、[security] > [config] > [update] の順に移動します。
3. [Protocol] パラメーターで [HTTPS Only] オプションを選択して、[Update] をクリックします。

注意:

ArcGIS Web Adaptor がサイトの通信プロトコルの変更を認識するまで、1 分かかります。

レガシー:

10.2.1 以前のバージョンでは、ArcGIS Server の通信プロトコルの更新後に、ArcGIS Web Adaptor を再構成する必要がありました。10.2.2 以降のバージョンでは、この作業は必要なくなりました。

HTTPS を使用したサイトへのアクセス

HTTPS の構成が完了すると、ArcGIS Server はポート 6443 で HTTPS リクエストを待機します。以下の URL を使用して、ArcGIS Server に安全にアクセスできます。

ArcGIS Server Manager	https://gisserver.domain.com:6443/arcgis/manager
ArcGIS Server Services Directory	https://gisserver.domain.com:6443/arcgis/rest/services

注意:

HTTPS が有効になっているときに ArcGIS Server の名前を変更しても、HTTPS を使用して ArcGIS Server へのアクセスを継続できます。ただし、新しい証明書を生成して、ArcGIS Server がこの証明書を使用するように構成する必要があります。

OS 証明書ストアへの証明書のインポート

PrintingTools サービスなどの ArcGIS サービスを HTTPS が有効化された ArcGIS Server で使用するには、サーバーの証明書を信頼された証明書としてインストールする必要があります。

1. ArcGIS Server Administrator Directory にログインします。
2. [machines] → [<コンピューター名>] → [sslcertificates] の順に選択します。
3. ArcGIS Server で使用されている証明書をクリックし、[エクスポート] をクリックします。CA ルート証明書が保存されているコンピューター上の場所に、このファイルを保存します。
4. ArcGIS Server をホストしているコンピューターで <ArcGIS Server installation directory>/arcgis/server/usr ディレクトリに移動して、init_user_param.sh スクリプトをテキスト エディターで開きます。
5. 「export CA_ROOT_CERTIFICATE_DIR=<Location_to_CA_Root_Certificate>」という行を検索し、すべての CA ルート証明書が保存されているシステム上の場所を指定します。指定したディレクトリは、ArcGIS Server のインストールに使用したアカウントからアクセスできる必要があります。シャープ記号 (#) を削除して、行をコメント解除する必要があります。
6. init_user_param.sh スクリプトを保存し、閉じます。
7. ArcGIS Server を再起動します。これを行うには、サイト内の各 GIS サーバー上で startserver.sh スクリプトを実行します。
8. サイトの GIS サーバーごとにこの手順を繰り返します。