SSLならセクティゴ・コモドのEV・企業・ドメイン認証

ステップ 1: 環境設定 Google Cloud にログイン:

gcloud auth login

プロジェクトを設定:[PROJECT_ID] を Google Cloud プロジェクト ID に置き換えてください。

gcloud config set project [PROJECT_ID]

API を有効化: Cloud KMS API が有効になっていることを確認:

gcloud services enable
cloudkms.googleapis.com

キーリングの作成:[KEY_RING_NAME] [LOCATION] を希望の値に置き換えてください

gcloud kms keyrings create [KEY_RING_NAME] --location [LOCATION]

暗号鍵の作成:[KEY_NAME] をキー名に置き換えてください。

gcloud kms keys create [KEY_NAME] \
--keyring [KEY_RING_NAME] \
--location [LOCATION] \
--purpose asymmetric-signing \
--default-algorithm rsa-sign-pkcs1-2048-sha256 \
--protection-level hsm

ステップ 3: 認証ファイルの取得

認証ファイルをエクスポートします(Google Cloud コンソール推奨): Google Cloud コンソールのキー管理ページに移動します。 キーリングとキーを選択します。 対象のキーバージョンで「その他」(三点リーダー)をクリックし、「認証を確認」を選択します。 ダイアログで「証明バンドルをダウンロード」をクリックし、証明と証明書チェーンを含む ZIP ファイルを取得します。

代替 CLI 方法:

gcloud kms keys versions describe [KEY_VERSION] \
--key [KEY_NAME] \
--keyring [KEY_RING_NAME] \
--location [LOCATION] \
--format 『value(attestation.format,attestation.content)』 > attestation.txt
[KEY_VERSION] をキーのバージョン(例: 1)に置き換えてください。
このコマンドは認証ファイルをBase64形式で保存します。必要に応じてデコードしてください:

cat attestation.txt | base64 --decode > attestation.bin

注: 認証ファイルは、キーがハードウェアセキュリティモジュール(HSM)に存在することを証明します。

CSR 生成用の簡易ツールを使用する(推奨):

Google Cloud HSM 向けに設計されたオープンソースツールを使用して CSR を生成します。GitHub などのプラットフォームで入手可能な mattes の CSR ユーティリティなどのツールがプロセスを簡素化します。

2. 手動設定ファイル方式: 以下の内容でcsr_config.txtファイルを作成します:

[ req ]
distinguished_name = req_distinguished_name
prompt = no
[req_distinguished name]
C = [COUNTRY]
ST = [STATE]
L = [CITY]
O = [ORGANIZATION]
OU = [ORGANIZATIONAL_UNIT]
CN = [COMMON_NAME]
プレースホルダー(例:[COUNTRY]、[STATE]など)を自身の情報に置き換えてください。

CSRを生成します:

gcloud kms keys versions describe [KEY_VERSION] \
--key [KEY_NAME] \
--keyring [KEY_RING_NAME] \
--location [LOCATION] \
--format 『value(attestation.certificate)』 | base64 --decode > public_cert.pem
openssl req -new -key public_cert.pem -out request.csr -config csr_config.txt
このコマンドでCSRファイルrequest.csrが生成されます。

ステップ5: 認証局へのファイル提出

CSRと認証ファイルの提供: 認証局側に以下のファイルを提出してください:
request.csr
attestation.bin