１．nginxのクライアント証明書認証設定について

nginx1.15.12でクライアント証明書を使用した認証を行うためには、以下の3つのステップが必要です。

1. サーバ証明書（SSL証明書）をインストールし、SSL通信を有効にします。なお、サーバ証明書は別途用意する必要があります。
2. クライアント証明書を発行した認証局の証明書（CA証明書）をインストールし、nginxがクライアント証明書の要求を行うように設定します。
3. クライアント証明書の失効リスト（CRL）を設定します。

２．SSLサーバ証明書のインストール

1. SSL サーバ証明書と秘密鍵を Web サーバに保存します。
2. nginx.conf 設定ファイルの server セクションにて SSL 通信（443 ポート）の有効化、及び以下のデ ィレクティブで設定します。
   • SSL通信（https）の有効化
   • SSLサーバ証明書の指定→ssl_certificate ディレクティブ
   • SSLサーバ証明書の秘密鍵の指定→ssl_certificate_key ディレクティブ
   （例）

   server { 
     listen 443 ssl; 
     ～～～ 
     ssl_certificate “配置 PATH”/server.crt; 
     ssl_certificate_key “配置 PATH”/server.key; 
   ｝ 

3. nginx 再起動 Web サーバで以下のコマンドを実行し nginx の再起動（設定のリロード）を実行します。 nginx -s reload

３．クライアント証明書認証

3.1. CA証明書の配置

FujiSSLのルート証明書と中間証明書をリポジトリから取得します（後述のAppendix4のルート・中間証明書を使用してください）。これらの証明書は、クライアント証明書認証に必要です。 FujiSSLリポジトリ（https://www.fujissl.jp/repository/）には以下の証明書があります。

ルート証明書：USERTrust RSA Certification Authority.crt
中間CA証明書：FujiSSLRSAClientAuthenticationandSecureEmailCA.crt
CA証明書（fujissl.crt）

3.2. CA 証明書の設定

ssl_client_certificate “配置 PATH”/fujissl.crt 

3.3. クライアント証明書要求を有効化

クライアント証明書要求を有効化するために、nginx.confファイルのserverセクションに以下のディレクティブを設定します。複数のロケーションがある場合は、OR演算子を使用して指定します。また、FujiSSLの発行局および特定の条件に合致する証明書のみを受け付けるように設定します。

server { 
  listen 443 ssl; 
  ～省略（ホスト名、SSL サーバ証明書 等のディレクティブ）～ 
  ssl_verify_client on; 
  ssl_client_certificate 配置 PATH/nra.crt; 
  ssl_verify_depth 3; 
   
    if ($ssl_client_i_dn !~ "CN=FujiSSL RSA Client Authentication and Secure Email CA") {#←証明書発行元が、FujiSSL発行局"  return 403; 
    } 
    if ($ssl_client_s_dn !~ "E="<メールアドレス>" ") { #←O:の値は、証明書発行時のメールアドレス" 
      return 403; 
    } 
   
  ～～～ 省略
}  

４．失効リスト（CRL）の設定

4.1. CRL の取得

4.2. CRL ファイルの設定

4.3. CRL の自動取得＆更新

#!/bin/sh 
cd <<失効リストファイルダウンロードディレクトリ>> 
wget 'http://nijimo.crl.sectigo.com/FujiSSLRSAClientAuthenticationandSecureEmailCA.crl' openssl crl -inform der -in cdp.crl -outform pem -out crl.pem 
cd <<失効リストファイル配置ディレクトリ>> 
rm -f crl.pem 
cp -p /<<失効リストファイルダウンロードディレクトリ>>/crl.pem ./ 
nginx -s reload  

付録１.SSLサーバ証明書のインストール：具体例

・SSL 通信の有効化（A） 
・SSL サーバ証明書の指定→ssl_certificate ディレクティブ（B） 
・SSL サーバ証明書の秘密鍵の指定→ssl_certificate_key ディレクティブ（C） 

server { 
  listen 443 ssl; 
  server_name xxxx; ＃環境に応じて設定 
  ssl_certificate /etc/nginx/temp/server.crt; ssl_certificate_key /etc/nginx/temp/server.key; 
  location / { 
    root /usr/share/nginx/html; 
    index index.html index.htm; 
  } 
  ~~~~（以下省略） 
｝ 

付録２.クライアント証明書認証：設定の具体例

1. CA 証明書を取得し Web サーバに保存します
   • ・CA 証明書ファイル：fujissl.crt
   • ・Web サーバでの保存先ディレクトリ：/etc/nginx/temp
2. 次に、nginx.conf設定ファイルのserverセクションでの設定
   • ・クライアント証明書による認証を有効にする
   • ・FujiSSL RSA Client Authentication and Secure Email CA が発行した証明書のみを受け付けるように設定する
     　　発行局: CN=FujiSSL RSA Client Authentication and Secure Email CA
   • ・条件に合致した証明書は「yourname@example.com」のメールアドレスの証明書のみを受け付けます。
     　　受け付ける証明書の条件: O=yourname@example.com

server { 
  listen 443 ssl; 
  server_name xxxx; #環境に応じて設定 
  ssl_certificate /etc/nginx/temp/server.crt; ssl_certificate_key /etc/nginx/temp/server.key; 
  ssl_verify_client on; 
  ssl_verify_depth 3; 
  ssl_client_certificate /etc/nginx/temp/nra.crt; 

   #環境に応じて設定 
    if ($ssl_client_i_dn !~ "CN=FujiSSL RSA Client Authentication and Secure Email CA"){  return 403; 
    } 
    if ($ssl_client_s_dn !~ "E=yourname@example.com"){  return 403; 
    } 
   
  location / { 
    root /usr/share/nginx/html; 
    index index.html index.htm; 
  } 

~~~~（以下省略） 
｝

付録３．失効リスト（CRL）の設定：具体例

1. Webサーバには、配布ポイントから取得したDER形式の失効リストをPEM形式に変換し、マージしたファイルを保存します。保存先ディレクトリは「/etc/nginx/temp」で、失効リストファイルの名前は「crl.pem」です。crl.pemは、ルート認証局と中間認証局の失効ファイルをPEM形式に変換し、マージしたものです。テキストエディタで開くと、その内容が表示されます。
   • ・失効リストファイル：crl.pem
   • ・Web サーバでの保存先ディレクトリ：/etc/nginx/temp
2. 以下のディレクティブを使用して、nginx.confファイルのserverセクションで設定します。
     ■nginx.conf 設定ファイルの server セクション設定例

   server { 
     listen 443 ssl; 
     server_name xxxx; #環境に応じて設定 
     ssl_certificate /etc/nginx/temp/server.crt; 
     ssl_certificate_key /etc/nginx/temp/server.key; 
     ssl_verify_client on; 
     ssl_verify_depth 3; 
     ssl_client_certificate /etc/nginx/temp/nra.crt; 
      #環境に応じて設定 
     if ($ssl_client_i_dn !~ "CN=FujiSSL RSA Client Authentication and Secure Email CA"){ 
       return 403; 
     } 
     if ($ssl_client_s_dn !~ "E=yourname@example.com"){  return 403; 
     } 
      
     ssl_crl /etc/nginx/temp/crl.pem; 
     location / { 
       root /usr/share/nginx/html; 
       index index.html index.htm; 
     } 
   ~~~~（以下省略） 
   ｝

3. 配布ポイントの失効リストは定期的に更新されます。そのため、以下の手順でスクリプトを作成し、Webサーバの失効リスト（crl.pem）を自動的に取得＆更新するように設定します。
    
   ■スクリプト例

   #!/bin/sh 
   cd /etc/nginx/temp/download 
   wget 'http://nijimo.crl.sectigo.com/FujiSSLRSAClientAuthenticationandSecureEmailCA.crl' openssl crl -inform der -in cdp.crl -outform pem -out crl.pem 
   cd /etc/nginx/temp 
   rm -f crl.pem 
   cp -p /etc/nginx/temp/download/crl.pem ./ 
   nginx -s reload 

   【補足】 「/etc/nginx/temp/download」は、失効リストファイルをダウンロードするためのディレクトリです。スクリプトを実行する前に、このディレクトリを事前に作成してください。