証明書の検証
プールで証明書の検証が有効になっている場合、その管理ネットワーク上のすべてのTLS通信エンドポイントは、機密情報を送信する前に、証明書を使用してピアのIDを検証します。
動作
管理ネットワーク上でXenServer®ホストによって開始される接続では、宛先エンドポイントがそのIDを検証するためにTLS証明書を提供する必要があります。この要件は、プールの一部であるか、またはプールと対話する以下の項目に影響します。
-
プール内のホスト
-
XenCenter®
-
APIを使用するサードパーティクライアント
証明書の検証は、XenServerが提供する自己署名証明書と、信頼された機関によって署名されたユーザーインストール証明書の両方に対応しています。詳細については、「ホストにTLS証明書をインストールする」を参照してください。
プール内の各XenServerホストには、自身を識別する2つの証明書があります。
-
プール内部ID証明書は、プール内のホスト間の通信を保護するために使用されます。プール内の通信には、XenServerは常に自己署名証明書を使用します。
-
サーバーID証明書は、管理ネットワーク上でプールと通信するクライアントアプリケーションに対して、XenServerホストのIDを検証するために使用されます。ホストとクライアントアプリケーション間の通信には、自己署名証明書を使用することも、独自のTLS証明書をホストにインストールすることもできます。
ホストが最初にプールに参加するとき、またはクライアントが最初にプールに接続するとき、プールはその接続を信頼します。この最初の接続中に、プールと参加するホストまたは接続するクライアントの間で証明書が交換されます。このホストまたはクライアントによる管理ネットワーク上でのその後のすべての通信では、証明書が通信に関与する当事者のIDを検証するために使用されます。
すべてのホストとプールで証明書の検証を有効にすることをお勧めします。XenServerホストがプールに正常に参加するには、ホストとプールの両方で証明書の検証が有効または無効になっている必要があります。一方では証明書の検証が有効で、もう一方では無効になっている場合、参加操作は成功しません。XenCenterは、プールまたは参加するホストで証明書の検証を有効にするようアドバイスする警告メッセージを表示します。
証明書の検証が有効になっているプールからホストが離れると、ホストとプールの両方が、互いに関連する証明書を削除します。
Workload Balancing仮想アプライアンスは、証明書の検証とともに使用できます。Workload Balancingの自己署名証明書がXenServerホストにインストールされていることを確認する必要があります。
Conversion Manager仮想アプライアンスはXenServerホストに接続しないため、TLSクライアントエンドポイントとして機能する場合、証明書チェック要件から免除されます。
プールで証明書検証を有効にする
XenServer 8.4以降の新規インストールでは、証明書検証はデフォルトで有効になっています。XenServerまたはCitrix Hypervisorの以前のバージョンからアップグレードした場合、証明書検証は自動的に有効にならないため、手動で有効にする必要があります。アップグレードされたプールに次回接続するときに、XenCenterから証明書検証を有効にするよう求められます。
プールで証明書検証を有効にする前に、プール内で操作が実行されていないことを確認してください。
XenCenterを使用して有効にする
XenCenterでは、証明書検証を有効にするためのいくつかの方法が提供されています。
-
証明書検証が有効になっていないプールにXenCenterを初めて接続すると、有効にするよう求められます。「はい、証明書検証を有効にする」をクリックします。
-
プールメニューで、証明書検証を有効にするを選択します。
-
プールの全般タブで、証明書検証エントリを右クリックし、メニューから証明書検証を有効にするを選択します。
xe CLIを使用して有効にする
プールで証明書検証を有効にするには、プール内のホストのコンソールで次のコマンドを実行します。
xe pool-enable-tls-verification
証明書の管理
ホストのIDを検証するために使用される証明書をインストールしたり、情報を表示したり、リセットしたりできます。
証明書のインストール
管理ネットワーク上のクライアントアプリケーションから接続を受信する際に、ホストがID証明書として提示する独自のTLS証明書をインストールできます。
詳細については、ホストにTLS証明書をインストールするを参照してください。
証明書情報の表示
プールで証明書検証が有効になっているかどうかを確認するには、次の手順を実行します。
-
XenCenterで、プールの全般タブを確認します。全般セクションには、証明書検証が有効か無効かを示す証明書検証のエントリがあります。このタブには、CA証明書の名前、有効性、およびサムプリントを一覧表示する証明書セクションも含まれています。
-
xe CLIを使用する場合は、次のコマンドを実行します。
xe pool-param-get uuid=<pool_uuid> param-name=tls-verification-enabled証明書検証が有効になっている場合、コマンド出力にtls-verification-enabled ( RO): trueの行が表示されます。
XenServerホスト上の証明書に関する情報を表示するには、次の手順を実行します。
-
XenCenterで、そのホストの全般タブに移動します。証明書セクションには、サーバーID証明書とプール内部ID証明書のサムプリントおよび有効期限が表示されます。
-
xe CLIを使用する場合は、次のコマンドを実行します。
xe certificate-list
プール内部ID証明書の更新
xe CLIを使用して、プール内部ID証明書を更新できます。
-
次のコマンドを実行して、証明書をリセットするホストのUUIDを見つけます。
xe host-list -
証明書をリセットするには、次のコマンドを実行します。
xe host-refresh-server-certificate host=<host_uuid>注:このコマンドでは、証明書をリセットするホストを示すために、任意のホストセレクターパラメーターを使用できます。
サーバーID証明書のリセット
XenCenterまたはxe CLIからサーバーID証明書をリセットできます。証明書をリセットすると、ホストから証明書が削除され、新しい自己署名証明書がその場所にインストールされます。
XenCenterで証明書をリセットするには：
-
ホストの全般タブに移動します。
-
証明書セクションで、リセットしたい証明書を右クリックします。
-
メニューから、証明書のリセットを選択します。
-
表示されるダイアログで、はいをクリックして証明書のリセットを確認します。
または、サーバーメニューで、証明書 > 証明書のリセットに移動することもできます。
証明書をリセットすると、XenServerホストへの既存の接続（XenCenterとホスト間の接続を含む）はすべて切断されます。証明書のリセット後、XenCenterは自動的にホストに再接続します。
xe CLIを使用して証明書をリセットするには：
-
次のコマンドを実行して、証明書をリセットしたいホストのUUIDを見つけます。
xe host-list -
証明書をリセットするには、次のコマンドを実行します。
xe host-reset-server-certificate host=<host_uuid>注：このコマンドでは、証明書をリセットするXenServerホストを示すために、任意のホストセレクターパラメーターを使用できます。
証明書をリセットすると、XenServerホストへの既存の接続（XenCenterとホスト間の接続を含む）はすべて切断されます。証明書のリセット後、XenCenterは自動的にホストに再接続します。
期限切れアラート
XenCenterは、サーバーID証明書、プール内部ID証明書、またはプールCA証明書の有効期限が近づいている場合、通知ビューにアラートを表示します。
証明書検証の一時的な無効化
ホストまたはプールで証明書検証が有効になった後で、それを無効にすることはお勧めしません。ただし、XenServerには、証明書の問題をトラブルシューティングする際に、ホストごとに証明書検証を無効にするために使用できるコマンドが用意されています。
証明書検証を一時的に無効にするには、ホストコンソールで次のコマンドを実行します。
xe host-emergency-disable-tls-verification
XenCenterは、機能が有効になっているプール内のホストで証明書検証が無効になっている場合、通知ビューにアラートを表示します。
ホスト上の証明書に関する問題を解決したら、再度証明書検証を有効にしてください。証明書検証を再度有効にするには、ホストコンソールで次のコマンドを実行します。
xe host-emergency-reenable-tls-verification