<book_title> を検索 ...

NetBackup ™ セキュリティおよび暗号化ガイド

Last Published: 2022-10-21

Product(s): NetBackup (10.1)

外部 CA の証明書失効リストについて

外部認証局 (CA) の証明書失効リスト (CRL) には、スケジュールされた有効期限前に外部 CA が無効化して、信頼しないようにする必要があるデジタル証明書のリストが含まれています。

NetBackup は外部 CA の CRL の PEM と DER 形式をサポートしています。

すべての CRL 発行者または外部 CA の CRL は、各ホストに存在する NetBackup CRL キャッシュに格納されています。

安全な通信中に、ECA_CRL_CHECK 構成オプションに基づき、NetBackup CRL キャッシュに存在する CRL を使用して各 NetBackup ホストがピアホストの外部証明書の失効状態を検証します。

NetBackup サーバーとクライアントの ECA_CRL_CHECKを参照してください。

NetBackup CRL キャッシュは、次のいずれかの CRL ソースを使用して、必要な CRL で更新されます。

ECA_CRL_PATH 構成オプション

CRL が存在するディレクトリパスを指定する NetBackup 構成オプション (UNIX の bp.conf ファイルまたは Windows レジストリから)。

NetBackup サーバーとクライアントの ECA_CRL_PATH_SYNC_HOURSを参照してください。

ECA_CRL_PATH にある CRL を使用する方法を参照してください。

CRL 配布ポイント (CDP)

ECA_CRL_PATH を指定していない場合、NetBackup はピアホスト証明書の CDP で指定された URL から CRL をダウンロードし、NetBackup CRL キャッシュにその CRL をキャッシュします。

CDP URL にある CRL を使用する方法を参照してください。

NetBackup は、CDP で指定された HTTP と HTTPS の URL からの CRL のダウンロードをサポートしています。

NetBackup CRL キャッシュには、各 CA (ルートおよび中間 CA を含む) の CRL の最新のコピーのみが含まれています。

bpclntcmd -crl_download サービスは、ECA_CRL_PATH_SYNC_HOURS または ECA_CRL_REFRESH_HOURS オプションで設定された時間の間隔にかかわらず、次のシナリオのホストの通信時に CRL キャッシュを更新します。

CRL キャッシュ内の CRL の期限が切れたとき
CRL が CRL ソース (ECA_CRL_PATH または CDP) で利用可能で、CRL キャッシュにない場合

メモ:

bpclntcmd -crl_download サービスが CRL キャッシュ内の CRL を更新すると、次の 15 分間は、有効なダウンロードシナリオが発生したとしても、同じ CA の CRL はダウンロードされません。15 分以内に CRL を更新する必要がある場合は、bpclntcmd -crl_download サービスを終了してください。