証明書作成の監視と管理

  • [アーティクル]

適用先:Azure

シナリオ/操作についてこの記事で概説します。

  • サポートされている発行者への KV 証明書の要求
  • 保留中の要求の取得 - 要求の状態は "処理中"
  • 保留中の要求の取得 - 要求の状態は "完了"
  • 保留中の要求の取得 - 保留中の要求の状態は "キャンセル済み" または "失敗"
  • 保留中の要求の取得 - 保留中の要求の状態は "削除済み" または "上書き済"
  • 保留中の要求が存在するときに作成 (またはインポート) - 状態は "処理中"
  • 保留中の要求が発行者 (DigiCert など) によって作成されたときにマージ
  • 保留中の要求の状態が "処理中" のときにキャンセルを要求
  • 保留中の要求オブジェクトの削除
  • KV 証明書の手動作成
  • 保留中の要求が作成されたときにマージ - 証明書の手動作成

サポートされている発行者への KV 証明書の要求

Method 要求 URI
POST https://mykeyvault.vault.azure.net/certificates/mycert1/create?api-version={api-version}

次の例では、DigiCert を発行プロバイダーとして "mydigicert" という名前のオブジェクトが既にキー コンテナーで使用可能になっている必要があります。 証明書の発行者は、Azure Key Vault (KV) で CertificateIssuer リソースとして表示されるエンティティです。 これは、KV 証明書のソースに関する情報 (発行者名、プロバイダー、資格情報、その他の管理ための詳細情報) の提供に使用されます。

Request

{
  "policy": {
    "x509_props": {
      "subject": "CN=MyCertSubject1"
    },
    "issuer": {
      "name": "mydigicert",
      "cty": "OV-SSL",
    }
  }
}

Response

StatusCode: 202, ReasonPhrase: 'Accepted'
Location: “https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}&request_id=a76827a18b63421c917da80f28e9913d"
{
  "id": “https://mykeyvault.vault.azure.net/certificates/mycert1/pending",
  "issuer": {
    "name": "mydigicert"
  },
  "csr": "MIICq......DD5Lp5cqXg==",
  "cancellation_requested": false,
  "status": "InProgress",
  "status_details": "Pending certificate created. Certificate request is in progress. This may take some time based on the issuer provider. Please check again later",
  "request_id": "a76827a18b63421c917da80f28e9913d"
}

保留中の要求の取得 - 要求の状態は "処理中"

Method 要求 URI
GET https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}

Request

GET “https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}&request_id=a76827a18b63421c917da80f28e9913d"

OR

GET “https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}"

Note

request_id がクエリで指定されている場合、フィルターのように機能します。 クエリと保留中のオブジェクトの request_id が異なる場合は、404 の http 状態コードが返されます。

Response

StatusCode: 200, ReasonPhrase: 'OK'
{
  "id": “https://mykeyvault.vault.azure.net/certificates/mycert1/pending",
  "issuer": {
    "name": "{issuer-name}"
  },
  "csr": "MIICq......DD5Lp5cqXg==",
  "cancellation_requested": false,
  "status": "inProgress",
  "status_details": "…",
  "request_id": "a76827a18b63421c917da80f28e9913d"
}

保留中の要求の取得 - 要求の状態は "完了"

Request

Method 要求 URI
GET https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}

GET “https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}&request_id=a76827a18b63421c917da80f28e9913d"

OR

GET “https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}"

Response

StatusCode: 200, ReasonPhrase: 'OK'
{
  "id": “https://mykeyvault.vault.azure.net/certificates/mycert1/pending",
  "issuer": {
    "name": "{issuer-name}"
  },
  "csr": "MIICq......DD5Lp5cqXg==",
  "cancellation_requested": false,
  "status": "completed",
  "request_id": "a76827a18b63421c917da80f28e9913d",
  "target": “https://mykeyvault.vault.azure.net/certificates/mycert1?api-version={api-version}"
}

保留中の要求の取得 - 保留中の要求の状態は "キャンセル済み" または "失敗"

Request

Method 要求 URI
GET https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}

GET “https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}&request_id=a76827a18b63421c917da80f28e9913d"

OR

GET “https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}"

Response

StatusCode: 200, ReasonPhrase: 'OK'
{
  "id": “https://mykeyvault.vault.azure.net/certificates/mycert1/pending",
  "issuer": {
    "name": "{issuer-name}"
  },
  "csr": "MIICq......DD5Lp5cqXg==",
  "cancellation_requested": false,
  "status": "failed",
  "status_details": "",
  "request_id": "a76827a18b63421c917da80f28e9913d",
  "error": {
    "code": "<errorcode>",
    "message": "<message>"
  }
}

Note

errorcode の値は、それぞれ発行者とユーザー エラーに基づいて "証明書の発行者エラー" または "リクエストは拒否されました" になります。

保留中の要求の取得 - 保留中の要求の状態は "削除済み" または "上書き済"

保留中のオブジェクトは、状態が inProgress でないときに、作成/インポート操作によって削除または上書きできます。

Method 要求 URI
GET https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}

Request

GET “https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}&request_id=a76827a18b63421c917da80f28e9913d"

OR

GET “https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}"

Response

StatusCode: 404, ReasonPhrase: 'Not Found'
{
  "error": {
    "code": "PendingCertificateNotFound",
    "message": "…"
  }
}

保留中の要求が存在するときに作成 (またはインポート) - 状態は "処理中"

保留中のオブジェクトには、"処理中"、"キャンセル済み"、"失敗"、"完了" という 4 つの状態があります。

保留中の要求の状態が "処理中" の場合は、作成 (およびインポート) 操作が 409 (競合があります) の http 状態コードで失敗します。

競合を解決するには:

  • 証明書が手動で作成される場合、保留中のオブジェクトにマージまたは削除を実行して、KV 証明書を完了できます。

  • 証明書が発行者によって作成される場合は、証明書が完了、失敗またはキャンセルされるまで待機することができます。 または、保留中のオブジェクトを削除することができます。

Note

保留中のオブジェクトを削除した場合、プロバイダーへの x509 証明書の要求はキャンセルされる場合とキャンセルされない場合があります。

Method 要求 URI
POST https://mykeyvault.vault.azure.net/certificates/mycert1/create?api-version={api-version}

Request

{
  "policy": {
    "x509_props": {
      "subject": "CN=MyCertSubject1"
    },
    "issuer": {
      "name": "mydigicert"
    }
  }
}

Response

StatusCode: 409, ReasonPhrase: 'Conflict'
{
  "error": {
    "code": "Forbidden",
    "message": "A new key vault certificate can not be created or imported while a pending key vault certificate's status is inProgress."
  }
}

保留中の要求が発行者によって作成されたときにマージ

保留中のオブジェクトが発行者によって作成された場合、マージは許可されませんが、状態が inProgress のときは許可されます。

x509 証明書の作成要求がなんらかの理由で失敗したかキャンセルされ、x509 証明書を帯域外の方法で取得できる場合、マージ操作を実行して KV 証明書を完了できます。

Method 要求 URI
POST https://mykeyvault.vault.azure.net/certificates/mycert1/pending/merge?api-version={api-version}

Request

{
  "x5c": [ "MIICxTCCAbi………………………trimmed for brevitiy……………………………………………EPAQj8=" ]
}

Response

StatusCode: 403, ReasonPhrase: 'Forbidden'
{
  "error": {
    "code": "Forbidden",
    "message": "Merge is forbidden on pending object created with issuer : <issuer-name> while it is in progess."
  }
}

保留中の要求の状態が "処理中" のときにキャンセルを要求

キャンセルのみを要求できます。 要求は、キャンセルできる場合とキャンセルできない場合があります。 要求が "処理中" でない場合は、400 (正しくない要求) の http 状態が返されます。

Method 要求 URI
PATCH https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}

Request

PATCH “https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}&request_id=a76827a18b63421c917da80f28e9913d"

OR

PATCH “https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}"

{
  "cancellation_requested": true
}

Response

StatusCode: 200, ReasonPhrase: 'OK'
{
  "id": “https://mykeyvault.vault.azure.net/certificates/mycert1/pending",
  "issuer": {
    "name": "{issuer-name}"
  },
  "csr": "MIICq......DD5Lp5cqXg==",
  "cancellation_requested": true,
  "status": "inProgress",
  "status_details": "…",
  "request_id": "a76827a18b63421c917da80f28e9913d"
}

保留中の要求オブジェクトの削除

Note

保留中のオブジェクトを削除した場合、プロバイダーへの x509 証明書の要求はキャンセルされる場合とキャンセルされない場合があります。

Method 要求 URI
DELETE https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}

Request

DELETE “https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}&request_id=a76827a18b63421c917da80f28e9913d"

OR

DELETE “https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}"

Response

StatusCode: 200, ReasonPhrase: 'OK'
{
  "id": “https://mykeyvault.vault.azure.net/certificates/mycert1/pending",
  "issuer": {
    "name": "{issuer-name}"
  },
  "csr": "MIICq......DD5Lp5cqXg==",
  "cancellation_requested": false,
  "status": "inProgress",
  "request_id": "a76827a18b63421c917da80f28e9913d",
}

KV 証明書の手動作成

手動の作成プロセスによって、選択した CA によって発行される証明書を作成できます。 発行者の名前を "不明" に設定するか、発行者フィールドを指定しません。

Method 要求 URI
POST https://mykeyvault.vault.azure.net/certificates/mycert1/create?api-version={api-version}

Request

{
  "policy": {
    "x509_props": {
      "subject": "CN=MyCertSubject1"
    },
    "issuer": {
      "name": "Unknown"
    }
  }
}

Response

StatusCode: 202, ReasonPhrase: 'Accepted'
Location: “https://mykeyvault.vault.azure.net/certificates/mycert1/pending?api-version={api-version}&request_id=a76827a18b63421c917da80f28e9913d"
{
  "id": “https://mykeyvault.vault.azure.net/certificates/mycert1/pending",
  "issuer": {
    "name": "Unknown"
  },
  "csr": "MIICq......DD5Lp5cqXg==",
  "status": "inProgress",
  "status_details": "Pending certificate created. Please Perform Merge to complete the request.",
  "request_id": "a76827a18b63421c917da80f28e9913d"
}

保留中の要求が作成されたときにマージ - 証明書の手動作成

Method 要求 URI
POST https://mykeyvault.vault.azure.net/certificates/mycert1/pending/merge?api-version={api-version}

Request

{
  "x5c": [ "MIICxTCCAbi………………………trimmed for brevitiy……………………………………………EPAQj8=" ]
}
要素名 必須 Type Version 説明
x5c はい array <導入バージョン> base 64 文字列配列としての X509 証明書チェーン。

Response

StatusCode: 201, ReasonPhrase: 'Created'
Location: “https://mykeyvault.vault.azure.net/certificates/mycert1?api-version={api-version}"
{
	"id": "https mykeyvault.vault.azure.net/certificates/mycert1/f366e1a9dd774288ad84a45a5f620352",
	"kid": "https:// mykeyvault.vault.azure.net/keys/mycert1/f366e1a9dd774288ad84a45a5f620352",
	"sid": " mykeyvault.vault.azure.net/secrets/mycert1/f366e1a9dd774288ad84a45a5f620352",
	"cer": "……de34534……",
	"x5t": "n14q2wbvyXr71Pcb58NivuiwJKk",
	"attributes": {
		"enabled": true,
		"exp": 1530394215,
		"nbf": 1435699215,
		"created": 1435699919,
		"updated": 1435699919
	},
	"pending": {
		"id": "https:// mykeyvault.vault.azure.net/certificates/mycert1/pending"
	},
	"policy": {
		"id": "https:// mykeyvault.vault.azure.net/certificates/mycert1/policy",
		"key_props": {
			"exportable": false,
			"kty": "RSA",
			"key_size": 2048,
			"reuse_key": false
		},
		"secret_props": {
			"contentType": "application/x-pkcs12"
		},
		"x509_props": {
			"subject": "CN=Mycert1",
			"ekus": ["1.3.6.1.5.5.7.3.1", "1.3.6.1.5.5.7.3.2"],
			"validity_months": 12
		},
		"lifetime_actions": [{
			"trigger": {
				"lifetime_percentage": 80
			},
			"action": {
				"action_type": "EmailContacts"
			}
		}],
		"issuer": {
			"name": "Unknown"
		},
		"attributes": {
			"enabled": true,
			"created": 1435699811,
			"updated": 1435699811
		}
	}
}