ドメインと SAN の管理

リーフ証明書は、サブジェクト代替名（SAN） に列挙された名前に対してのみ有効です。クライアントが接続する際、URL 内のホスト名または IP は、これらのエントリのいずれかと完全に一致する必要があります。ワイルドカードも前方一致もサポートされません。このページではサーバー側でのリスト管理を扱い、クライアント側の確認は最後のページ「クライアントでの厳格な検証」を参照してください。

自動検出

サーバーは、自身が到達可能な名前——現在のホスト名とアクティブなネットワークインターフェイスのアドレス——を継続的に検出し、自動検出 の下に一覧表示します。これらのエントリはマシンに追従するもので、手動では編集できません。ネットワークインターフェイスを追加したりホスト名を変更したりすると、次の更新時にリストが追従します。

追加のドメインと IP アドレス

自動検出ですべてが分かるわけではありません。DDNS 名、スプリットホライズン DNS のエントリ、NAT 背後のアドレスなどは手動で追加する必要があります。追加のドメインと IP アドレス の下で追加します。

1. ホスト名または IP アドレス（例：server.home.arpa、10.0.0.8）を入力して 追加 を押します。
2. クライアントが使うすべての名前に対して繰り返します。不要なエントリはゴミ箱ボタンで削除します。
3. 最終的な SAN プレビュー を確認します。これは自動検出エントリと手動エントリを統合したビューで、次の証明書に含まれる名前です。
4. 保存して再発行 を押します。保存すると、新しい SAN リストで 90 日間の新しいリーフ証明書が署名され、ホットリロードされます。既存の接続は維持され、新しいハンドシェイクはすぐに新しい証明書を使います。

手動再発行と状態

サーバーのリーフ証明書 パネルには、現在有効な証明書が表示されます。状態バッジ、サブジェクト、SHA-256 フィンガープリント、有効期間、SAN エントリです。状態バッジの意味は次のとおりです。

• 利用可能 — 有効なリーフ証明書が読み込まれ、使用中です。
• 更新失敗 — 直前の再発行が失敗しました。以前の証明書は引き続き有効で、エラーはページに表示されます。
• 未生成 — CA もリーフ証明書もまだありません。CA と証明書を生成 で両方を作成します。

リーフ証明書を再発行 は、自動的なトリガーを待たずに新しいリーフ証明書を即座に署名します。ホスト名やインターフェイスを変更した直後や、Web UI 以外で行われた SAN の変更を反映させたいときに便利です。

ルート CA の配布

厳格な検証を行うクライアントには、ルート CA の公開証明書が必要です。プライベートルート CA カードから取得します。

• ルート CA をダウンロード は PEM ファイルを保存します。
• ルート CA をコピー は PEM をクリップボードにコピーし、クライアントの CA フィールドにそのまま貼り付けられます。

リーフ証明書の更新や SAN の変更でも CA は変わりません。配布は一度で十分です。どこかで厳格な検証を有効にする前に、このページに表示される SHA-256 フィンガープリントと、クライアントが受け取った内容を照合してください（最後のページ「クライアントでの厳格な検証」参照）。

ダウンロードとクリップボードには CA の公開証明書のみが含まれ、秘密鍵は決して含まれません。渡す相手は、このサーバーを検証できるべき人だけにしてください。