IIS 4x - よく訊かれる質問

受け取った証明書をすべてインストールする必要がありますか？

はい。受け取った証明書をすべてインストールしないと、お客さまのWebサイトの安全な領域に行ったときでも、信頼できないメッセージを受け取ることになります。

うっかり「保留要求」または「秘密鍵」を削除してしまいました。

まずお客様のバックアップ情報をチェックして、「保留要求」または「秘密鍵」を再インストールできるかどうかを確認してください。バックアップ情報から秘密鍵を再インストールする方法がわからない場合は、お客様のシステム管理者にご相談ください。相談ができない場合は、お使いのWebサーバーのソフトウェアベンダーに連絡して技術サポートを依頼してください。代替策として唯一利用できるのは、交換CSRの再送信後にSSL証明書を再発行する方法です。

証明書または鍵が無効だと警告されています。

対応する秘密鍵または保留要求がないか、見つかった秘密鍵が証明書と合致しないかです。

IPベースのホスティングまたはネームベースのホスティングを使用する必要がありますか？

ネームベースのホスティングは本番環境では滅多に使用されません。
IPベースのホスティングをSSLプロトコルの動作に従って使用しなければなりません。

httpsページで 'The Page Cannot Be Displayed' というメッセージを受け取りました。

SSLポートが開いていますか。これは通常ポート443です。
ファイアウォールの設定でSSLポートスルーが許可されていますか。
サーバーがリブートされましたか。
Webブラウザーのオプションで[SSL 3.0を使用する]がチェックされていることを確認してください。

"There are secure and non-secure items on the page? Would you like to proceed?" というメッセージが表示されました。

このエラーが意味するのは、絶対に安全と言い切れる方法で呼ばれていない埋め込みオブジェクトまたはHTMLタグがこのページ内にあるということです。例えば、安全に(https)ロードされ、IMG SRC =http://www.yyy.com/image.gifなどのイメージタグがソースコード内に含まれているとします。この場合、このイメージは安全でない（HTTP)プロトコルを使って呼ばれています。

IPアドレスを変更できますか？

証明書は特定のIPアドレスには結合しません。www.comodo.comのような完全修飾ドメインネームと結合します。

安全なサイト(https)にアクセスすると、別のサイトの証明書が表示されます。

この問題が発生するのは、configファイル内の各ホストに同じIPアドレスを割り当てた場合です。SSLはネームベースの仮想ホスティング(ホストヘッダーがSSLで暗号化されている）をサポートしないので、configファイル内にある最初の証明書だけが送信されます。

ブラウザーから信頼されないものがあるというメッセージが表示されます。

ルート証明書と中間証明書のいずれか、または両方が正しくインストールされていない可能性があります。これをチェックするには、エラーメッセージが表示されたときに[View Certificates]をクリックして3つの証明書がすべて表示されるかどうかをチェックします。
使用されている証明書が完全修飾ドメインネーム用ではないこともあります。この場合は再度[View Certificates]をクリックして、証明書内のドメインネームが表示対象URL内のドメインネームと一致するかどうかをチェックしてください。
[インターネットオプション]をチェックし、その[詳細設定]セクションで[SSL 3.0を使用する]がオンになっていることを確認してください。

エラー: "Schannel error = 80090304.Invalid Password"

このエラーには非常に多くの原因が考えられます。下記のそれぞれについてチェックしてください。

このエラーメッセージは、2つのテキストファイルを指定しているが、テキストファイルと鍵ファイルの対でない場合に発生することがあります。
通常、CSRと証明書がインポートされたときにこの問題が発生します。
CSRと証明書はともに公開鍵ファイルです。
秘密鍵(.key)はバックアップを使用する必要があります。

IIS内に証明書をインストールするとき、2つのファイル、すなわち .keyファイル形式の秘密鍵ファイルと、.txt形式の証明書ファイルが必要です。

このエラーは、お客さまのサーバーが鍵パスフレーズを保管するために使用するschannel.dllファイル内にバグがあるために発生する可能性があります。

NT版では修復されたschannel.dllファイルをダウンロードできます。
IIS 3 サーバー上にあるschannel.dllをこのダウンロードしたファイルへ置き換えてください。
この修復はサービスパックにも含まれています。

このエラーは、お客さまがApacheSSLを使って秘密鍵を生成し、それをIISマシンに転送した場合に起こることがあります。この場合、秘密鍵はIIS形式に変換してからインポートする必要があります。Key Managerが理解しない鍵をインポートしようとすると、このエラーが発生します。

下記の方法に従って、秘密鍵の形式をApacheからIISへ変換してください。
ssleay/openssl binaryをポイントします。
このファイルはお客さまのパス上になければなりません。次のコマンドは、"ssleay/openssl" と直接、入力できるものと仮定しています。場合によっては、コマンドの前にbinaryを指すパスを付けるか、binaryをお客さまのパスに移動するか、ssleay/openssl binaryが存在するディレクトリーを含むようにお客さまのパスを変更する必要があります。

鍵ファイルをポイントします。
正しい鍵ファイルを見つけてください。例えば、www.sitekeyfile.com.keyがあるものとします。


この鍵をNET形式に変換します。
次のコマンドを使うと、鍵のコピーを "NET" 形式で作成できます。暗号鍵を生成する場合は、鍵を読むためのパスフレーズを与える必要があります。次に、NET形式の鍵を保護するために別のパスフレーズを指定する必要があります。次のコマンドで、新しい鍵ファイルがNET形式で生成されます。
ssleay/openssl rsa -in www.sitekeyfile.com.key -out www.site.com.iiskey -outform NET
鍵と証明書をフロッピーディスクにコピーします。

key managerを起動して鍵をインポートします。
key managerを開き、[Key]メニュー項目を選択します。
[Import]を選択し、keysetファイルからのインポートを選択します。
ファイル名の入力を求められたとき、フロッピーディスク上にある鍵および証明書のファイル名を指定します。
[OK]をクリックします。
パスフレーズの入力を求められます。これはNET形式のパスフレーズです。
秘密鍵を直ちにMicrosoft Key Backupファイルにバックアップしてください。バックアップを保護するために使ったパスフレーズをメモし、バックアップを安全な場所に保管してください。これで、鍵がKey Manager内に表示され、SSLをIISサーバー上で構成できるはずです。

このエラーは、証明書を間違った鍵でインストールしようとした場合にも発生することがあります。
Key Manager内にある別の鍵で証明書がインストールされるかどうかを確認してください。
秘密鍵ファイルはwwwサービス下のKey Manager内にあり、鍵アイコンで示されます。

このエラーメッセージは、秘密鍵に対して間違ったパスワードを使用している場合に発生します。
パスワードは大文字/小文字を区別します。

エラー: "CAPI2 error = 80093005. Invalid Certificate"

このエラーにはいくつかの原因が考えられます。
証明書の形式が正しいことを確認してください。
証明書が下記で始まり、
-----BEGIN CERTIFICATE-----
下記で終り、
-----END CERTIFICATE-----
Begin行とEnd行の前後に先行空白や終了空白がないことをチェックしてください。
"Install a Key Certificate" を選択した時は、証明書ファイルに対して正しいパスとファイル名を指定していることを確認します。
このエラーは、サービスパック内にバグがあって発生することもあります。下記の方法で修正情報をインストールします。
次のURLからMicrosoft fixをダウンロードします。
http://support.microsoft.com/default.aspx?scid=KB;en-us;q194889

エラー: "The certificate is invalid. Please double-check that you have chosen the correct file. CAPI2 error = 80093009"

証明書の形式が正しいことを確認してください。
証明書が下記で始まり、

-----BEGIN CERTIFICATE-----
下記で終り、
-----END CERTIFICATE-----

Begin行とEnd行の前後に先行空白や終了空白がないことをチェックしてください。

エラー: "Cannot install the certificate because it does not match the certificate requested."

このエラーには3つの原因が考えられます。下記のそれぞれについてチェックしてください。
SSLをインストールするには秘密鍵を公開鍵(証明書ファイル）に付加する必要があります。下記の方法で正しいファイルを使用しているかどうかをチェックしてください。

使用しているファイルを開き、そのファイルが -----BEGIN CERTIFICATE----- 行を含んだ証明書要求ファイルでないことを確認します。
秘密鍵ファイルを証明書に付加していなければなりません。
このファイル形式は鍵形式(16進(2進）形式)であり、テキスト形式ではありません。

このエラーは、証明書を適切な秘密鍵ファイルに付加していない場合にも発生します。

このエラーはまた、最近、証明書を更新したばかりで、古い証明書を新しい鍵でインストールしようとした場合にも発生します。更新された証明書は、発行されるまでに最長3日かかります。

エラー: 'This page must be viewed over a secure channel'

Microsoft IIS が安全なチャネルを要求するように構成されています。
'Require Secure Channel' というボックスのチェックを外してください。

サイトにアクセしようとすると、"intermittent server not found" メッセージが表示されました。

Webサーバーが証明書失効リストをチェックするように設定されていて、Webサーバーがダウンしていると、操作タイムアウトになることがあります。
これは証明書の問題ではなく、ブラウザーに関する何かの処理がタイムアウトになるということです。

IIS4で秘密鍵ファイルをバックアップするにはどのようにしますか？

IIS4内のKey managerに入ります。
秘密鍵を[Key]->[Export Key]->[Backup File]で保管してください。
デフォルトの形式は「.key」ファイルです。
エクスポートされた鍵をディスクなどの安全な場所に保管します。サーバークラッシュを考慮して、秘密鍵のコピーをとっておくことが大切です。
秘密鍵のパスワードを忘れてしまうと、秘密鍵を復元することはもうできなくなります。

ApacheSSLベースの鍵をMSIISにインポートできますか？

次の方法で秘密鍵をNET形式に変換する必要があります。

openssl rsa -in server.key -out serverkey.net -outform NET

証明書をIIS 4.0 からApacheに移行するには、どうすればいいですか？

証明書のバックアップファイルをKey Managerからエクスポートします。
Key Managerの[Key]メニューから[Export Key]、[Backup File]の順に選択します。
要注意情報をハードディスクにダウンロードしたという警告が表示されたら、[OK]をクリックしてください。
[File Name]ボックスに鍵の名前を入力し、[Save]をクリックします。
ファイルは「*.key」というファイル名拡張子が付き、a: ドライブかお客さまのハードディスクドライブの 3 1/2" ディスクに保存されます。
このバックアップファイルはハードディスクとサーバー外に保存してください。
"private-key" という文字列をバイナリーファイル内で見つけてください。
16進値の "30 82" を見つけるまでトレースバックしてください。
その位置から新規ファイル(tmp.bin)へ書き込みます。
OpenSSLでは、ssleay rsa -inform NET -in tmp.bin -out key.pem
パスワードを入力します。
作成されるファイルは秘密鍵です。この秘密鍵を使って証明書をApacheにインストールします。

証明書/鍵の対をIIS 4からIIS 5に移行するには、どのようにしますか？

まず証明書をIIS 4/Windows NTからエクスポートします。
Key Managerの[Key]メニューから[Export Key]、[Backup File]の順に選択します。
要注意情報をハードディスクにダウンロードしたという警告が表示されたら、[OK]をクリックしてください。
[File Name]ボックスに鍵の名前を入力し、[Save]をクリックします。ファイルは「*.key」というファイル名拡張子が付き、a: ドライブかお客さまのハードディスクドライブの 3 1/2" ディスクに保存されます。次にこのファイルを新しいサーバーにインポートできます。

次にバックアップファイルをMicrosoft IIS 5 にインストールします。
Internet Services Managerか、Internet Information Servicesスナップイン'を含むMMCを開きます。
Internet Information Servicesを展開し、鍵をインポートしなければならないWebサイトにブラウズします。
そのWebサイトを右クリックし、[Properties]をクリックします。
[Directory Security]タブをクリックします。
[Secure Communications]セクションの下で[Server Certificate]をクリックします。
注: 当サイトにすでに証明書が割り当てられていた場合は、その証明書を除去してください。
[Web Site Certificate]ウィザードで[Next]をクリックします。
[Import a certificate from a Key Manager backup file]を選択します。[Next]をクリックします。
Key Managerバックアップファイルをブラウズします。このバックアップファイルには「.key」拡張子が付いていなければなりません。
IIS 4/Windows NTを使って鍵を作成した時に入力したパスワードを入力します。
これでバックアップファイルのインストールは成功しました。

エラー: "Improperly formatted DER message"

NetscapeがNavigator 4.0 をリリースしたときにインプリメントした既存の標準は、未知のデータタイプが見つかったときクラッシュします。
当社に送信するCSRファイルにはUnicode文字は含めないでください。
Unicode文字は以下のとおりです。

! @ # $ % ^ * ( ) ~ ? > < & / \ : ; .

ポート443はIIS 4 の2箇所で有効でなければなりません。

ポート443を有効にしておかなければならない1つの場所はkey managerです。
key managerで鍵を右クリック、[Properties]をクリックして、SSLポートとして443を設定します。
もう1つポート443を有効にしておくべき場所は[IIS Directory Properties]です。
セキュアなドメイン(https)を右クリックし、[Properties]、[Directory Security]をクリックし、
SSLポートとしてポート443を有効にします。

デジタル署名が不正だというメッセージが表示されます。なぜこうなるのでしょうか？

1. Comodo中間証明書がインストールされていません。サイト証明書付属の中間証明書を使用する必要があります。
2. 不正なComodo中間証明書がインストールされました。サイト証明書付属の中間証明書を使用する必要があります。