IIS 5x - よく訊かれる質問

Internet Explorer 6 Service Pack 2 を使って安全な(Https)Webページにアクセスする際の問題はどのようにトラブルシュートできますか？
Microsoft Windows XP SP2でMicrosoft Internet Explorer 6.0 Service Pack 2 (SP2) にアップグレードした後、SSLで保護されている(128ビット)WebページとWebサイトが正しく動作しないことがあります。多くの場合、これはWindows XP SP2におけるセキュリティーの変更で発生します。ページが正しく表示されない理由を知るには、下記の方法を記述されている順番どおり実行してください。
http://support.microsoft.com/default.aspx?kbid=870700&product=windowsxpsp2

受け取った証明書をすべてインストールする必要がありますか？
はい。受け取った証明書をすべてインストールしないと、お客さまのWebサイトの安全な領域に行ったときに信頼できないメッセージを受け取ることになります。

うっかり「保留要求」または「秘密鍵」を削除してしまいました。
まずお客様のバックアップ情報をチェックして、「保留要求」または「秘密鍵」を再インストールできるかどうかを確認してください。バックアップ情報から秘密鍵を再インストールする方法がわからない場合は、お客様のシステム管理者にご相談ください。相談ができない場合は、お使いのWebサーバーのソフトウェアベンダーに連絡して技術サポートを依頼してください。代替策として唯一利用できるのは、交換CSRの再送信後にSSL証明書を再発行する方法です。

証明書または鍵が無効だと警告されています。
対応する秘密鍵または保留要求がないか、見つかった秘密鍵が証明書と合致しないかです。

IPベースのホスティングまたはネームベースのホスティングを使用する必要がありますか？
ネームベースのホスティングは本番環境では滅多に使用されません。
IPベースのホスティングをSSLプロトコルの動作に従って使用しなければなりません。

httpsページで 'The Page Cannot Be Displayed' というメッセージを受け取りました。
SSLポートが開いていますか。これは通常ポート443です。
ファイアウオールの設定でSSLポートスルーが許可されていますか。
サーバーがリブートされましたか。
Webブラウザーのオプションで[SSL 3.0を使用する]がチェックされていることを確認してください。

"There are secure and non-secure items on the page? Would you like to proceed?" というメッセージが表示されました。
このエラーが意味するのは、絶対に安全と言い切れる方法で呼ばれていない埋め込みオブジェクトまたはHTMLタグがこのページ内にあるということです。例えば、安全に(https)ロードされ、IMG SRC =http://www.yyy.com/image.gifなどのイメージタグがソースコード内に含まれているとします。この場合、このイメージは安全でない（HTTP)プロトコルを使って呼ばれています。

IPアドレスを変更できますか？
証明書は特定のIPアドレスには結合しません。www.comodo.comのような完全修飾ドメインネームと結合します。

安全なサイト(https)にアクセスすると、別のサイトの証明書が表示されます。
この問題が発生するのは、configファイル内の各ホストに同じIPアドレスを割り当てた場合です。SSLはネームベースの仮想ホスティング(ホストヘッダーがSSLで暗号化されている）をサポートしないので、configファイル内にある最初の証明書だけが送信されます。

ブラウザーから信頼されないものがあるというメッセージが表示されます。
ルート証明書と中間証明書のいずれか、または両方が正しくインストールされていない可能性があります。これをチェックするには、エラーメッセージが表示されたときに[View Certificates]をクリックして3つの証明書がすべて表示されるかどうかをチェックします。
使用されている証明書が完全修飾ドメインネーム用ではないこともあります。この場合は再度[View Certificates]をクリックして、証明書内のドメインネームが表示対象URL内のドメインネームと一致するかどうかをチェックしてください。
[インターネットオプション]をチェックし、その[詳細設定]セクションで[SSL 3.0を使用する]がオンになっていることを確認してください。

エラー: 'This page must be viewed over a secure channel'
Microsoft IIS が安全なチャネルを要求するように構成されています。
下記のステップは、お客さまサイトに対する安全でない(http)接続を許可します。
Microsoft Internet Information Server内で、Webサイトを右クリックします。
[Secure Communications]の下で[Edit]をクリックします。.
'Require Secure Channel' というボックスのチェックを外してください。

サイトにアクセスしようとすると、"intermittent server not found" メッセージが表示されました。
Webサーバーが証明書失効リストをチェックするように設定されていて、Webサーバーがダウンしていると、操作タイムアウトになることがあります。
これは証明書の問題ではなく、ブラウザーに関する何かの処理がタイムアウトになるということです。

II3 5での秘密鍵のバックアップはどのようにしますか？
起動、実行、mmcを入力します。
[Console]タブに入り、[Add/Remove Snap in]を選択します。
[Add]をクリック、[Certificates]をダブルクリック、さらに[Add]、[OK]の順にクリックします。
[Computer Account]を選択します。
[Local Computer]を選択します。
[Certificates Consol Tree]を開きます。
REQUESTというフォルダーを探し、[Certificates]を選択します。
バックアップしたい鍵をハイライト表示します。
ファイルを右クリックし、[All Tasks]、[Export]を選択します。
[Certificate Export]ウィザードを実行します。
秘密鍵をエクスポート可能とマークするように選択します。
デフォルト設定のままにしておきます。
ファイルを設定済みロケーションに保管することを選択します。
[Finish]をクリックします。
エクスポート成功のメッセージが表示されます。
注: 保留要求が完了したら、鍵はもう使えません。

証明書と鍵をIIS5からApacheにどのように移行しますか？
当該Webサーバーの証明書mmcを起動し、[All Tasks]と、サイト証明書の[Export]を選択します。CA証明書のエクスポートは選ばないでください。パスワードを指定します。ファイル名(mypkcs12.pfxなど)を指定します。その作成された .pfxファイルをApache Webサーバーにコピーします。

次に、下記のコマンドで、秘密鍵と証明書ファイルをApacheにインポートします。

openssl pkcs12 -in mypkcs12.pfx -out pfxoutput.txt

最低一度はパスワードを入力する必要があります。

pfxoutput.txtをテキストエディターにロードし、各証明書を独立したファイルとして保存します。
また、秘密鍵も独立したファイル(myencrypted.keyなど)として保存します。

秘密鍵は、下記のように多くの場合このときに暗号化されます。

-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: DES-EDE3-CBC,.........
.........
-----END RSA PRIVATE KEY-----

使用しているApacheのバージョンが暗号化秘密鍵を許可しない場合は、秘密鍵を解読するために次のコマンドを実行してください。

openssl rsa -in myencrypted.key -out my.key

特定のページでSSLを有効にするにはどうしますか？
ASPを使用して特定のページでSSLを有効にするには、次のURLにある手順を実行してください。 http://support.microsoft.com/default.aspx?scid=kb;EN-US;q239875

IIS 5で鍵をエクスポートするにはどうしますか？
MicrosoftのKnowledgebaseにある次のURLを参照してください。 http://support.microsoft.com/default.aspx?scid=kb;en-us;232136

IIS 5でサーバー証明書をインポートするにはどうしますか？
MicrosoftのKnowledgebaseにある次のURLを参照してください。 http://support.microsoft.com/default.aspx?scid=kb;EN-US;232137

IIS 5でどのようにして更新CSRを作成しますか？
IISで新規のWebサイトを作成し、[Properties]->[Directory Security]->[Server Certificate]タブに行きます。
証明書ウィザードで、新規の鍵/CSRファイルを作成します。
次の手順で秘密鍵ファイルをバックアップします。
起動、実行、mmc入力、[OK]を選択します。
[Console]タブに入り、[Add/Remove Snap in]を選択します。
[Add]をクリック、[Certificates]をダブルクリック、さらに[Add]、[OK]の順にクリックします。
[Computer Account]、[Local Computer]の順に選択します。
[Certificates Consol Tree]を開きます。
REQUESTというフォルダーを探し、[Certificates]を選択します。
バックアップしたい鍵をハイライト表示します。
ファイルを右クリックし、[All Tasks]、[Export]を選択します。
[Certificate Export]ウィザードを実行します。
秘密鍵をエクスポート可能とマークするように選択します。
デフォルト設定のままにしておきます。
ファイルを設定済みロケーションに保管することを選択します。
サーバーがクラッシュする場合を考慮して、秘密鍵のコピーを作成し、それをサーバー外に保管することが大切です。
[Finish]をクリックします。
エクスポート成功のメッセージが表示されます。

エクスポートされたCSRファイルをハードディスクに保管します。これが更新CSRです。
このCSRを購入プロセスで使用してください。
更新済み証明書を受け取ったら、証明書作成時に使用したウィザードでインストールします。
インストール後、証明書を稼動させたいWebサイトに行きます。
[Properties]->[Directory Security]->[Server Certificate]と移り、現在インストールされている証明書を除去し、前のステップでインストールした証明書を割り当てます。
WWWサービスを再起動します。

エラー: "The string contains an invalid X500 name, attribute key, OID, value or delimiter"
このエラーが起こらないようにするには、新規の証明書を作成し、識別名のどのフィールドにも
特殊文字が含まれていないことを確認します。特に、社名にコンマを入れないでください。
下記の文字はCSRのいずれのフィールドでも許可されません。
[! @ # $ % ^ * ( ) ~ ? > < & / \ , . " ']

エラー: "The pending certificate request for this response file was not found. This request may be cancelled. You cannot install selected response certificate using this Wizard"
お客さまは、現在[Certificate]ウィザード内にある秘密鍵(保留要求)に一致しない証明書をインストールしようとしています。Microsoft IIS 5 はサイト当たり1つの要求しか許可しません。同じWebサイトで新しいCSRを作成すると、元々の要求(と秘密鍵)は上書きされます。
秘密鍵のバックアップがある場合、元々の要求をREQUESTフォルダーに復元できる限り、MMCを介して証明書をインストールできます。
証明書と一致する秘密鍵が見つからない場合、証明書を再発行してもらう必要があります。

わたしのブラウザーがSSLサーバーとの応答を停止しました。他の場所から別のブラウザーを接続できますか？
Microsoftはこのエラーの修正情報をリリースしています。関連するナリッジベース記事のQ285821を参照してください。次のURLにあります。 http://support.microsoft.com/default.aspx?scid=kb;EN-US;q285821

IIS 5で証明書と鍵をバックアップするにはどうしますか？
当該Webサーバーの証明書mmcを起動し、[All Tasks]と、サイト証明書の[Export]を選択します。CA証明書のエクスポートを選択します。パスワードを指定します。ファイル名(mypkcs12.pfxなど)を指定します。.pfxファイルをサーバー外の安全な場所に保管してください。

World Wide Publishing ServiceまたはAdministrative Tools Servicesを開いたときのシステムエラー

これは既知の問題です(下記を参照)。 http://support.microsoft.com/default.aspx?scid=kb;en-us;Q295162

デジタル署名が不正だというメッセージが表示されます。なぜこうなるのでしょうか？

1. Comodo中間証明書がインストールされていません。サイト証明書付属の中間証明書を使用する必要があります。
2. 不正なComodo中間証明書がインストールされました。サイト証明書付属の中間証明書を使用する必要があります。