Apache の中間証明書設定 – SSLCertificateChainFile から SSLCertificateFile へ

Apache で TLS を設定する時、中間証明書をどのディレクティブで指定するかは、Apache のバージョンによって考え方が変わります。古い設定では SSLCertificateChainFile を使っていましたが、現在はサーバー証明書ファイルに中間証明書を連結して SSLCertificateFile で指定する構成が基本です。

従来の書き方

従来は、サーバー証明書、秘密鍵、中間証明書を別々に指定していました。

SSLCertificateFile /etc/pki/mypki/www.example.com.crt
SSLCertificateKeyFile /etc/pki/mypki/www.example.com.key
SSLCertificateChainFile /etc/pki/mypki/intermediate.example.crt

この構成では、中間証明書が必要な証明書と不要な証明書で設定の扱いが変わり、管理が少し面倒になります。

現在の考え方

現在は、サーバー証明書ファイルに中間証明書を連結し、SSLCertificateFile でまとめて指定します。秘密鍵は従来通り SSLCertificateKeyFile で指定します。

-----BEGIN CERTIFICATE-----
server certificate
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
intermediate certificate
-----END CERTIFICATE-----

SSLCertificateFile /etc/pki/mypki/www.example.com.fullchain.crt
SSLCertificateKeyFile /etc/pki/mypki/www.example.com.key

確認すること

設定後は、Apache が起動するかだけでなく、クライアントに正しい証明書チェーンが提示されているかを確認します。Chrome だけでエラーになるような場合は、中間証明書の不足やチェーン順序の問題が隠れていることがあります。

openssl s_client -connect www.example.com:443 -servername www.example.com -showcerts

まとめ

Apache の TLS 設定では、サーバー証明書と中間証明書をまとめた fullchain 形式の証明書ファイルを SSLCertificateFile に指定する構成が扱いやすくなります。重要なのは、設定ファイル上で指定できていることではなく、実際にクライアントへ正しい証明書チェーンを提示できていることです。

関連する記事

関連記事

Chrome だけ TLS 証明書エラーになる場合の確認観点 TLS・証明書設計ハブ – 内部 PKI、公開証明書、秘密鍵管理を整理する 自己署名ワイルドカード証明書の設計指針 – 内部 PKI と秘密鍵の境界 PEM 形式の証明書・秘密鍵を 1 行に整形する方法 – SAML や Kubernetes Secret で扱う時の注意点 Redmine のメール送信で certificate verify failed が出る原因と確認観点 公開証明書の自動更新をどう考えるか – 混在環境の証明書運用