Apache(SSL) + mod_proxy_balancerのバックエンドでRailsアプリケーションを動かす場合の注意点 - 元RX-7乗りの適当な日々
SSL(HTTPS)の使用が前提のもと、フロントエンドでApache(mod_ssl + mod_proxy_balancer)をリバースプロキシ(兼ロードバランサ)として動かして、そのバックエンドでlighttpdやmongrelを使ってRailsアプリを動かす場合のメモ。 何も考えずにRailsアプリに対してHTTPS接続を行い、アプリ内でリダイレクト(redirect_to)を行った場合、RailsアプリはHTTPSで接続されていることを知らないため、HTTPのURLへリダイレクトしてしまいます。 これを解決するためには、フロントエンドのApacheで、HTTPリクエストヘッダにHTTPS接続であることを指定することで、バックエンドのアプリに伝わるようにします。 # ↓のリンク先を参考にさせていただきましたm(_"_)m これに必要なのは、Apacheでmod_headersが組み込
＠IT：ApacheでSSLを使うには
ここでは、LAN内など特定のユーザー向けにWebサーバを公開することを前提に、SSLを使用する方法を説明する（注）。なお、以下の説明はFedora Core 3を前提としている。 SSLは、Apacheのパッケージ（例えばhttpd-2.0.52-3.1）と同じバージョンのmod_sslモジュール（同mod_ssl-2.0.52-3.1）が必要となる。mod_sslをインストールすると、/etc/httpd/conf.d/ssl.confという設定ファイルが生成される。このファイルは、デフォルト状態でも必要な設定がひととおり行われているため、特に変更する必要はない。なお、デフォルトでは、サーバ証明書は/etc/httpd/conf/ssl.crt/server.crtに、サーバ用の秘密鍵は/etc/httpd/conf/ssl.key/server.keyになっている。 SSLを使用するに
OpenSSLでの自己認証局(CA)と自己証明書の作成
OpenSSLを利用した、自己認証局(CA)の構築と、サーバ証明書の作成手順とApache+mod_SSLでの設定方法についてもご紹介します。 Section.1では、通常のhttps通信を可能とするため、以下の手順を行います。 1.自己認証局(CA)の構築 2.サーバの証明書の作成 3.自己認証局によるサーバ証明書への署名 4.Apache+mod_sslの設定例 Section.2では、Section.1に加えてクライアント認証に利用する証明書の発行方法とApacheの設定例を示します。 1.クライアント認証用証明書の作成 2.Apache+mod_sslでの設定例 最初に、自己認証局(以下CA)の構築を行います。なお、CAの構築は/usr/local/CAに行います。 CAを作成するには、OpenSSL付属のCA.shを利用します。 (CA.shは、OpenSS
SSLによる安全なWebサイト作り
アクセス制限をもってしても、盗聴や改ざんには対応できない。通信経路をセキュアにしなければならない。今回は、SSLを用いてより信頼性の高いWebサイトを構築する方法を紹介する。 IP認証、ユーザー認証、データベース認証と、Webコンテンツの閲覧を制限する方法を順に紹介してきた。しかし、盗聴や改ざんには対応できない。従って、悪意を持った第三者が、個人情報や機密情報を盗聴するかもしれない。ちょっと探せば、ネットワークの通信を盗聴するためのツールが無料で公開されているのが現実だからだ。 盗聴や改ざんから身を守るには、通信信号を暗号化するのが最も簡単かつ確実な方法である。Web、すなわちHTTPの通信の暗号化には、SSL（Secure Socket Layer）を用いるのが一般的だ。なお、ApacheへのSSLの組み込み方法については連載第4回の「ApacheのSSL対応化と環境設定」を参照していた
証明書の失効とCRLの発行
証明書の失効とCRLの発行 2003/6/14作成 2004/9/19更新 主にクライアント証明書の場合ですが、発行したあとに秘密鍵が盗まれたり、紛失することがあります。 具体的には、pkcs12のファイルを勝手にコピーされたり、秘密鍵がビルのOSと一緒に心中してしまうこともあります。 また、発行した人が意図的に誰かに秘密鍵を配布したり、譲渡する可能性もあります。 そういった証明書をいつまでも信用するわけにはいかないので無効となった証明書のリストをCAから発行してクライアント証明書の検証をするWebサーバに配布します。 １．証明書の失効 さっそく、証明書を失効します。 CAで発行した証明書を使ってCAで失効手続きをすることになります。 -revokeオプションのあとに、CAが発行した証明書を指定します。
クライアント証明書の発行
クライアント証明書の発行 2003/6/11作成 2004/9/19更新 続いてクライアント証明書を発行しましょう。 クライアント証明書とは、個人や機器を特定する証明書のことです。 verisignとかでは個人証明書などと呼ばれています。 途中まではサーバ証明書の発行と変わりません。 余談ですが、「クライアント証明書」でgoogleすると、多くの有名サイトを押しのけてこのページが一番に表示されてしまいました。 複雑です。 １．クライアント証明書発行の流れ クライアント証明書を発行するまでの流れは簡単にこんな感じです。 クライアント秘密鍵を作成 秘密鍵からCSRを生成 CAの秘密鍵でCSRに署名して証明書を作成 最終的にクライアントにはクライアント秘密鍵とクライアント証明書のペアと、CAの証明書があればいいのですが、クライアントがWindowsの場合、秘密鍵とCSRを作成するのは
Apacheにサーバー証明書とクライアント証明書を指定する
httpd.confの編集 クライアント認証、SSLサーバー構築に必要な証明書が揃ったところでいよいよSSLに関する設定を行います。Apacheの設定ファイルは /etc/httpd/conf/httpd.conf になります。 < VirtualHost _default_: 443> ## General setup for the virtual host ## https://www.cuz.homeip.net で接続した際の ## ドキュメントルートを指定します。 DocumentRoot "/hda/httpd/html" ## 従来のと合わせてあります。secure.cuz.homeip.net ## でも可能です。 ## DNSの設定は必要ありません。 HTTP と HTTPS では基本的に ## ポートが異るのでバーチャルホストによる対応と言うことになります。 Serv
Kung Noi:SSLおれおれ証明書とクライアント認証
自宅サーバで個人用途でわざわざSSL証明書を買えないけど、外部からWebメールやPOP3sとかSMTPsを使いたい。そんなあなたには、これ！おれおれ証明書。そのまま自分で自分を証明する、俺だよ俺証明書です。クライアント認証ってのは、SSLでサーバを証明するのではなくクライアントを証明し認証する使い方。この組み合わせで安全な仕組みができる どこのサイトを見てもCA作ったりしてめんどくさいと思うあなたには、これ最速！！OpenSSLで簡単に証明書を作成する方法。たった2行のコマンドでおれおれ証明書ができちゃいます。 CA認証局 電子証明書の設置場所 どこでもいいので、場所を決めます。 cd /etc/ssl mkdir CA OpenSSLのデフォルト値を変更しておく 同じ様な質問を何回も聞かれるのでデフォルト値を変更しておく。/etc/ssl/openssl.cnf dir = /etc/s
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
