このたび、システムサポートはデジサート・ジャパン合同会社とサービスデリバリーパートナー（SDP）契約を締結し、DigiCert製品を提供できるようになりました。

今回のサービスデリバリーパートナー（SDP）契約締結により、従来のCyberArk Certificate Manager
（以下、CCM）による証明書の可視化・配布・更新管理に加え、DigiCert製品との連携によって、証明書の申請・発行から配布・更新までを一貫してご支援できるようになりました。

DigiCert製品をご契約いただくことで、DigiCertおよびGeoTrustブランドの証明書に加え、CertCentralやTrust Lifecycle Managerなどの証明書管理ツールをご利用いただけます。これらをCCMと組み合わせることで、証明書の申請・発行から対象システムへの配布・更新までを、一連の仕組みとして管理できます。

DigiCert製品とCCMのご紹介

本記事でご紹介する証明書ライフサイクル管理システムは、DigiCert製品とCCMを組み合わせて構成します。
ここでは、それぞれの製品の概要と役割をご紹介します。

DigiCert CertCentral

DigiCert CertCentralは、DigiCertの認証局とやり取りし、証明書を発行できる証明書管理サービスです。
証明書製品の契約を管理し、証明書発行に必要なドメインや組織の認証を行うのが主な用途です。

DigiCert Trust Lifecycle Manager

DigiCert Trust Lifecycle Managerは、DigiCert CertCentralと接続し、証明書ライフサイクルの自動化を実現するサービスです。
証明書発行に関する操作がAPIで公開されており、外部ツールによる証明書管理を受け付ける窓口の役割を担います。

CyberArk Certificate Manager

CCMは、組織内に存在する証明書を検出・可視化し、証明書の申請・発行・配布・更新を含むライフサイクルを一元的に管理するための製品です。CCMでは、証明書の監視、更新要求、取得および対象システムへのインストールを自動化できます。

証明書の有効期限や配置先などの情報を集約して管理することで、更新漏れや有効期限切れに伴うシステム停止リスクの低減と、証明書管理にかかる運用負荷の軽減を支援します。

DigiCert製品を含む、各種認証局サービスとCCMを連携することで、認証局への証明書の申請、発行された証明書の取得、および対象システムへの配布・更新を自動化し、証明書ライフサイクルを一貫して管理できます。

これにより、認証局による証明書の審査・発行と、CCMによる証明書の検出・配布・更新管理を組み合わせ、証明書の申請・発行から対象システムへの配布・更新までを一貫して管理できます。

DigiCert製品とCCMを組み合わせた証明書ライフサイクル管理

CCM Self-Hosted版の場合

CCM Self-Hosted版では、オンプレミス環境に構築したCCMとDigiCert製品を、標準のCAドライバで連携します。CCM上に設定したポリシーに基づいて、DigiCert製品への証明書の申請、発行された証明書の取得、および対象システムへの配布・更新を自動化できます。
また、IPアドレスやポートなどを指定して対象システムの証明書を検出し、設定した配置ルールに基づいてCCMの管理対象に追加できます。これにより、証明書の配置状況や有効期限などを一元的に把握できます。

以下に、CCM Self-Hosted版の構成イメージを示します。

CCM SaaS版（NGTS）の場合

CCM SaaS版では、クラウド上のCCMとDigiCert製品を、標準のCAコネクタで連携します。CCM上に設定した申請ポリシーに基づいて、DigiCert製品への証明書の申請、発行された証明書の取得、および対象システムへの配布・更新を自動化できます。
社内ネットワーク上のシステムや認証局と連携する場合は、オンプレミス環境にVSatelliteサーバを配置します。VSatelliteは、クラウド上のCCMとプライベートネットワーク内のリソースを安全に接続し、証明書の検出、発行、および管理を行うためのコンポーネントです。
また、インターネット上および社内ネットワーク上の対象システムの証明書を検出し、CCMの管理対象に追加できます。これにより、証明書の配置状況や有効期限などを一元的に把握できます。
なお、CCM SaaS版の機能は、Palo Alto NetworksのNext-Gen Trust Security（NGTS）としても提供されています。
以下に、CCM SaaS版の構成イメージを示します。

DigiCert製品とCCMを組み合わせた証明書ライフサイクル管理のメリット

既存環境への変更を最小限に抑えられる

CCM Self-Hosted版とCCM SaaS版の両方において、CCMから対象システムへ認証情報を使用して接続し、証明書を配布するエージェントレス方式を利用できます。対象システムごとに専用エージェントを導入する必要がないため、既存環境への変更を最小限に抑えながら、DigiCert製品を含む各種認証局から取得した証明書の配布・更新を自動化できます。

標準機能で対応していない環境にも、証明書管理の対象を拡張できる

CCMでは、標準ドライバとして DigiCert、GlobalSign、Microsoft CA、AWS ACMなど多数の認証局との連携機能が提供されています。
また、標準の連携機能が提供されていない認証局やシステムについても、連携先のAPI操作などを利用し、個別に連携機能を実装できる場合があります。
これにより、社内で証明書を利用しているさまざまな製品やシステムをCCMの管理対象に組み込み、運用方法の統一や手作業の削減につなげられます。

なお、実際の連携可否、実装できる処理および自動化の範囲は、連携先のAPIや認証方式などによって異なります。

まとめ