JPRS サーバー証明書発⾏サービス

CSR ⽣成⼿順
Tomcat （新規/更新）

Version 1.2
株式会社⽇本レジストリサービス（JPRS）

Copyright© 2024 Japan Registry Services Co., Ltd.

CSR ⽣成⼿順(Tomcat)

更新履歴
⽇付Version

2016/07/29

1.0

初版リリース2017/10/18

1.1「1.4 サーバー識別名 (DN) 情報の⼊⼒」を更新

2024/03/21

1.2

誤植の修正

Copyright© 2024 Japan Registry Services Co., Ltd.

2

CSR ⽣成⼿順(Tomcat)

次の⼿順に従い、鍵ペアと CSR を⽣成してください。
本⼿順書では、Unix 環境で Tomcat 4〜8 で JRE 6〜8 の JSSE を使⽤していることを前提に説明しています。 CSR ⽣成時は、TLS/SSL のサーバーをホストしているコンピ
ュータに管理者として ログインしていることを確認してください。

【注意事項】
本⼿順ではパスワードを⼊⼒する⼿順がありますが、 パスワード⼊⼒の際、バージョンにより⼊⼒したパスワードがエコーバックされる場合があります。 パスワードの漏洩のないようにご注意ください。
また、古いバージョンの Tomcat 及び JRE には深刻な脆弱性も知られていますので、Tomcat 及び JRE は、最新版に更新しておくことを推奨します。
≪Tomcat 4 をご利⽤の場合≫
Tomcat 4 では PureTLS を優先します。JSSE をご使⽤の場合は、以下に⽰すいずれかの⽅法でご対応ください。
server.xml ファイルで Factory 要素の TLS/SSLImplementation 属性の値を「org.apache.tomcat.util.net.JSSEImplementation」 と明⽰する



PureTLS をアンインストールする≪Windows 版をご利⽤の場合≫
実際の表記や⽤語が異なりますので、 作業時に読み替えてください。
環境

Unix

DOS（Windows）

変数置換${変数名}%変数名%

パス名/ディレクトリ名/ファイル名

プロンプト

#や$

ドライブ名>

拡張⼦shbat

コマンド・インタープリタ

シェル

コマンド プロンプト

ドライブ名:¥ディレクトリ名¥ファイル名Copyright© 2024 Japan Registry Services Co., Ltd.

3

CSR ⽣成⼿順(Tomcat)

1 鍵ペアの⽣成
ファイル⽣成マスクの値の記録および変更
ファイル⽣成マスクの値の記録
次のコマンドを実⾏し、 出⼒ (ファイル⽣成マスクの値) を記録します。
コマンド例︓ $ umask※正常に終了すれば、「22」「007」など 0〜7 までの数字が 1〜4 桁 表⽰されます。
ここで出⼒された（記録した）数字は、⼿順1-3.で使⽤します。

ファイル⽣成マスクの値の⼀時変更出⼒された数字が 「77」「077」「0077」の 3 つ以外の場合
鍵情報の漏洩を防ぐため、 次のコマンドを実⾏してください (出⼒はありません)。
コマンド例︓ $ umask 77

鍵ストアと鍵ペアの⽣成
鍵ストアや鍵ペアの⽣成には、 keytool というコマンドを使⽤します。
※keytool のインストール箇所は、${JAVA_HOME}/bin ディレクトリです。

（ ${JAVA_HOME}︓JRE を導⼊したディレクトリ）

鍵ペアを⽣成するためのコマンドを⼊⼒します。
現在ご利⽤中の鍵ペアがある場合は、上書きしないようご注意ください。

部署 (Organizational Unit) 名のある場合
コマンド例︓ $ keytool -genkey -alias tomcat -keyalg RSA -keysize 2048 keystore /your/keystore/filename

Copyright© 2024 Japan Registry Services Co., Ltd.

4

CSR ⽣成⼿順(Tomcat)

部署 (Organizational Unit) 名のない場合
コマンド例︓$ keytool -genkey -alias tomcat -keyalg RSA -keysize 2048 keystore /your/keystore/filename -dname "CN=www.jprs.co.jp, O=Japan
Registry Services Co.\, Ltd., L=Chiyoda-ku, ST=Tokyo, C=JP"※「-dname」 の後には、ウェブ・サーバー識別名 (DN)を指定します。
ここに指定する値が 「,」 ⽂字を含む場合、「¥,」 のように⼊⼒してください。
シェルの種類によっては、「"」 ⽂字を 「'」 ⽂字に変える「¥¥」 のように重ねて指定する場合があります。 シェルの仕様詳細はシステムに添付のマニュアルなどをご確認ください。
また、DN に指定する値については、⼿順 1-3.のプロンプトの説明を参照してください。

「tomcat」︓
⽣成する鍵ペア名Tomcat 6 または 7 の場合は、「tomcat」以外の鍵ペア名をつけることも可能です。
「/your/keystore/filename」︓
⽣成する鍵ストアファイル名（ファイル名は任意）

鍵ストアのパスワード設定プロンプトが表⽰されますので、鍵ストアに設定するパスワードを⼊⼒してください。
コマンド例︓ Enter keystore password: changeit
確認⼊⼒を促すプロンプトが表⽰された場合は同じパスワードを再⼊⼒してください。
コマンド例︓Re-enter new password: changeit

サーバー識別名 (DN) 情報の⼊⼒
証明書内に組み込むサーバー識別名 (DN) 情報を⼊⼒します。
⼊⼒には以下の点にご注意ください。
半⾓の英数字 64 ⽂字以内で⼊⼒してください。

Copyright© 2024 Japan Registry Services Co., Ltd.

5

CSR ⽣成⼿順(Tomcat)



識別名の⼊⼒には、以下の⽂字が使⽤できます。

your first and last name（DN 情報の「CN」）
-

半⾓英数字

-

"-"(ハイフン)-"."(ドット)-"*"(アスタリスク)

その他の各項⽬
-

半⾓英数字

-

半⾓スペース-","(カンマ)-"-"(ハイフン)-"."(ドット)-"/"(スラッシュ)-"("(かっこ)-")"(閉じかっこ)-"'"(アポストロフィ)-":"(コロン)-"="(イコール)

「&」が含まれる場合、半⾓英字の and 等に⼊⼒してください。

スペースのみの⼊⼒はお控えください。 スペースのみの⼊⼒項⽬がある場合、 証明書が発⾏されません。

「,」が含まれる場合も、ここではそのまま⼊⼒できます。（「\」を前置きするのは、コマンド⾏の引数として DN を指定する場合です）

各項⽬については以下を参照してください。
your first and last name（DN 情報の「CN」）
コモン・ネームになります。
例）TLS/SSL 通信を⾏うサイトが<https://www.jprs.co.jp/>の場合「www.jprs.co.jp」

Copyright© 2024 Japan Registry Services Co., Ltd.

6

CSR ⽣成⼿順(Tomcat)

注意点
Web サーバー名に以下を使⽤することはできません。
プロトコル特定⼦(http://)IP アドレスやポート番号

パス名



「*」や「?」といったワイルドカード⽂字（※）※︓ワイルドカード証明書の場合「*.example.jp」のように、⼀番左側のラベルにワイルドカード⽂字を指定します。ワイルドカード証明書以外の証明書では、ワイルドカード⽂字は使⽤できません。

Web サーバー名は、TLS/SSL 通信を⾏うサイトの URL の FQDN（Fully QualifiedDomain Name）と同⼀でなければなりません。証明書に登録する Web サーバー
名とサイトの URL のホスト名が⼀致しない場合、ブラウザがサイトへの安全な接続を拒否する場合があります。
例えば、コモン・ネームを「jprs.co.jp」として証明書を発⾏した場合、＜https://www.jprs.co.jp/＞でアクセスすると、Web サーバー名と(後⽅の⼀部は⼀致していますが)完全には⼀致していないため、ブラウザに警告が表⽰されます。なお、JPRS では「www」が含まれている名前と含まれていない名前の双⽅について同⼀の証明書を利⽤可能にする「ダブルアドレスオプション」を提供しております。
※︓ワイルドカード証明書の場合、サイトの URL の FQDN の⼀番左側のラベルとして、任意のホス
ト名を使⽤できます。ただし、*.example.jp に対し、test1.test2.example.jp など、複数の階層を持つ Web サーバー名を指定することはできません。

your organizational unit（DN 情報の「OU」）
部署⼜はグループの名前になります。
※この項⽬を省略するには、⼿順 1.1 を参照ください。また、以下の情報は⼊⼒しないでください。
-

ドメイン名および IP アドレス-

記号のみ、およびスペースのみの値-「空欄」「該当なし」などの意味を⽰す⽂字列（「null」、「N/A」など）

Copyright© 2024 Japan Registry Services Co., Ltd.

7

CSR ⽣成⼿順(Tomcat)

-

申請組織以外の情報と誤解される恐れのある名称・社名・商号・商標-

法⼈格を⽰す⽂字列（「CO.,Ltd」など）-

特定の⾃然⼈を参照させる⽂字列-

住所を⽰す⽂字列-

電話番号

your organization（DN 情報の「O」）
申請組織名になります。
例）⽇本レジストリサービスの場合 「Japan Registry Services Co.,LTD.」

your City or Locality（DN 情報の「L」）
通常、組織の本店（代表）が置かれている市区町村名になります。
例）千代⽥区の場合 「Chiyoda-ku」

your State or Province（DN 情報の「ST」）
都道府県名になります。
例）東京都の場合 「Tokyo」

the two-letter country code for this unit（DN 情報の「C」）
ISO による 2 ⽂字の国名の符号になります。「JP」と⼊⼒してください。
コマンド例︓
What is your first and last name?
[Unknown]: www.jprs.co.jp
What is the name of your organizational unit?
[Unknown]: Sales Dept.
What is the name of your organization?
[Unknown]: Japan Registry Services Co.,LTD.
What is the name of your City or Locality?
[Unknown]: Chiyoda-ku
What is the name of your State or Province?
[Unknown]: Tokyo
What is the two-letter country code for this unit?
[Unknown]: JPCopyright© 2024 Japan Registry Services Co., Ltd.

8

CSR ⽣成⼿順(Tomcat)

DN 情報の確認
DN 情報が表⽰されますので、内容を確認してください。
コマンド例︓ Is CN=www.jprs.co.jp, OU=Sales Dept., O=JapanRegistry Services CO.,LTD., L=Chiyoda-ku, ST=Tokyo, C=JP correct?

内容を確認後、yes と⼊⼒してください。
コマンド例︓[no]:yesプロンプトが表⽰されますので、何も⼊⼒せずリターン・キーを押してください。
コマンド例︓Enter key password for <tomcat>(RETURN if same as keystore password):

鍵ストアの確認
⽣成した鍵ストアを確認する場合は、次のコマンドを⼊⼒してください。
コマンド例︓ $ keytool -list -v -keystore /your/keystore/filename※「/your/keystore/filename」︓⼿順 1.1 で指定した鍵ストア名プロンプトが表⽰されますので、鍵ストアに設定したパスワードを⼊⼒してください。
コマンド例︓ Enter keystore password: changeit
鍵ストアのファイルが表⽰されます。
コマンド例︓Keystore type: jks
Keystore provider: SUN
Your keystore contains 1 entry
Alias name: tomcat
Creation date: July 19 , 2016
Entry type: keyEntry

Copyright© 2024 Japan Registry Services Co., Ltd.

9

CSR ⽣成⼿順(Tomcat)

Certificate chain length: 1
Certificate[1]:Owner: CN= www.jprs.co.jp, OU=Sales Dept., O=Japan Registry Services
CO.,LTD., L=Chiyoda-ku, ST=Tokyo, C=JP
Issuer: CN= www.jprs.co.jp, OU=Sales Dept., O= Japan Registry Services
CO.,LTD., L=Chiyoda-ku, ST=Tokyo, C=JP
Serial number: 60caadcd
Valid from: Wed July 19 00:00:00 JST 2016 until: Wed July 19 00:00:00 JST
2017
Certificate fingerprints:
MD5: 2A:27:97:FE:28:FA:E7:12:F6:11:D2:04:DF:66:97:9D
SHA1: CA:C0:2F:84:FF:B6:0F:3F:7A:D8:20:B0:70:AB:06:E4:49:DA:66:5A*******************************************

Copyright© 2024 Japan Registry Services Co., Ltd.

10

CSR ⽣成⼿順(Tomcat)

2 CSR の⽣成
鍵ペアが作成されたことを確認後、CSR を⽣成します。

CSR の⽣成次のコマンドを⼊⼒し、 CSR を⽣成してください。
コマンド例︓ $ keytool -certreq -sigalg SHA256withRSA -alias tomcat -fileserver.csr -keystore /your/keystore/filename※「tomcat」︓ ⼿順 1.1 で指定した鍵ペア名※「/your/keystore/filename」︓ ⼿順 1.1 で指定した鍵ストア名※「server.csr」: CSR が保存されるファイル名

パスワードの⼊⼒
プロンプトが表⽰されたら、鍵ストアに設定したパスワードを⼊⼒してください。
コマンド例︓ Enter keystore password: changeit

⽣成されたファイルの確認
CSR (例:server.csr)が⽣成、保存されます。
【CSR のサンプル】

ここで⽣成した CSR を、申し込み画⾯に貼り付けて申請いただきます。
※openSSL コマンドのインストールをされている場合、CSR の内容（DN 情報）は以下のコマンドで確認いただけます。

Copyright© 2024 Japan Registry Services Co., Ltd.

11

CSR ⽣成⼿順(Tomcat)

コマンド例︓ $ openssl req -noout -text -in server.csr※「server.csr」 ︓ CSR を保存したファイル名

CSR および鍵ペアの⽣成は、以上で完了です。

※重要

作成した鍵ペアのファイルは、 必ずバックアップをとって 安全な場所に保管してください。また、鍵ストアに指定したパスワード、鍵ストアのパスワードを指定する
server.xml ファイルやそのファイルのある conf ディレクトリのアクセス管理を、確実に⾏ってください。

鍵ペアのファイルの紛失、 パスワード忘れ等が発⽣した場合、 証明書のインストールができなくなります。 この場合、 新たに証明書をご購⼊いただくことになりますので、 ご注意ください。必要な場合は、システムのフルバックアップをおとりください。フルバックアップ⽅法につきましては、製品のマニュアル等をご確認ください。

Copyright© 2024 Japan Registry Services Co., Ltd.

12