特定サイトに対する SSLサーバ証明書の検証無効化方法
Article ID: 428322
Updated On:
Products
Issue/Introduction
Edge SWG経由のHTTPS通信において、「ssl_server_cert_untrusted_issuer」 エラー画面が表示される場合があります。
本事象は、Edge SWG に搭載されている デフォルトの信頼済みCA証明書リストに、対象サーバ証明書の発行元CAが含まれていないことに起因します。
Cause
Edge SWGは、HTTPS通信時にサーバ証明書の発行元を検証し、信頼されていないCAによって署名された証明書を検出した場合、アクセスを拒否する仕様となっています。
そのため、サーバ証明書のルートCAがEdge SWGの信頼済みCAリストに登録されていない場合本エラーが表示されます。
Resolution
「ssl_server_cert_untrusted_issuer」エラーは、サーバ証明書のルート証明書をEdge SWGの信頼済みCA証明書リストに追加することで解消できます。
テスト目的で独自に作成したSelf Signed証明書を利用しているため、該当ルート証明書をEdge SWGの信頼済みCAリストへ追加したくない場合は、
特定のURLに対し、Edge SWGがSSLサーバ証明書の検証を行わないように例外設定を追加することも可能です。
ルート証明書をEdge SWGの信頼済みCAリストへ追加せずに、証明書検証スキップ解消するには、以下のいずれかの手法で設定を行います。
Local PolicyをContent Policy Language(CPL)を使ってコマンドライクで設定する
1.Configuration > Policy > Policy Options より、Local Policy File の編集ボタンを押下します。
2.以下の内容を追加し、Install ボタンを押下します。
------------------------------------------------------------------------------------------------------------------
<SSL>
url.domain=<指定の URL> server.certificate.validate(yes) server.certificate.validate.ignore(untrusted_issuer)
------------------------------------------------------------------------------------------------------------------
Visual Policy Manager(VPM)を使ってGUIで設定する
1.Add Layer から SSL Access Layer を選択して Add ボタンを押下します。
2.Destination で Set > Add a new object を押下し、Request URL を選択します。
3.URL を入力して Apply ボタンを押下します。
4.ActionでSet > Add a new objectを押下し、Set Server Certificate Validationを選択します。
5.Enable server certificate validation を選択後、Ignore untrusted issuer にチェックを入れて Apply ボタンを押下します。
6.Apply Policy ボタンを押下して、ポリシーを有効化します。
Feedback
