日本語

カスタム CA 証明書を追加する

パッケージマネージャーの通信を検査するため、Device Protection はローカルの認証局 (CA) を使用し、インストール時に構成するツール向けの CA バンドルを作成します。これらのツールは既定の信頼リストではなく Aikido のバンドルを参照するため、バンドルに含まれていない CA はそれらから信頼されなくなります。

それは、組織が独自の CA を運用している場合に重要です。たとえば、TLS 通信を検査する企業プロキシ (Zscaler、Netskope) や、内部証明書で提供されるプライベートレジストリなどです。CA を登録すると、Aikido が作成するすべてのバンドルにその CA が追加され、Aikido がそれらのバンドルを再構築または修復するときにも保持されます。

これが必要になる場合

Device Protection のインストール後に、ツールが内部ホストや TLS 検査の背後にあるレジストリに到達できない場合は、CA を登録してください。エラーには通常、自己署名証明書、未知の発行者または信頼されていない発行者、または検証できなかった証明書が示されます。

失敗している証明書が組織のものではなく Aikido 自身の CA である場合は、次を参照してください SSL/TLS 証明書エラーの修正 の代わりに。

始める前に

  • デバイス上の PEM ファイルとしての CA 証明書。たとえば corporate-ca.pem.
  • 管理者権限が必要です。このコマンドは、macOS と Linux では root として、Windows では昇格したプロンプトから実行する必要があります。

CA を登録する

sudo aikidoctl certconfig adopt /path/to/corporate-ca.pem

Aikido は、作成したバンドルに CA を追加し、各ツールの信頼設定を再インストールします。

既に実行中のシェルやサービスは、以前の環境を保持します。テストする前に新しいログインシェルを開くか、影響を受けるサービスを再起動してください。

登録する内容と登録しても変わらない内容

  • これは、Aikido が作成するすべての CA バンドルを対象にします。詳しくは SSL/TLS 証明書エラーの修正 インストール時に Device Protection が構成するツールについて参照してください。
  • その CA は Aikido の自動的なドリフト修復後も残るため、ルールが再インストールされても信頼されたままになります。
  • macOS のシステムキーチェーンや Windows の証明書ストアは変更しません。OS の信頼ストアを読み取るツールは、MDM がそこにインストールした内容を引き続き使用します。
  • 検査対象としてレジストリドメインを登録しません。Device Protection に自分のレジストリから来るパッケージをスキャンさせるには、次の下に追加してください カスタムレジストリ.

関連ページ

SSL/TLS 証明書エラーの修正 aikidoctl CLI