---
title: "非公開証明書を用いたTLSインスペクションによるトラフィックの保護"
slug: "securing-traffic-with-tls-inspection-using-private-certificates"
updated: 2026-07-30T01:26:57Z
published: 2026-07-30T01:26:57Z
canonical: "knowledge.catonetworks.com/securing-traffic-with-tls-inspection-using-private-certificates"
---

> ## Documentation Index
> Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt
> Use this file to discover all available pages before exploring further.

# 非公開証明書を用いたTLSインスペクションによるトラフィックの保護

## なぜTLSインスペクションに自分のCA証明書を使用するのか？

素晴らしい質問です！ 独自のCA証明書を使用する主なケースは、トラフィックインスペクションの内部コンプライアンス、セキュリティ、ガバナンスのためです。 これは、証明書インフラストラクチャを活用して、環境を横断するトラフィックを復号化および検査できることを意味します。 リマインダー：TLSインスペクションは、RBI、CASB、DLPなどの他のCato機能の前提条件となる機能です。

## 非公開CA証明書によるTLSインスペクションの仕組みは？

TLSインスペクションに独自のCA証明書を使用するための主なアプローチは2つあります:

- CAの秘密鍵を含む独自のCA証明書をアップロードする
- Catoからの証明書署名要求（顧客署名証明書）

Cato提供の証明書をTLSインスペクションに使用するオプションも常に利用可能です。 そのオプションについての詳細は[こちら](/v1/docs/installing-the-root-certificate-for-tls-inspection)からお読みいただけます。

重要な点として、複数の証明書を作成できますが、任意の時点でアクティブにできる証明書は1つだけです。

顧客環境の全体的なセキュリティ姿勢を強化することに加えて、カスタム証明書が設定されると、以下のルールでTLSインスペクションに使用されます：

- ファイアウォール
- マルウェア対策
- IPS
- CASB/DLP
- RBI

これらのメソッドのいずれかでTLSインスペクションが有効にされると、ルールでバイパスされたトラフィックを除くすべてのTLSトラフィックが復号化されて検査されます。

### 既存のCA証明書のアップロードによるTLSインスペクション

![certificate_management.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24303186756253.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A01%3A56Z&se=2026-11-10T18%3A01%3A56Z&sr=c&sp=r&sig=yJ8QoH0IM9M7IpDKy%2F95yTjuuoCirOavHubYxNdkUdY%3D)

既存の企業CA証明書をTLSインスペクション用に使用するオプションの場合、まず署名された証明書をアップロードし、暗号化されていない秘密鍵を添付します。

CA証明書がアップロードされると、署名済みのCA名、証明書チェーン、有効期限を含む証明書の詳細ビューが表示されます。

証明書の有効期間を更新するために新しい証明書をアップロードする必要がある場合、現在のアップロードされたファイルを削除し、新しい証明書と鍵ペアでプロセスを再開します。 Cato管理アプリケーションは、証明書の有効期限60日前に管理者に通知を開始し、Cato管理アプリケーションおよびメール通知で期限切れ当日、30日、7日、それを繰り返します。これにより、有効期限切れによる不便やセキュリティの欠落を避けるために役立ちます。

有効期限が60日未満の証明書には、アクティブボタンの横にオレンジ色の三角形アイコンが表示されます。 カーソルをそれに重ねると、「証明書がXX日で期限切れです」と表示されます。 証明書が期限切れになると、アクティブボタンの横に赤い円アイコンが表示され、カーソルをアイコンに重ねると「証明書は期限切れです」と表示され、アクティブボタンはグレーアウトされます。

> [!NOTE]
> 注意：
> 
> Catoは現在、証明書を取り消すことができません。

**既存のカスタム証明書をアップロードする方法：**

1. ナビゲーションメニューから、 **セキュリティ > 証明書管理**をクリックします。
2. **新規**をクリックして、**カスタム証明書**を選択します。
3. **カスタム証明書**パネルで、カスタム証明書および証明書の秘密鍵の両方をブラウズしてアップロードします。 両方のファイルが正常にアップロードされた後、**送信**をクリックします。

![Custom_certificate_panel.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24303215250077.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A01%3A56Z&se=2026-11-10T18%3A01%3A56Z&sr=c&sp=r&sig=yJ8QoH0IM9M7IpDKy%2F95yTjuuoCirOavHubYxNdkUdY%3D)

**送信**をクリックすると、証明書と鍵が検証され、すべての必要な情報が正確で使用可能であることが確認されます。 アップロードされた証明書とキーは以下のために検証されます：

これらの検証のいずれかが失敗した場合、エラーが表示されます。
  - 証明書は、中間またはCAの発行者証明書でなければなりません（証明書は他の証明書に署名できる必要があります）
  - 証明書チェーンが存在し、ルートCAが含まれています
  - 証明書ファイルはPEM形式でなければなりません
  - キー ファイルはパスワード保護されておらず、最小暗号化キー長はRSA形式で2048ビットです
  - 秘密鍵はアップロードされたCA証明書と一致する必要があります

その証明書鍵ペアを使用して、Cato は新しい鍵ペアを生成し、カスタム中間証明書を生成します。 新しく作成された鍵ペアはインポートされた秘密鍵を使用して署名され、暗号化され、Catoのキーストアに保存されます。 新しい中間証明書が生成された後、アップロードされた未暗号化の鍵はシステムから削除され、新たに生成された中間証明書だけが使用されます。

### 証明書署名要求の生成

このオプションにより、Cato テナントからの証明書署名要求（CSR）を生成し、組織のCAによって署名された中間証明書で署名されるように設定できます。 このオプションは、環境のセキュリティ姿勢を高めることに加え、利用するプラットフォームにより生成されたCSRにより管理者が必要な証明書を作成しやすくします。

> [!NOTE]
> 注意：
> 
> 多くのCSRを生成できますが、1回のアカウントで1つの証明書しかアクティブにできません。

**アカウント用のカスタムCSRを生成する方法：**

1. ナビゲーションメニューから、 **セキュリティ > 証明書管理**をクリックします。
2. **新規**をクリックして、**CSR-証明書署名要求**を選択します。

CSRの作成パネルが表示されます。
3. 次の必須フィールドに入力してください：

注意：CSRの他のフィールドはオプションですが、すべての情報を入力するのがベストプラクティスです。
  - **証明書名**
  - **組織名**
  - **一般名**
4. CSRを作成して、証明機関に署名してもらうために**CSRを作成**をクリックします。

![Create_CSR.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24303158660509.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A01%3A56Z&se=2026-11-10T18%3A01%3A56Z&sr=c&sp=r&sig=yJ8QoH0IM9M7IpDKy%2F95yTjuuoCirOavHubYxNdkUdY%3D)

CSRを生成した後、署名された証明書をアップロードするオプションが表示されます。

![Create_CSR_Upload.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24303215395101.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A01%3A56Z&se=2026-11-10T18%3A01%3A56Z&sr=c&sp=r&sig=yJ8QoH0IM9M7IpDKy%2F95yTjuuoCirOavHubYxNdkUdY%3D)
5. 完成したCSRは自動的に管理者のローカルマシンにダウンロードされ、証明機関に署名のためにCSRファイルを送信できます。
6. CAからの署名された証明書はCato管理アプリケーションにアップロードする必要があります。 証明書管理メニューに戻り**証明書をアップロード**をクリックします。
7. ローカルマシンからCato環境にアップロードして、証明書のTLSインスペクションルールでの使用を可能にするために署名された証明書を選択します。

注：署名された証明書には以下が含まれている必要があります：

- 次のRSAアルゴリズムのいずれかによって署名されたもの：
  - sha256WithRSAEncryption
  - sha512WithRSAEncryption
- 最小2048の鍵サイズで署名されたもの
- 以下の属性を含める必要があります：

以下のコマンドを使用して属性を確認できます：

```plaintext
openssl x509 -in signed_cert.crt -text -noout
```

注：現時点で証明書の取り消しはサポートされていません。
  - authorityKeyIdentifier=keyid,issuer
  - basicConstraints=CA:TRUE
  - keyUsage = keyCertSign,cRLSign

## モニタリングと監査

有効期限切れの証明書にはイベントは生成されませんが、証明書の生成、アップロード、または削除時に監査ログ エントリが作成されます。 アカウント > 監査証跡 > 検索フィールドで"tlsアカウント"を使って検索し、生成された証明書および削除された証明書の監査証跡を表示します：

| ![image-20230423-104436.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24303200040477.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A01%3A56Z&se=2026-11-10T18%3A01%3A56Z&sr=c&sp=r&sig=yJ8QoH0IM9M7IpDKy%2F95yTjuuoCirOavHubYxNdkUdY%3D) |
| --- |

## 動作中の見え方

カスタム証明書が機能しているとき、ブラウザは返された証明書が顧客がCato管理アプリケーションの証明書管理にアップロードしたカスタム証明書と同じであることを示します。 その後、Cato管理アプリケーションのアクティブな証明書との返された証明書の共通名と証明書のフィンガープリントを比較できます。

| ![image-20230423-104907.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24303156204445.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A01%3A56Z&se=2026-11-10T18%3A01%3A56Z&sr=c&sp=r&sig=yJ8QoH0IM9M7IpDKy%2F95yTjuuoCirOavHubYxNdkUdY%3D) |
| --- |

## リソース

証明書を扱う際に役立ついくつかの便利なOpenSSLコマンドはこちらです：

- OpenSSLを使用して秘密鍵の長さを確認する：
  - `openssl rsa -in myCA.key -text -noout`
- CAと秘密鍵の検証：

使用箇所：

両方のコマンドの出力を比較します。 それらが同一である場合、秘密鍵は証明書と一致しています。
  - `openssl x509 -noout -modulus -in cert.crt | openssl md5`
  - `openssl rsa -noout -modulus -in privkey.txt | openssl md5`
  - **cert.crt** はあなたの証明書です
  - **privkey.txt** はあなたの秘密鍵です
- OpenSSLを使用した証明書の署名：

使用箇所：
  - `openssl x509 -req -sha256 -CA myCA.pem -CAkey myCA.key -in test\ request.csr -out signed_cert.crt -days 365 -CAcreateserial -extfile signed_cert_attributes.conf`
  - **sha256** は署名アルゴリズムです。 Macではデフォルトは**sha-1** です。 **sha512** も使用可能です。
  - **myCA.pem** はあなたのCAです
  - **myCA.key** はあなたの秘密鍵です
  - **request.csr** は cc2から取得したcsrファイルです
  - **signed_cert.crt** はあなたの新しい署名済み証明書です
  - **signed_cert_attributes.conf** ファイルは次のサンプルコンテンツを含んでいます：
    - `basicConstraints=CA:TRUE`
    - `authorityKeyIdentifier=keyid,issuer`
    - `keyUsage = keyCertSign,cRLSign`