https://blog.imcaoxuan.cn/ja/tags/pkcs12/Recent content in PKCS12 on CX's BlogHugoja-jpimcaoxuan.cnMon, 26 Oct 2026 00:00:00 +0000https://blog.imcaoxuan.cn/ja/posts/2026-10-26-mtls-client-cert-macos-ios/Mon, 26 Oct 2026 00:00:00 +0000https://blog.imcaoxuan.cn/ja/posts/2026-10-26-mtls-client-cert-macos-ios/<h1 id="macos-と-ios-でクライアント証明書を使用して-mtls--websitesにアクセスする">macOS と iOS でクライアント証明書を使用して mTLS Websitesにアクセスする</h1> <p>本文では、macOS および iOS デバイスでクライアント証明書を設定し、双方向 TLS（mTLS）を有効にした HTTPS ウェブサイトにアクセスする方法を説明します。例では、プライベート CA、<code>step-ca</code>、Nginx、PKCS#12、および PIV スマートカードを使用します。以下のドメイン名、証明書名、ファイル名、IP アドレスはすべて例なので、実際の値に置き換えてください。</p> <h2 id="1-mtls-認証フロー">1. mTLS 認証フロー</h2> <p>通常の HTTPS では主にクライアントがサーバー証明書を検証しますが、mTLS ではさらにサーバーがクライアント証明書を検証します。</p> <p>基本フロー：</p> <ol> <li>クライアントが HTTPS サイトにアクセスする。</li> <li>Nginx が TLS ハンドシェイク中にクライアント証明書を要求する。</li> <li>ブラウザーまたはシステムがクライアント ID を選択し、対応する秘密鍵で署名する。</li> <li>Nginx が構成に基づいてクライアント証明書、証明書チェーン、有効期限を検証する。</li> <li>検証に成功すると接続は HTTP レイヤーに入り、サイト側のポリシーによってアクセスが許可されるかどうかが決定される。</li> </ol> <p>クライアント ID とサーバー CA の信頼は、それぞれ独立した構成です。</p> <ul> <li><strong>クライアント ID</strong>：クライアント証明書およびそれに対応する秘密鍵。サーバーに対して自身を証明するために使用します。</li> <li><strong>サーバー CA の信頼</strong>：クライアントがウェブサイト用サーバー証明書の発行者を信頼する CA。HTTPS サーバーの同一性を検証するために使用します。</li> </ul> <p>クライアント証明書をインストールしても、デバイスがプライベート CA を自動的に信頼するようになるわけではありません。</p> <h2 id="2-macospiv-ハードウェアキーの使用">2. macOS：PIV ハードウェアキーの使用</h2> <p>クライアント秘密鍵が PIV 対応ハードウェアキーに保存されている場合は、秘密鍵をハードウェアデバイス内に保持し、秘密鍵ファイルのエクスポートを回避できます。ブラウザーがこの ID を使用できるかどうかは、macOS、スマートカードミドルウェア、鍵デバイス、およびブラウザーのサポート状況に依存します。</p> <p>一般的な確認手順：</p> <ol> <li>PIV ハードウェアキーを挿入する。</li> <li>macOS がスマートカードとその証明書を認識できることを確認する。</li> <li>ブラウザーを開いて mTLS サイトにアクセスする。</li> <li>ブラウザーがクライアント証明書を要求する場合は、対応する ID を選択する。</li> <li>指示に従って PIN を入力する、またはハードウェア上の操作を完了する。</li> <li>ページの表示結果とサーバーログを照合し、認証に成功したか確認する。</li> </ol> <p>次のコマンドでシステムの状態を確認できます。</p>