内部IP SSL証明書の設定方法
現在、内部IPアドレスのhttps暗号化に対応しているSSL証明書には、sslTrus、CFCAなどの中国国産ブランドがあります。内部IP SSL証明書を取得したら、サーバー（Nginx、Apache、Tomcat、IISなどの一般的な種類）で設定を完了できます。内部IPアドレスでhttps認証を実現する手順は、ドメインSSL証明書のインストール手順と類似しています。
参考情報：
ただし、サーバー側で内部IP証明書の設定を完了した後、ユーザーはクライアントにルート証明書をインポートして初めて、https 暗号化を実現し、安全ではないという警告を消すことができます。
クライアントへのIPルート証明書インポート方法
クライアントへのルート証明書のインポートには、2つの方法があります：1つはドメインコントローラーによるプッシュ方式、もう1つはスクリプト実行方式です。
方法1：ドメインコントローラーによるルート証明書のプッシュ
この方法は、内部ネットワーク環境に多数のユーザークライアントがある企業に適しています。ドメインコントローラーからルート証明書をプッシュすることで、ドメイン内のすべてのユーザーがルート証明書を自動的に受信するため、各クライアントで個別にインポートする手間が省けます。具体的な手順は以下の通りです：
- ドメインコントローラーで、管理者権限でログインし、
gpmc.mscグループポリシー管理エディターを実行します。
- フォレストに入り、デフォルトのGPOを編集するか、新しいGPOを追加します。
- 【コンピューターの構成】-【ポリシー】-【Windowsの設定】-【セキュリティの設定】-【公開キーのポリシー】-【信頼されたルート証明機関】の順に展開します。
- Racentが提供するルート証明書をインポートします。
- インポートが成功すると、各クライアントは90分以内にグループポリシーを自動更新します。または、
gpupdate /forceコマンドを使用して既定のドメインポリシーを強制的に更新することもできます。
- これで、ドメイン内のすべてのユーザーがドメインコントローラーからプッシュされたルート証明書を受信します。
方法2：スクリプトによるルート証明書のインポート
この方法は、ドメインコントローラーがない、またはグループポリシーを使用したくないユーザーに適しています。具体的な手順は次のとおりです。
- スクリプトでルート証明書をインポートするには、
Windows powershellを開き、powershellに以下を入力します。
Import-Certificate -FilePath "ssltrus-g1.der" -CertStoreLocation cert:\CurrentUser\Root
注意
引用符内の内容は現在のルート証明書の実際の保存パスです
- 「はい」をクリックすると、インポートが成功し、下図のように表示されます:
ユーザーは自身の状況に応じてルート証明書のインポート方法を選択し、社内IP SSL証明書の設定を完了することで、社内環境における伝送データの暗号化と本人認証を実現できます。