証明書署名要求（CSR）

CSR（証明書署名要求）とは、公開鍵基盤において、申請者（またはサブスクライバー）が公開鍵証明書（デジタル証明書）の発行を求めて認証局（CA）に送信するメッセージです。

このような証明書を取得するには、申請者はまず公開鍵と秘密鍵からなる鍵ペアを生成します。秘密鍵を安全に保管し、公開鍵をCAに提出するCSRに含めます。認証局が申請を検証して承認すると、CA自身の秘密鍵でデジタル署名した申請者用のデジタル証明書を発行します。CSRには公開鍵情報のほか、組織の正式名称や住所などの構造化された詳細情報を含む「識別名（DN）」も記載されます。

CSRに応じて証明書を発行する認証局は、パブリック認証局とプライベート認証局の2種類に大別できます。

パブリック認証局は、ルート証明書（CAの真正性を検証する証明書）がWebブラウザー、メールクライアント、その他のアプリケーションにあらかじめインストールされている、公的に認められた機関です。これにより、発行された証明書を自動的に検証できます。Webサーバー用のSSL証明書や、安全な外部通信に使用する証明書など、一般公開されるサーバーの証明書は、通常、パブリック認証局から取得する必要があります。

一方、プライベート認証局は、各組織や企業が社内の運用ポリシーに基づいて運用します。プライベート認証局が発行した証明書は、ブラウザーや外部システムから公に信頼できるものとして認識されません。たとえば、プライベート認証局が発行したSSL証明書を使用してWebサイトを公開すると、その証明書が公的に検証されていないことを示すセキュリティ警告がブラウザーに表示されます。ただし、プライベート認証局が発行したクライアント証明書は、企業の内部システムにおける認証に、実用上の問題なく効果的に導入できます。

さらにF5は、BIG-IP Access Policy Manager（APM）でクライアント証明書認証機能を提供しています。これには、クライアント証明書の管理と導入を簡素化する組み込みのプライベートCA機能も含まれます。