データベースサーバー証明書には、データの整合性を維持し、不正侵入を防ぐための、複数のデジタル署名が含まれています。デジタル署名の作成は、次の手順で行われます。

デジタル署名は、自己署名、あるいはエンタープライズルート証明書または認証局の署名を受けています。

クライアントアプリケーションがデータベースサーバーにアクセスする場合、各クライアントがトランスポートレイヤーセキュリティを使用するように設定されていると、サーバーはその証明書のコピーをクライアントに送信します。クライアントは、証明書に含まれているサーバーのパブリックキーを使用して証明書のデジタル署名を復号化し、証明書の新しいハッシュを算出して、2 つの値を比較します。値が一致する場合は、サーバーの証明書の整合性が確認されます。

FIPS 認定の RSA 暗号化を使用している場合は、RSA を使用して証明書を生成する必要があります。

自己署名証明書の詳細については、自己署名ルート証明書を参照してください。

エンタープライズルート証明書と認証局の詳細については、証明書チェーンを参照してください。

グローバル署名証明書を使用する場合、各クライアントは証明書のフィールド値を確認して、同じ認証局が他のクライアント用に署名した証明書を信頼することを避けなければなりません。この問題を解決するには、証明書の識別情報部分のフィールド値をテストするようにクライアントに要求します。認証局は、署名を行ったすべての証明書の識別情報が正確であることを保証する必要があります。

グローバル署名証明書の詳細については、グローバル署名証明書を参照してください。

createcert ユーティリティを使用して証明書を作成する場合は、組織、組織単位、通称のフィールドに値を入力します。対応するクライアント接続パラメーターを使用して、これらのフィールドを確認します。サードパーティの認証局を使用して証明書にグローバル署名している場合は、証明書フィールドを確認してください。

クライアント側の暗号化接続パラメーターの詳細については、Encryption (ENC) 接続パラメーターを参照してください。

Encryption 接続パラメーターで TLS を指定する場合、これが唯一の必須プロトコルオプションです。クライアントは、trusted_certificate 暗号化プロトコルオプションを使用して、信用されたデータベースサーバー証明書を指定します。信頼できる証明書は、サーバーの自己署名証明書、パブリックエンタープライズルート証明書、民間認証局に属する証明書のいずれかです。

• trusted_certificate プロトコルオプション
• デジタル証明書