MID Server が顧客ファイアウォール上で HTTP ポート 80 の DigiCert OCSP レスポンダー URL を必要とする<!-- /*NS Branding Styles*/ --> .ns-kb-css-body-editor-container { p { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } span { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } h2 { font-size: 24pt; font-family: Lato; color: var(--now-color--text-primary, black); } h3 { font-size: 18pt; font-family: Lato; color: var(--now-color--text-primary, black); } h4 { font-size: 14pt; font-family: Lato; color: var(--now-color--text-primary, black); } a { font-size: 12pt; font-family: Lato; color: var(--now-color--link-primary, #00718F); } a:hover { font-size: 12pt; color: var(--now-color--link-primary, #024F69); } a:target { font-size: 12pt; color: var(--now-color--link-primary, #032D42); } a:visited { font-size: 12pt; color: var(--now-color--link-primary, #00718f); } ul { font-size: 12pt; font-family: Lato; } li { font-size: 12pt; font-family: Lato; } img { display: ; max-width: ; width: ; height: ; } } 目次 OCSPとは何ですか、なぜですか?ServiceNow MID サーバーでどのように使用されるか?どの URL/IP アドレスを開く必要がありますか? ブラウザとの接続性のテストWindows で Powershell との接続をテストするLinux での Curl との接続性のテストインスタンス証明書から特定の URL を確認する方法 なぜhttpポート80なのですか? OCSP とは何か、そしてなぜ必要なのか？ Online Certificate Status Protocol (OCSP) は、Web サーバーの保護などに使用されるデジタル証明書の失効状態を取得するために使用されるインターネットプロトコルです。 一般的に信頼されているすべての認証局（CA）および証明書ベンダーは、OCSP サーバーまたは CRL サーバーを運用し、失効リストを提供しています。これにより、たとえば証明書の秘密鍵が侵害された可能性がある場合などに、予定された有効期限より前に証明書を失効させることができます。 ServiceNow MID Server ではどのように使用されるのか？ Orlando リリース以降、さまざまな証明書セキュリティチェックが MID Server コードに追加され、Quebec リリースでは MID Security Policy 機能 として提供されるようになりました。 OCSP レスポンダーへ接続できない MID Server は、それをチェック失敗として扱い、実際には失効していなくても失効した可能性があると判断します。 この状況では、MID Server はインスタンスへ接続せず、Down 状態になります。 そのため、インスタンス経由でその MID Server をリモートデバッグすることもできません。原因を診断するには、MID Server のインストールフォルダー内にあるエージェントログファイルが必要になります。 お客様管理者は、デバッグの一環として *.service-now.com への接続に対する失効チェックを一時的に無効化できますが、セキュリティリスクが増大するため、恒久的な解決策としてはサポートされていません。 どの URL / IP アドレスを開放する必要がありますか？ 侵害された証明書が記録される唯一の信頼できる場所は CA のデータベースです。そのため、これらの CA が提供するサーバー URL を開放する必要があります。 2024/25 年以降、ホスト型インスタンスでは DigiCert 証明書が使用されており、OCSP サーバーとして次が指定されています。http://ocsp.digicert.com DigiCert はすべてのサーバー URL および IPv4/IPv6 アドレスを次で公開しています。DigiCert Certificate Status IP Address Information 注意: 2024/25 年以前のホスト型インスタンスでは Entrust 証明書が使用されており、内部的には次の OCSP サーバーが指定されていました。http://ocsp.entrust.net URL の一覧: Entrust Revocation CRL/OCSP IP Range Entrust から DigiCert への変更については、次の KB に記載されています。KB1702083 Replacing Entrust Certificate Authority (CA) ブラウザーを使用した接続性テスト DigiCert OCSP サーバーへの接続をテストするには、ブラウザーを開き、http://ocsp.digicert.com/ にアクセスします。「CRL/CACERT Repository」が表示されるはずです。 「This site can't be reached」のようなエラーが表示される場合は、ファイアウォールによってブロックされていることを示します。 ただし、ブラウザーのプロキシ設定は同じホスト上であっても Java が使用している設定と異なる場合があります。そのため、コマンドラインテストでも確認してください。 Windows の Powershell を使用した接続性テスト より低レベルのテストとして、次の Powershell コマンドを使用できます。 Invoke-WebRequest http://ocsp.digicert.com/ Linux の Curl を使用した接続性テスト curl http://ocsp.digicert.com/ philip.harcourt@localhost % curl http://ocsp.digicert.com<html><body> CRL/CACERT Repository</body></html> インスタンス証明書から実際の URL を確認する方法 Qualys SSL Labs には便利な証明書チェックツールがあり、インターネット上のコンピューターから見える IP アドレスと証明書を確認できます。https://www.ssllabs.com/ssltest/ インスタンス URL を入力します。次のような結果が返されます。 Revocation informationCRL, OCSPCRL: http://crl3.digicert.com/DigiCertEVRSACAG2.crlOCSP: http://ocsp.digicert.com Revocation statusGood (not revoked) 内部のインターセプション/インスペクションファイアウォールが MID Server トラフィックを検査するために ServiceNow のインスタンス証明書を偽装していない限り、これは MID Server がインスタンスへ接続する際に認識する証明書と同じであるはずです。これを行わないように、ファイアウォールのバイパス設定を追加することを推奨します。 なぜ HTTP ポート 80 なのですか？ 認証局（CA）の OCSP レスポンダーは一般的にポート 80 上の HTTP を使用します。これらのサーバーは ServiceNow によって管理されているわけではありません。ServiceNow は証明書ベンダーによる OCSP/CRL サーバー実装方法に影響を与えることはできません。 もしこれらのサーバーが HTTPS/443 を使用すると、OCSP トラフィックは TLS トラフィック内にカプセル化されることになります。しかし TLS 自体が証明書失効確認を必要とし、OCSP が証明書失効確認のための仕組みであるため、OCSP リクエスト自体の失効確認を行おうとすると再帰的な問題が発生してしまいます。 443 ポートでクライアントから接続し、80 ポートで適切な OCSP サーバーへ接続する TLS プロキシサービスを用意することは理論上可能です。しかし、その場合でも最終的にはクライアントがポート 80 へ到達する必要があるため、セキュリティ上の状況は何も変わりません。