PKI は以下のエンティティで構成されています。

• セキュアなネットワークで通信する複数のピア

• 証明書を発行および維持する認証局（CA）を最低 1 つ

• デジタル証明書（証明書の有効期間、ピアの ID 情報、セキュアな通信に使用する暗号キー、CA 発行のシグニチャなどで構成）

• 登録要求を処理し CA の負荷を軽減する登録局（RA）（任意）

• 証明書失効リスト（CRL）を配信するメカニズム（Lightweight Directory Access Protocol（LDAP）、HTTP など）

Note	Public Key Infrastructure（PKI）は、重要な拡張である Inhibit Any Policy をサポートしていません（内部 PKI ライブラリがこの拡張を認識しないため）。

PKI を使用すると、セキュアなデータ ネットワークで暗号化情報と ID 情報を配信、管理、失効するためのスケーラブルでセキュアなメカニズムを実現できます。セキュアな通信に関係するエンティティ（人物またはデバイス）はすべて、あるプロセスを経て PKI に登録されます。そのプロセスでは、エンティティが RSA（Rivest、Shamir、Adelman）キーのペア（秘密キーが 1 つ、公開キーが 1 つ）を生成し、信頼されているエンティティ（CA またはトラストポイントともいいます）でキーの ID を確認します。

各エンティティが PKI に登録されると、PKI のすべてのピア（エンド ホストともいいます）は、CA が発行したデジタル証明書を付与されます。セキュアな通信セッションをネゴシエーションする必要があるときは、ピアはデジタル証明書を交換します。ピアは証明書内の情報を基に他のピアの ID を確認し、証明書内の公開キーを使って、暗号化されたセッションを確立します。

PKI はさまざまな方法で計画、設定できますが、次の図に、PKI を構成する主なコンポーネントと、PKI で実行される各選択の順番を示します。図をアプローチとして推奨していますが、別の方法で PKI を設定してもかまいません。

RSA キー ペアは、公開キーと秘密キーで構成されます。PKI を設定する場合、証明書登録要求に公開キーを含める必要があります。証明書が付与された後、ピアが公開キーを使用して、ルータに送信されるデータを暗号化できるように、公開キーが証明書に組み込まれます。秘密キーはルータに保持され、ピアによって送信されたデータの復号化と、ピアとネゴシエーションするときの、トランザクションのデジタル署名に使用されます。

RSA キー ペアには、キーのモジュラス値が含まれています。モジュラス値に応じて、RSA キーのサイズが決まります。モジュラス値が大きいほど、RSA キーの安全性が高まります。ただし、モジュラス値が大きくなると、キーの生成にかかる時間が長くなり、キーのサイズが大きくなると暗号化処理および復号化処理にかかる時間が長くなります。

Note	デフォルトのキーサイズは 1024 ビットです。

CA（トラストポイントともいいます）は、証明書要求を管理し、参加ネットワーク デバイスに証明書を発行します。証明書要求の管理や証明書発行などのサービスにより、参加デバイスを一元的に管理します。またこれらのサービスによって受信者は、明示的に信頼してアイデンティティを確認し、デジタル証明書を作成できます。PKI の動作を開始する前に、CA は独自の公開キー ペアを生成し、自己署名 CA 証明書を作成します。その後、CA は、証明書要求に署名し、PKI に対してピア登録を開始できます。

CA は、サードパーティの CA ベンダーが提供する CA を使用するか、内部の CA、つまり Cisco IOS 証明書サーバを使用します。

証明書の登録は、CA から証明書を取得するプロセスです。PKI に加わるエンド ホストは、それぞれ証明書を取得する必要があります。証明書の登録は、証明書を要求しているエンド ホストと CA との間で行われます。次の表および手順によって、証明書の登録プロセスを説明します。

1. エンド ホストが RSA キーのペアを生成します。

2. エンド ホストが証明書要求を生成し、CA（または使用可能な場合は RA）に送ります。

3. CA が証明書登録要求を受け取ります。ネットワークの設定によって、次のいずれかになります。

   1. 要求の承認に手動による操作が必要。

   2. CA に証明書を自動で要求するようにエンド ホストが設定されている。これにより、登録要求が CA サーバに送信されたときのオペレータによる手動操作は不要になります。

Note	CA に証明書を自動で要求するようにエンド ホストを設定するには、別の認証メカニズムが必要になります。

1. 要求が承認されると、CA は自分の秘密キーを使って要求に署名し、処理の終わった証明書をエンド ホストに戻します。

2. エンド ホストは、証明書を NVRAM などの保管領域に書き込みます。

各ピアが正常に PKI に登録されると、ピアは互いにセキュアな接続を行うためのネゴシエーションを開始できます。そのためにピアは確認に自分の証明書を提示し、失効のチェックを受けます。ピアは、通信相手のピアの証明書が、認証済みの CA によって発行された証明書であることを確認すると、CRL サーバまたは OCSP（Online Certificate Status Protocol）サーバをチェックし、証明書を発行した CA によって証明書が失効になっていないことを確認します。証明書には通常、証明書分散ポイント（CDP）が URL 形式で含まれています。Cisco IOS ソフトウェアはこの CDP を使用して、CRL の場所の特定と取得を行います。CDP サーバが応答しないと Cisco IOS ソフトウェアはエラーを生成し、ピアの証明書が拒否される場合があります。