mTLS はいつ使うべきですか?

サービス間通信(マイクロサービス、API)、ゼロトラストネットワーク、高セキュリティのクライアント接続(金融 API、IoT デバイス管理)に使います。ユーザー認証をアプリケーション層で処理するパブリック Web アプリには過剰です。

クライアント証明書はどうローテーションしますか?

自動発行付きの短命な証明書(例:24 時間)を使います。クライアントは、現在有効な証明書で認証しながら、古い証明書の期限切れ前に新しい証明書を要求します。cert-manager(Kubernetes)や SPIFFE などのツールがこれを自動化します。

mTLS はクライアントとサーバーの両方に証明書の提示を求め、パスワードなしで強力な双方向認証を実現します。サービス間通信やゼロトラストアーキテクチャで一般的です。

1

標準 TLS では、サーバーのみが identity を証明します。mTLS では、クライアントも証明書を提示し、サーバーが検証します。これにより、サービス間通信からパスワードが排除されます。サーバーはクライアント証明書を「要求して検証する」よう設定します。
2

RSA ツール →
クライアント鍵ペアを生成し、CSR を作成します。内部 CA が署名してクライアント証明書を返します。クライアントは証明書と秘密鍵の両方を保存します。
3

ハッシュ計算ツール →
クライアント証明書のチェーンを内部 CA のルートに対して検証します。サーバーはこの CA を信頼する必要があります(クライアント検証用の信頼された CA として設定)。
4

サーバーをクライアント証明書必須に設定します(nginx:ssl_verify_client on; ssl_client_certificate ca.crt)。証明書の DN を認可ロールにマッピングします。ゼロトラストには、内部 CA または SPIFFE/SPIRE による自動ローテーションで、短命な証明書(年単位でなく時間単位)を使ってください。

mTLS はいつ使うべきですか?: サービス間通信(マイクロサービス、API)、ゼロトラストネットワーク、高セキュリティのクライアント接続(金融 API、IoT デバイス管理)に使います。ユーザー認証をアプリケーション層で処理するパブリック Web アプリには過剰です。
クライアント証明書はどうローテーションしますか?: 自動発行付きの短命な証明書(例:24 時間)を使います。クライアントは、現在有効な証明書で認証しながら、古い証明書の期限切れ前に新しい証明書を要求します。cert-manager(Kubernetes)や SPIFFE などのツールがこれを自動化します。