方法 : X.509 証明書の秘密キーの暗号化プロバイダを変更する

[アーティクル]
09/12/2008

ここでは、X.509 証明書の秘密キーを提供するために使用する暗号化プロバイダを変更する方法、およびそのプロバイダを Windows Communication Foundation (WCF) のセキュリティフレームワークに統合する方法を説明します。証明書の使用に関する詳細については、「証明書の使用」を参照してください。

WCF のセキュリティフレームワークには、「方法 : カスタムトークンを作成する」で説明されているように、新しい種類のセキュリティトークンを導入する方法が用意されています。また、カスタムトークンを使用して既存のシステム指定のトークンを置き換えることも可能です。

このトピックでは、システム指定の X.509 セキュリティトークンが、証明書の秘密キーに別の実装を提供するカスタムの X.509 トークンによって置き換えられます。これは、実際の秘密キーが、既定の Windows 暗号化プロバイダとは異なる暗号化プロバイダから提供されるシナリオで役立ちます。別の暗号化プロバイダの例として、ハードウェアセキュリティモジュールがあります。このモジュールでは、すべての秘密キー関連の暗号操作を実行し、メモリに秘密キーを格納しないので、システムのセキュリティが向上します。

次の例は、デモンストレーションのためだけに作成されています。この例では、既定の Windows 暗号化プロバイダを置き換えていませんが、Windows 暗号化プロバイダをどこで統合できるかを示します。

手順

セキュリティキーが関連付けられているセキュリティトークンごとに、セキュリティトークンのインスタンスからキーのコレクションを返す SecurityKeys プロパティを実装する必要があります。トークンが X.509 セキュリティトークンの場合、コレクションには、証明書に関連付けられた公開キーと秘密キーの両方を表す X509AsymmetricSecurityKey クラスのインスタンスが 1 つ追加されます。証明書のキーの提供に使用する既定の暗号化プロバイダを置き換えるには、このクラスの新しい実装を作成します。

カスタムの X.509 非対称キーを作成するには

X509AsymmetricSecurityKey クラスから派生する新しいクラスを定義します。
KeySize 読み取り専用プロパティをオーバーライドします。このプロパティは、証明書の公開キーと秘密キーのペアの実際のキーサイズを返します。
DecryptKey メソッドをオーバーライドします。このメソッドは、WCF のセキュリティフレームワークによって呼び出され、対称キーを証明書の秘密キーで復号化します(このキーは、以前に証明書の公開キーで暗号化されています)。
GetAsymmetricAlgorithm メソッドをオーバーライドします。このメソッドは、WCF のセキュリティフレームワークによって呼び出され、このメソッドに渡されるパラメータに応じて、証明書の秘密キーまたは公開キーの暗号化プロバイダを表す AsymmetricAlgorithm クラスのインスタンスを取得します。
省略可能。GetHashAlgorithmForSignature メソッドをオーバーライドします。HashAlgorithm クラスの別の実装が必要な場合は、このメソッドをオーバーライドします。
GetSignatureFormatter メソッドをオーバーライドします。このメソッドは、証明書の秘密キーに関連付けられた AsymmetricSignatureFormatter クラスのインスタンスを返します。
IsSupportedAlgorithm メソッドをオーバーライドします。このメソッドを使用して、特定の暗号アルゴリズムがセキュリティキー実装によってサポートされているかどうかを示します。

次の手順は、システム指定の X.509 セキュリティトークンを置き換えるために、前の手順で作成したカスタムの X.509 非対称セキュリティキーの実装を WCF のセキュリティフレームワークに統合する方法を示しています。

システム指定の X.509 セキュリティトークンをカスタムの X.509 非対称セキュリティキートークンで置き換えるには

次の例に示すように、システム指定のセキュリティキーではなく、カスタムの X.509 非対称セキュリティキーを返すカスタムの X.509 非対称セキュリティトークンを作成します。カスタムセキュリティトークンの詳細については、「方法 : カスタムトークンを作成する」を参照してください。
次の例に示すように、カスタムの X.509 セキュリティトークンを返すカスタムのセキュリティトークンプロバイダを作成します。カスタムセキュリティトークンプロバイダの詳細については、「方法 : カスタムセキュリティトークンプロバイダを作成する」を参照してください。
イニシエータ側でカスタムセキュリティキーを使用する必要がある場合、次の例に示すように、カスタムのクライアントセキュリティトークンマネージャとカスタムのクライアント資格情報クラスを作成します。カスタムのクライアント資格情報とクライアントセキュリティトークンマネージャの詳細については、「方法 : カスタムクライアントおよびサービスの資格情報を作成する」を参照してください。
受信側でカスタムセキュリティキーを使用する必要がある場合、次の例に示すように、カスタムのサービスセキュリティトークンマネージャとカスタムのサービス資格情報クラスを作成します。カスタムのサービス資格情報とサービスセキュリティトークンマネージャの詳細については、「方法 : カスタムクライアントおよびサービスの資格情報を作成する」を参照してください。

次の方法で共有

方法 : X.509 証明書の秘密キーの暗号化プロバイダを変更する

手順

関連項目

タスク

リファレンス

概念

その他のリソース