ダウンロードのための HTTPS のカスタマイズ

• バージョン 10 パッチ 8 では、サーバー/リレーとクライアントの両方が、BigFix クライアント・インストール・パスの下の BES サポート・サイト・ディレクトリーから CA バンドルをロードします。
  注: BigFix サーバー/リレーが管理者権限なしで実行されている場合、例えば Windows AD 上のドメイン・ユーザーは、クライアント・パスの下にあるフォルダーを読み取ることができません。この場合は、カスタム CA バンドルを指定する必要があります。以下のカスタム証明書のセクションを参照してください。
• バージョン 10 パッチ 9 以降、BigFix サーバー/リレーでは、BigFix サーバー/リレー・ディレクトリーの下で最後に収集された BES サポート・フォルダーからバンドルがロードされます。このフォルダーには、プロセスに与えられた権限に関係なく、常にアクセスできます。例えば、UNIX プラットフォームのバンドル・パスは次のようになります。

  /var/opt/BESServer/wwwrootbes/bfmirror/bfsites/enterprisemirror_<SiteID>_<SiteVersion>
  
  

  ca-bundle.crt ファイルが存在しないか読み取れない場合、サーバー/リレーはバージョン 10 パッチ 8 と同様にデフォルトのクライアント・パスにフォールバックします。BigFix クライアントについては、バンドルの場所はバージョン 10 パッチ 8 と同じです。

• _BESRelay_Download_UntrustedSites (サーバー/リレー)。これはブール値設定です。0 (デフォルト値) に設定すると、信頼できないサイトからのダウンロードは許可されません。1 に設定すると、信頼できないサイトからのダウンロードが許可されます。
• _BESClient_Download_UntrustedSites (クライアント)。上で説明したとおりですが、この設定はクライアントに対して機能します。

• _BESRelay_Download_CACertPath (サーバー/リレー)。これは、カスタム CA バンドルの絶対パスを宣言できるストリング設定です。これは、デフォルトの値をオーバーライドします。
• _BESClient_Download_CACertPath (クライアント)。上で説明したとおりですが、この設定はクライアントに対して機能します。

<?xml version="1.0" encoding="UTF-8"?>
 <BES xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:noNamespaceSchemaLocation="BES.xsd">
 	<Task>
 		<Title>Add Download Certificate</Title>
 		<Description><![CDATA[Sample Task for creating and downloading a custom certificate.]]></Description>
 		<Relevance>if exists property "in proxy agent context" then ( not in proxy agent context ) else true</Relevance>
 		<Category></Category>
 		<Source>Internal</Source>
 		<SourceID></SourceID>
 		<SourceReleaseDate>2023-02-14</SourceReleaseDate>
 		<SourceSeverity></SourceSeverity>
 		<CVENames></CVENames>
 		<SANSID></SANSID>
 		<MIMEField>
 			<Name>x-fixlet-modification-time</Name>
 			<Value>Tue, 14 Feb 2023 15:04:24 +0000</Value>
 		</MIMEField>
 		<Domain>BESC</Domain>
 		<DefaultAction ID="Action1">
 			<Description>
 				<PreLink>Click </PreLink>
 				<Link>here</Link>
 				<PostLink> to deploy this action.</PostLink>
 			</Description>
 			<ActionScript MIMEType="application/x-Fixlet-Windows-Shell"><![CDATA[
 // This is a sample Task for reading the TrustedDownloadCerts folder and copying a certificate
 // This Task will add a certificate in the bundle.
 // The certificate will be added in the Server folder if the Server is installed, on the Relay folder if the relay is installed, in the Client folder otherwise  
 
 if {exists main gather service}
     if {windows of operating system}
 	    parameter "storageDir" = "{value "StoragePath" of key "HKEY_LOCAL_MACHINE\SOFTWARE\BigFix\Enterprise Server\GlobalOptions" of registry as string}" 
 	else
 	    parameter "storageDir" = "{key ("StoragePath") of section ("Software\BigFix\Enterprise Server\GlobalOptions") of file "/var/opt/BESServer/besserver.config"}"
 	endif
 elseif {exists relay service}
     if {windows of operating system}
 	    parameter "storageDir" = "{value "StoragePath" of key "HKEY_LOCAL_MACHINE\SOFTWARE\BigFix\Enterprise Server\GlobalOptions" of registry as string}" 
 	else
 	    parameter "storageDir" = "{key ("StoragePath") of section ("Software\BigFix\Enterprise Server\GlobalOptions") of file "/var/opt/BESRelay/besrelay.config"}"
 	endif
 else
     parameter "storageDir" = "{storage folder of client}"
 endif
 
 delete __appendfile 
 
 appendfile -----BEGIN CERTIFICATE-----
 appendfile MIIDhTCCAm2gAwIBAgIEFtnq9zANBgkqhkiG9w0BAQsFADBbMScwJQYDVQQDDB5SZWdlcnkgU2V
 appendfile Zi1TaWduZWQgQ2VydGlmaWNhdGUxIzAhBgNVBAoMGlJlZ2VyeSwgaHR0cHM6Ly9yZWdlcnkuY29
 appendfile MQswCQYDVQQGEwJVQTAgFw0yMzAyMjcwMDAwMDBaGA8yMTIzMDIyNzEwMDYyMFowRzETMBEGA1U
 appendfile AwwKbXlzaXRlLmNvbTEjMCEGA1UECgwaUmVnZXJ5LCBodHRwczovL3JlZ2VyeS5jb20xCzAJBgN
 appendfile BAYTAlVBMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAh8F7GgL4IQrc8E4AHJBmdYu
 appendfile X7DEJ0X5XnXeD+tj5XVe7AE3lsoFqLkrNo/mWzZrp9y6ZHoew9AaLrJgUmFdU5c/1aUhWlVtBU+
 appendfile tOBqnZNRKEy+AsObZ2lYryNTVwAbTieTLVPM4pDNr6dwZen1tWfVIKg/2NiApTjwCdamalljP2J
 appendfile V+NxLsjFhGg8q8lD0JJiqoNUm1bi22JrqWJ8Z9cXXmuiNHzUxzVW7XaxzXyWXE4WNWZMIO/gUl5
 appendfile mP9VjXvyXymzMoeDxjMg9cyyrni5ZJsv8Uqkq6ni/Tml6QOYahjNOYmHF8j9v+vTLI/YwfFF4lU
 appendfile QXcOXsHxWyepkwIDAQABo2MwYTAPBgNVHRMBAf8EBTADAQH/MA4GA1UdDwEB/wQEAwIBhjAdBgN
 appendfile HQ4EFgQUeokEssftpr4W/DjX8EDSYkr9V3AwHwYDVR0jBBgwFoAUeokEssftpr4W/DjX8EDSYkr
 appendfile V3AwDQYJKoZIhvcNAQELBQADggEBAE64aGOnSfA0ePiu6CguxH5GKojTM6N7z2ouzPJGymrVPdM
 appendfile jNfb81Xm+VJ0Eervw8uz/D3NYVCJy4/Q+gvAyYGHFmRxmIue/4RjsOK482WkeICGTsZWggoz3wX
 appendfile 12ZX13noMCULcU1lI83eNBn3LFvA/bYH7cwSBGxmLidg1jkbATktZMQYJXIQ6cNtst4NgfMZPzj
 appendfile w6b9+1tf6ohk+zjYNWPf3N58mziQ3JayWaZFqCHkPVvJYITUPySf4vkhcBNvkWF2W+w4SujpqAE
 appendfile xAdZcMwfwCgUGpyAPeNfPxmQcEwVpDyhK+jfMWLB74swoq/1/k2EwKd4rq/PcOoC394=
 appendfile -----END CERTIFICATE-----
 
 move "__appendfile" "{parameter "storageDir" & "/TrustedDownloadCerts/testCert.crt"} 
 ]]></ActionScript>
 		</DefaultAction>
 	</Task>
 </BES>

• _BESRelay_Download_CaCertDirectory (サーバー/リレー)。このストリング設定により、ユーザーがカスタム CA バンドルを保存するフォルダーのフル・パスを宣言できます。このフォルダーに含まれる .crt ファイルと .pem ファイルはすべてデフォルトの証明書に追加されます。
• _BESClient_Download_CaCertDirectory (クライアント)。上で説明したとおりですが、この設定はクライアントに対して機能します。

• _BESRelay_Download_IgnoreDefaultCaCerts (サーバー/リレー)。ブール値設定であり、次の 2 つの値が可能です。0 および 1。1 に設定すると、コンポーネントは BES サポートの下にあるデフォルトの ca-bundle.crt 証明書バンドルを無視するように指示されます。デフォルト値は 0 です。
• _BESClient_Download_IgnoreDefaultCaCerts (クライアント)。上で説明したとおりですが、この設定はクライアントに対して機能します。

curl --cacert 
/var/opt/BESServer/wwwrootbes/bfmirror/bfsites/enterprisemirror_<SiteID>_<SiteVersion>
/ca-bundle.crt -o file-to-download https://download.server.url/file-to-download

curl --cacert </path-to-certificate/custom-certificate.pem> 
-o file-to-download https://download.server.url/file-to-download

openssl.exe s_client -connect download.server.url:443 -CAfile 
C:\path\to\certificate\certificate-bundle.pem

• Verify return code: 0 (OK)
• Verify return code: 20 (ローカル発行者証明書を取得できない)
• Verify return code: 18 (自己署名証明書)