Let’s Encrypt をwin-acmeを使用してSSL証明書を作成する

Question

前提・実現したいこと

接続はAES_128_GCMを使用して暗号化及び認証をしたうえで、
鍵交換メカニズムはECDHE_RSAにしたいのですがやり方がよくわかりません。

windows2012 serverでwin-acmeを使用し証明書を作成できたのですが、
デフォルトの設定スクリプトですとこんな感じの証明書が作成されます。

接続　　　　　　　TLS 1.2
接続の暗号化　　　AES_256_CBC　※　
メッセージ認証　　HMAC-SHA1　※　
鍵交換メカニズム　ECDHE_RSA

※ ここを変えたい
win-acme以外のツールでできるとかでもいいので、
目的の証明書を作成する方法を教えてほしい。

試したこと

\win-acme.v1.9.11.2\scripts内のファイルをみつつ
https://github.com/PKISharp/win-acme/wiki/Example-Scripts
などをながめていたのですが、どこをどう変えればいいかわかりませんでした。

補足情報（FW/ツールのバージョンなど）

OS: windows server 2012
web server: IIS 8.5
TOOL: win-acme.v1.9.11.2, Let's encrypt

Answer 1

接続はAES_128_GCMを使用して暗号化及び認証をしたうえで、

鍵交換メカニズムはECDHE_RSAにしたいのですがやり方がよくわかりません。

証明書によって規定されるのは、第一義的には鍵交換アルゴリズムです。

ECDHE-RSAを使う証明書の場合、同じ証明書でTLS_ECDHE_RSA_WITH_AES_256_CBC_SHAもTLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256も扱えますので、あとはサーバの設定次第でどちらも利用可能です。

Comments

[h.nishi]

win-acmeでできるということですか。
目的の証明書を作成する方法を教えていただけると助かります。

[maisumakun]

「デフォルトの設定スクリプト」で作った証明書を使って、あとはサーバ側の設定の範疇になります（証明書にはAES128/256やHMAC/SHA-1を決めるようなものは書かれていません）。

[maisumakun]

証明書に書かれた「署名アルゴリズム」は、証明書自体の署名方式であって、通信時の署名方式とは無関係です。

[h.nishi]

IISの設定をすればよいということですね、やはり聞いてよかったです。
方向性が違っていました。
IIS上での設定方法を調べてみます。ありがとうございました。

Answer 2

IISで証明書を削除　サイトのバインドを削除　この２つを行った後新しく取得することで設定ができました。