レジストリ 2003 "documents and settings" 変更

Documents and Settings なんて長いし空白入ってるし
いいとこなんて 1 つも無いわ
なんて思って昔設定変えた覚えがあるんですが、
何いじったんだか忘れてしまいました。

Documents and Settings フォルダの移動や名前の変更ができないことを通知するエラー メッセージが表示される
ProfilesDir っつー文字列があったんでこれみたいでした。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList
これね、これ、多分
「特定のユーザー用に Windows をインストールした後で、Documents and Settings フォルダとして別のフォルダを指定するには、次の手順を実行します」
とか書いてあるし。

新規で user 作るときにはこの ProfilesDir の下にホームが作られて、
SID とかいうらしい ID が振られて ProfileList の下にレジストリできて
その中にホームの PATH が設定されます。
ProfilesDir で指定の PATH を途中で変えても
その影響範囲はその後に作るユーザーであって
既存ユーザーに関しては書いてあるみたいなことしないとダメみたいです。

で、更に、
All Users とか Default Users とかシステムで使うフォルダが
レジストリの ProfilesDir のあるとこに併記されてますが、
そいつらも移動かコピーしてあげないといけないみたい。

運用始めてから移動するのは嫌だなぁ、これ。

cryptoapi aia windows-98

cryptoapi というのはここでは Windows API の暗号のやつを想定
AIA は Authority Information Access の略
Authority Information Access は X.509 などの機能拡張
X.509 は公開鍵証明書の規格の名前
で Windows 98 は Microsoft の OS の名前

で、やっぱ AIA ですよね、何それ? っていうの
http://www.ipa.go.jp/security/rfc/RFC5280-04JA.html#042201 見ると
その証明書の認証局の証明書が入ったりするみたいです。

で、ここで我らが Microsoft さんの登場です。
いつも知らないところで色々してくれてる Microsoft さん。
CryptoAPI で証明書を検証するときにも AIA をちゃんと見てくれて
手元に指されてる証明書が無かったら取ってきてくれたりするんです。

えー、まじでー

っていうのを検索した結果の「暗号と PKI の基本」には書いてあります

にしても「RFC 5280」にしても「暗号と PKI の基本」にしても
長い
引用しようと思ったけど必要なとこ含ませると長くなっちゃって
そんなダラダラ引用しても仕方ないから引用しませんでした
なんかもーこっとさっくり言えないもんすかねぇ

で、Windows 98 ですよ、検索語句にも含めた
Windows 98 でもそうなのかどうか? が良く分からず
検索自体は空振りに終わってしまいました
実機検証でもできたらいいんですが．．．

Windows 98 ってどうやったらいま動かせるの??
CD はあるんですが boot disk が見当たらず
FreeDOS と仮想化技術で何とかならないのかなぁと思うんですが
面倒ですね、Windows 98 までそこまでするか??

いかん、Microsoft の話してるのに愚痴が多くなってしまった

"GetOcspSignerCertificate"

失効されてるはずなのに OCSP が教えてくれないな〜
Windows でそんなことが起きた場合にはイベント ビューアーを見ましょう
Windows 7 であればイベント ビューアーを開くを参考

[アプリケーションとサービス ログ] -> [Microsoft] -> [Windows] -> [CAPI2]
と進みます
この CAPI2 は CryptoAPI 2 の略で、1 は XP とか 2003 までのものなのかな?
Vista/2008 移行の色々機能が強化された CryptoAPI が CAPI2 です

デフォルトだとログが無効化されているので右の方にある [ログを有効化] を押せば
SSL なページを見にいったときの証明書の検証のログなどをガシガシ保存してくれます

例えばエラーが出てるところを見て
GetOcspSignerCertificate なんて書いてあったとしますと
検索することによって
Windows Vista での PKI に関する問題のトラブルシューティング
というページがひっかかりますので探しますと

OCSP 応答には署名が必要であり、OCSP 署名者の証明書には OCSP 署名 EKU が含まれている必要があります。この EKU がないと、エラーが発生します。このエラーは、"CertRejectedRevocationInfo" イベントの操作 "GetOCSPSignerCertificate" で示されます。OCSP 署名者の証明書の内容でその他のエラーが発生した場合も、同じ操作がログに記録されます。このようなエラーには、次のものがあります。

• 期間が無効な証明書
  
  
• CDP 拡張機能または OCSP URL は含まれていても "Revocation_No_Check" 拡張機能が含まれていない証明書
  
  

これらのエラーの場合、CAPI2 では、OCSP 署名者の証明書に関する情報もログに記録されます。

ほぉほぉ

Revocation_No_Check というのは RFC2560 の 4.2.2.2.1 に
id-pkix-ocsp-nocheck OBJECT IDENTIFIER ::= { id-pkix-ocsp 5 } と記載が
1.3.6.1.5.5.7.48.1.5 ですね
OCSP はオンラインでやりとりをするので MITM などの対応をしなくてはいけません
OCSP Responder が信頼できるかどうかの判断はとても大切です

ちなみに OpenSSL の場合 man x509v3_config を見れば

   OCSP No Check
       The OCSP No Check extension is a string extension but its value is ignored.

       Example:

        noCheck = ignored

という記述が見付けられます

やぁ、Google って便利ですね

ekrn.exe

パソコンが遅いんだけど何でかなと言われて調べました
taskmgr を開いてみるとプロセスが 2 つ暴走しています
1 つは Firefox でもう 1 つは ekrn.exe というもの

ウイルス!? と思って検索してみたところ
「ekrn.exe のCPU使用率が100%になるのは？」
NOD32 のエンジンらしい

にしても何故 Firefox とコンビで
Firefox はこの前 3.6 にしてみたんですが
自分の環境でも Google Apps で暴走してしまうようだったので
3.5 に戻してみたばかりでした
今回の環境も試しに 3.5 に戻してみたら一先ず解決しました

その後 NOD32 も version up されてたので更新
これでちょっと様子見てみることにしました

NOD32 はまぁいいんだけど Firefox が暴走するのがちょっと心配です
しかも Google Apps とは
「ちょっと人柱過ぎだから気をつけろ」
ということかもしれません

"信頼できる発行元"

エクセルのファイルを受けてることがあるんですが
マクロとか入ってると最初無効にされるんですよね
で色々調べると例えば信頼したフォルダに入れとけば
マクロが最初から有効になったりするらしいです

で、そうでなければマクロに署名してあればいいみたいで
そうすると
エクセル2007のマクロセキュリティ - 遊・集・楽
にあるような

こんな画面になって「"信頼できる発行元"」って

署名とか発行元とか聴いちゃうと認証局? って思っちゃうんですが
そうじゃなくてファイル作った人なんですね
信頼できる発行元に関する作業
元の英語は "Trusted Publisher" でした
で、例えば信頼できる認証局から出てる証明書に辿れるような
証明書を用いて署名がしてあったとしても
最終的にエンドユーザーにその署名を認めるかって確認するみたい。

まぁ、そうか、正しいよな、認証局に全幅の信頼ってのも嫌だよな

ie 新しいタブで開く

「ここクリックしたら新しいタブで開けるといいな」
って、え、ん〜、target とかで何とかなるのかもしれないけど
でも new window 開くのであってタブ? HTML にタブって概念あり??

Ctrl+左クリック を紹介したらいけたらしいのでいいかと思ったけど
ググってみました

IE7で新規ウィンドウが常にタブで開くようにする
おー、設定項目あるじゃない!
IE も 7 にもなるとすっかりタブブラウザになってたんですね
もぉタブの無い生活なんて考えられませんもんねぇ〜

authrootseq.txt authrootstl.cab

インターネットってのは原理的には盗聴し放題だったり
いつどこから誰がアクセスしてくるかも分からなかったりするので
盗聴とかユーザー認証とかするのに暗号技術ってのは基本リテラシーです
新版暗号技術入門とか分かりやすい

で、Windows の場合 CryptoAPI っていう API を持っていて
(Linux だと OpenSSL がスタンダードですかね)
暗号・PKI 関係を処理してくれています
capi とか capi2 とかいうみたいです
http://msdn.microsoft.com/en-us/library/aa380255(VS.85).aspx
こっから辿れば色々分かるのかな

テクノロジーは日々進歩して
結果 XP と Vista では CryptoAPI も大きく変わっているそうで
(2008 -> 2008 R2 でも随分と変わっているらしいけど)
例えば XP も Vista もルート証明書の自動インストール機能があるのに
Internet Explorer のセキュリティ Internet Explorer 7 の EV SSL 証明書の実装
にもある通りそのタイミングが違ったりしています

というかそもそも Vista/2008 は「信頼されたルート証明機関」が
インストール直後には 10 こも無かったりするんですが
必要に応じて勝手にインストールされてしまうわけです
例えば以下がお詳しいのではないかと
自堕落な技術者の日記 : Windows 7 RCを入れてみた(その2)
自堕落な技術者の日記 : Windowsルート認証機関の更新(2009.02)

でまぁ、確かに
Microsoft ルート証明書プログラムのメンバ (2009 年 2 月)
見たらどこが信頼されてるのかは分かるかもしれないですが
違う! そうじゃない! 欲しいのは証明書なんだっ!!
つうわけでどうしてるんだかちょっと調べてみました

で、ググっちゃみたんですが良く分からない
でも確かに IE on Vista で https://mixi.jp/ なんかにアクセスしてみると
ルート証明書が沢山インストールされてるのが確認できますし
mmc 経由で削除してもまたアクセスするとまたインストールされてます


良く分からなかったらパケットキャプチャだということで
Wireshark を使ってキャプチャーしてみました
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/02FAF3E291435468607857694DF5E45B68851868.crt
どうもこの辺りをダウンロードしてるみたいで関係あるみたい

でまぁ、この辺のファイル名とかでググればそれなりに情報が出てきます
authrootseq.txt は中を見るとテキストで何かシリアルみたいなものが
いま手元にあるのだと 1401CA5837700A984D って書いてありました

authrootstl.cab は中に authroot.stl ってのが入っていて
Vista で double click すると

1401CA5837700A984Dはシーケンス番号らしいし
どうやらこいつがリストっぽい

で、最後のは証明書で der で AddTrust の自己署名でした

$ sha1sum -b 02FAF3E291435468607857694DF5E45B68851868.crt 
02faf3e291435468607857694df5e45b68851868 *02FAF3E291435468607857694DF5E45B68851868.crt

なので、URI というか file name は DER を SHA1 したものみたい

で、authroot.stl ですわ
何か見辛いなと思ったし
「PKI 関係ならどうせ ASN.1 なんでしょ?」
と試しに asn1parse してみると

$ openssl asn1parse -inform der -in authroot.stl
    0:d=0  hl=5 l=77575 cons: SEQUENCE          
    5:d=1  hl=2 l=   9 prim:  OBJECT            :pkcs7-signedData
   16:d=1  hl=5 l=77559 cons:  cont [ 0 ]        
   21:d=2  hl=5 l=77554 cons:   SEQUENCE          
   26:d=3  hl=2 l=   1 prim:    INTEGER           :01
   29:d=3  hl=2 l=  11 cons:    SET               
   31:d=4  hl=2 l=   9 cons:     SEQUENCE          
   33:d=5  hl=2 l=   5 prim:      OBJECT            :sha1
   40:d=5  hl=2 l=   0 prim:      NULL              
   42:d=3  hl=5 l=70016 cons:    SEQUENCE          
   47:d=4  hl=2 l=   9 prim:     OBJECT            :1.3.6.1.4.1.311.10.1
   58:d=4  hl=5 l=70000 cons:     cont [ 0 ]        
   63:d=5  hl=5 l=69995 cons:      SEQUENCE          
   68:d=6  hl=2 l=  12 cons:       SEQUENCE          
   70:d=7  hl=2 l=  10 prim:        OBJECT            :1.3.6.1.4.1.311.10.3.9
   82:d=6  hl=2 l=   9 prim:       INTEGER           :1401CA5837700A984D
   93:d=6  hl=2 l=  13 prim:       UTCTIME           :091029013045Z
  108:d=6  hl=2 l=   9 cons:       SEQUENCE          
  110:d=7  hl=2 l=   5 prim:        OBJECT            :sha1
  117:d=7  hl=2 l=   0 prim:        NULL              
  119:d=6  hl=5 l=69939 cons:       SEQUENCE          
  124:d=7  hl=3 l= 165 cons:        SEQUENCE          
  127:d=8  hl=2 l=  20 prim:         OCTET STRING      [HEX DUMP]:A43489159A520F0D93D032CCAF37E7FE20A8B419
(以下略)

でたでた、PKCS#7 だったらしい、なるほど

AddTrust のは

(前略)
42165:d=7  hl=4 l= 261 cons:        SEQUENCE          
42169:d=8  hl=2 l=  20 prim:         OCTET STRING      [HEX DUMP]:02FAF3E291435468607857694DF5E45B68851868
42191:d=8  hl=3 l= 236 cons:         SET               
42194:d=9  hl=2 l=  32 cons:          SEQUENCE          
42196:d=10 hl=2 l=  10 prim:           OBJECT            :1.3.6.1.4.1.311.10.11.29
42208:d=10 hl=2 l=  18 cons:           SET               
42210:d=11 hl=2 l=  16 prim:            OCTET STRING      [HEX DUMP]:06F9583C00A763C23FB9E065A3366D55
42228:d=9  hl=2 l=  36 cons:          SEQUENCE          
42230:d=10 hl=2 l=  10 prim:           OBJECT            :1.3.6.1.4.1.311.10.11.11
42242:d=10 hl=2 l=  22 cons:           SET               
42244:d=11 hl=2 l=  20 prim:            OCTET STRING      [HEX DUMP]:5500530045005200540072007500730074000000
42266:d=9  hl=2 l=  36 cons:          SEQUENCE          
42268:d=10 hl=2 l=  10 prim:           OBJECT            :1.3.6.1.4.1.311.10.11.20
42280:d=10 hl=2 l=  22 cons:           SET               
42282:d=11 hl=2 l=  20 prim:            OCTET STRING      [HEX DUMP]:ADBD987A34B426F7FAC42654EF03BDE024CB541A
42304:d=9  hl=2 l=  54 cons:          SEQUENCE          
42306:d=10 hl=2 l=  10 prim:           OBJECT            :1.3.6.1.4.1.311.10.11.83
42318:d=10 hl=2 l=  40 cons:           SET               
42320:d=11 hl=2 l=  38 prim:            OCTET STRING      [HEX DUMP]:30243022060C2B06010401B231010201050130123010060A2B0601040182373C0101030200C0
42360:d=9  hl=2 l=  68 cons:          SEQUENCE          
42362:d=10 hl=2 l=  10 prim:           OBJECT            :1.3.6.1.4.1.311.10.11.9
42374:d=10 hl=2 l=  54 cons:           SET               
42376:d=11 hl=2 l=  52 prim:            OCTET STRING      [HEX DUMP]:303206082B0601050507030106082B0601050507030206082B0601050507030406082B0601050507030306082B06010505070308
(後略

ここら辺っぽい

1.3.6.1.4.1.311.10.11.29 っていう OID がありますが
これもググると wincrypt.h っていうファイルに

#define szOID_CERT_SUBJECT_NAME_MD5_HASH_PROP_ID            "1.3.6.1.4.1.311.10.11.29"

ってあるんで
Subject を md5 したもんでこれで捜すのかと推察
他の OID もそれぞれ興味深いんだけど、今は置いといて

つまり authroot.stl を見れば信頼されたルートの証明書の
DER での SHA1 値が分かってしまって
"SHA1 値.crt" で
http://www.download.windowsupdate.com/
を叩きまくってやったらいいんではないかと思うわけです

$ for i in `openssl asn1parse -inform der < authroot.stl | perl -ne '$a[0]=$a[1];$a[1]=$a[2];$a[2]=$a[3];$a[3]=$_;if (/1.3.6.1.4.1.311.10.11.29/) {$a[0]=~/.+:([0-9A-F]+)/; print $1 . "\n"}'`; do echo http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/$i.crt; done

なんかまぁ、これでいいのかどうかは置いといて
とりあえず何かスラズラーっと出てきました
ん〜、これで全部なんだろうか?
確認しようと思えばできるけどなぁ．．．

"from xen to vmware"

前回までのあらすじ:
ESXi 4 をインストールしてその上で Windows Server 2003 を動かしていたが
Xen の上に移行できないのかと思い OpenSUSE 上の Xen にコピーを試みる
ESXi の上ではその都度ファイルが大きくなるような奴は使っていなかったが
ide のドライバを入れた状態の ???-flat.vmdk とやらをコピーして起動してみたら
何の変換も無しに Xen の上で動いてしまったのだった!!

Xen の上で一通り遊んだので ESXi の上に帰ろうと思いました
で、あれー、変換しないといけないのかなーと思ったので
色々入れて検索してみて vmware 何とか converter とかも入れてみて
ん〜 Xen っぽいのが無いから変換できないじゃんと悩んでいました

でも、良く考えたら前回変換しないで動いたんですよね
コピーして ESXi のコンソールを立ちあげて
古いのをリネームして Xen からもってきたのをその名前にしてやったところ
何の躊躇いもなく ESXi さんは起動してくれちゃいました
つまり分割とか何とか機能使ってなかったら普通のイメージってことなのね!?

ドキュメント読まずに勘 95% で作業してるので
良く VMWare のこと分かってないんですが
ライブマイグレーションとか今んとこ考えてなくて
検証作業がポンポン作れたり
スナップショットで便利を感じたりできればいい程度なら
Xen も VMWare も、多分 KVM とかも、コピーでイメージ使い回せるみたい
でもドライバのこと忘れないでね、という感じでした

VMWare の便利ツールのことをもう少し調べないと無駄な苦労してそうです

vmware qemu-img xen bsod

ESXi 4 をいじっているわけですが
Windows Server 2003 を立てて Xen に移行してみたいなと思いました

「esxi xen 変換」でググると
無料で構築するセキュリティシステム Vmware ESXi vmdk　から　Oracle VM　イメージ（img）への変換
qemu-img という command で disk image が変換できると出てきました。
なんだ、簡単じゃん、と思って変換して起動したらブルースクリーンに．．．

検索候補を続けて見たんですがどうも良く分からず
ESXi 4 は新しいし VMWare の image の version とかアレかなぁと思いながら
「vmware qemu-img xen bsod」で検索して辿り着いたのが
Selling Free Software for a Living: Converting VMWare image to SLES Xen
なるほど、IDE ドライバが無くてコケていると、それは当たり前だ

で、何が書いてあるかっていうと
Windows XP のシステム ディスクを他のコンピューターに移動した後に STOP 0x0000007B エラーが表示される
に書いてある対応を実際にやるって話で
ESXi の方で Windows のドライバのファイルをコピーして
更にコピペで作れと書いてある mergeide.reg を結合してやって
ESXi から wget でイメージ取って Xen に食わしてやったら無事に起動しました。
っていうか quem-img 要らず? ESXi が新しいから??

Xen の方で SCSI だと思わせれば良い気もするんですけど
あれ、どうやるんだろう?

vista 隠しファイル 表示

vista の方が検索しやすいんですが
相変わらず 2008 のこといじってまして
そういえば XP でなら最初にやるフォルダの表示の設定
あれ変更しないと見えなくて困るじゃないかと思いまして
フォルダを開いて隅々見たんですが何も見付かりませんでした

で、ググったら出てきたのが
隠しファイルやシステムファイルを表示させる方法＜Windows Vista(R)＞　【動画手順付き】： dynabook.comサポート情報
すごいな、東芝、動画まで用意してるのか

まぁ、面倒なんで動画は見ないでキャプチャーをざっと見ると
コンパネを見にいけっことのようだったので見にいって
しっかり「フォルダオプション」ってのを見付けました。
隠されてるの見えるようにして、拡張子も出して、
保護されてるオペレーティングシステムファイルってのも
表示してみるようにしました

にしても、
何かカタカナの間にスペース入ってることが 2008 多いんですが
これは日本語化する際に英語の分かち書きの部分を引き摺ってるんでしょうか
なんか、ちょっと気持ち悪いよマイクロソフトちゃん

"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList"

みんなのホームが入ってるとこくらい別ドライブに分けておきたいでしょ?
って思うのはどうなんですかね、Windows のマナーとか良く分かってないんですけど
ちなみに Windows Server 2008 R2

最初は、「コンピュータの管理」のユーザーのとこの各ユーザーのとこ右クリックして
プロパティー見たら「プロファイル」ってタブがあるんでこれかなーと思ったら違うみたい
何か方々にユーザ向けフォルダができてしまって失敗
ちなみにデフォルトは %SystemDrive%\Users になってるんだけど
他のドライブにプロファイル設定してみたら両方にできちゃった
しかも同じタブの下の方にホームフォルダってのがあるんだけどこれが良く分からない
セキュリティーの為に使うんだみたいなこと書いてあったけどとりあえず放置

で、管理者権限で作業してみてたんだけどできちゃったフォルダが消せなくって
どうも所有者が違うので消せないらしく
しかも所有者変えるのにチェックボックスにチェック入れないと再帰的に変更してくれない
まぁそれは chown で -R しなかったってことなんで確かにそうなんだけど、ごめんなさい

さて、
ユーザー少ないからいいだろうと思ってたんだけど
これはシステムのデフォルトを変更した方が良さそうだということで
タイトルの registry の値を見付けました
こいつの下に並んでるフォルダみたいので名前が長いのが各ユーザーに対応してるらしく
中には各ユーザーのプロファイルのフォルダの名前などが書いてあるので誰のだか分かり
できちゃった人のを消しちゃってからそのユーザーで再ログオンすると初期化してもらえました

更に、
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList
の中にある ProfilesDirectory とやらがシステムのデフォルトらしいので
これを好みの場所に変更してあげたら再ログオンで初期化されるプロファイルフォルダが
指定した場所にできるようになりました

っつうか、他でいうホームディレクトリ・ホームフォルダをプロファイルフォルダって言うの?
場当たりだけで何とかしようとするともぉ限界
つか、もうすこしグーグル先生とマイクロソフトちゃんが仲良くなってくれないかしら

XP ディスク容量 アンインストール 休止状態

Windows XP がまだまだ使われていますが
パソコン使っててどこでどんだけ容量使われてるか
気になりますよね
Windows Update やら復元ポイントやらで
どんどんハードディスクが食べられていってしまいます
要らないものはどんどん消していきたいなぁと

つわけで検索すると
Windows XP簡単ディスク・ダイエット術 11のポイント
各種消してもあまり問題ないかもしれないフォルダやらファイルやらを
詳しく説明してくれていました

Xen とか VMWare で休止状態有効にしといても
あまり意味無さそうですもんね
検証環境の元みたいなのを作るのにもシンプルな構成からスタートしたいな
と思いました

windows-2003 再起動

何ででしょう、シャットダウンできなくなっちゃいました
OpenOffice.org の新しいのを入れようと思っただけだったんですが
cmd 上からなら何とかなるだろうと思い検索しました

OSの再起動バッチについて - 教えて！goo

c:\>shutdown /r

で 30 秒後に再起動してくれました

c:\>shutdown /r /t 0

ってすれば即時再起動なのかな??

c:\>shutdown

オプション空打ちすればヘルプが出ます

にしても、再起動できなくなってしまった理由が気になります．．．

hyper-v XP 2000

Hyper-V という選択肢もありか、と思いまして
果たしてどんくらい古い Windows が動くのかなぁと思いました
まぁ、古いっつっても XP と 2000 が動けばいいかと思ったので検索

Hyper-V におけるゲスト オペレーティング システムのサポート

XP は SP2 から、2000 は SP4 から対応してるみたいでした
つか、これはつまり、現状サポートを維持してる OS ってことなのかな?
あー、ていうかー、Hyper-V は完全仮想化みたいですね
例え完全仮想化でもこの辺りの OS ならパフォーマンスには問題無いでしょうし
そもそもそんなハードに使うんで XP やら 2000 が触りたいのではないので
全く問題無いですね

それより、今まで興味無かったので知らなかったのですが
Hyper-V の上で Xen の DomU が動くんですね
何て変態な

IIS certutil private-key

Windows で HTTPS っていうと IIS 使うと思うんですが
そうするとサイトのプロパティーからディレクトリセキュリティー選んで
証明書っての押すと CSR 作るウィザードが出てきて情報入れます

CSR 作るからには、RSA は前提として、秘密鍵が作られてるわけで
でもそれは IIS のウィザードにしっかり隠蔽されています
んで、この申請ってのは途中でキャンセルできたりするんですが
そうすると CSR は手元にあるのに秘密鍵が迷子になっちゃいます

キャンセルせずにそのまま証明書をゲットした場合にも
間違えてまた同じ CSR で新しい証明書を発行してもらった場合など
Windows の奥の方で秘密鍵と証明書の pairing が記載されてるらしく
pairing がなされてない証明書は IIS の選択肢に出てきません
(だったら古い方 export して pkcs#12 から秘密鍵取り出せ? そうなんですけど)

で、そもそも IIS のウィザードは certutil ってコマンドのフロントエンドのようで
certutil は CryptoAPI を叩くのに
Microsoft が用意してくれてるツールの 1 つなのかな?
(OpenSSL と openssl のようなもんかしら??)

で、どうやって pairing 作るんだっけなと思いまして
検索してみたら出てきた最初の blog (タイトル長いな)
Assign a private key to a new certificate after you use the Certificates snap-in to delete the original certificate in Internet Information Services - Sunday Morning Musings on IIS : The Official Microsoft IIS Site
に -repairstore を使えと書いてありました

"certutil -repairstore" とかすると日本語の情報も出てきそう
でもこれ、何だかこみいってて、自分でするのはいいけれど
他の人に「こうやって下さい」って説明するの嫌だなぁ．．．

vista ルート インポート

XP まではそんなことなかったみたいなんですが
Vista でルート証明書をインポートする場合は
「証明書の種類に基いて、自動的に証明書ストアを選択する」
を選ぶとインポート先が「中間証明機関」になっちゃうみたいです

ググったらみな手動で「信頼するルート証明機関」を選択してました
Vista/2008 のルート証明書のコントロールは中々中央集権みたいだし
細かなところで小さなミスしないように気が配られてるのかな?
って思ったらいいのかな

管理者にならないとダメみたいな記述があったんですが
物理ストアを指定したりしなければ OK でした
ユーザーアカウントのところにインストールされたんだと思います
サービスアカウントとかコンピュータアカウントのストアに入れるときは
流石に何かしら権限が必要だと思うんですが

windows route persistent

Windows Server 2003 の仮想マシンをいじっていまして
ネットワークカードを 1 枚足しました
合計 2 枚になったんですが片方は VPN 側で
静的にルーティングを振っておきたいと思いました

route コマンドで OK だったと思うんですが
でも、再起動すると設定が消えないようにするの忘れちゃって
cmd でヘルプ読むの嫌だなぁと思ったのでググってしまいました

route - ルーティングテーブルの表示／設定を行う
記事の日付が 2001/11/1 です
思えば遠くへ来たものです
Linux と Windows の両方の routing の設定がまとまった素敵記事でした

C:\>route -p add 192.168.99.0 mask 255.255.255.0 192.168.10.253 metric 1 if 0x1000003

こんな感じで "-p" してやると persistent らしいです

これで default gateway の設定間違えて
RDP で繋がらなくなっちゃった!
なんてことも無くなりました、よかったよかった

debug internet-explorer header

nginx ssl で redirect 設定しましたが
どうやら IE だと「Internet Explorer ではこのページは表示できません」と出てしまい
上手く表示されないことが判明しました。つうか「テストちゃんとしなさい」という話ですが。
これは困りました

で、解決すべく、とりあえず IE が何を思ってるのかを知りたいなと
Firebug みたいなのがあったよなと思って検索してみました
DebugBarで快適IEデバッグ « PHPで翻訳三昧
そうそう、DebugBar

入れてみたら HTTP(S) でのやり取りは見れたんですが
ん〜、盾のマークが出てきている気がする
My DebugBar | Doc / HTTPTab によると
"Unauthorized request returned by server (401)" ということらしい
ん〜、何じゃこりゃ
error_log を見ると

2009/07/13 15:23:28 [alert] 1987#0: worker process 1990 exited on signal 11

って出てて何か根本的に間違っている様子

ん〜、困った

"iis7" wildcard-certificate appcmd

サーバ証明書には Subject の CN とか Extension の SubjectAltName とかに
サーバの FQDN とか IP address とかが入ってるんですが
SSL/TLS の今んとこの実装だと Server は問い合わせのあった IP address でしか
提示する証明書が選べなくって不便だわぁ

で、FQDN に * 含ませてそこは何でもマッチするよ、とか
SubjectAltName に沢山名前を入れてどれかにマッチしたらいいよ、とか
色々と工夫がされてきたわけです

がしかし、IIS は IIS マネージャだけではその機能を使わせてくれない
同じポートを使ってるサイトがあるとか何とか言ってサイトを起動してくれない
ひどい、裏切られた!! ってことにならないように迂回策を知らなくてはいけません

IIS6 であれば adsutil.vbs ってスクリプトが用意されてたり
IIS7 であれば appcmd ってコマンドが用意されてたりして
cmd を立ち上げて所定のディレクトリに移動して実行すればいいみたい

詳しい方法は、君も調べてみよう!
面倒だったら apache とか lighttpd とか nginx に乗りかえれば解決!!

excel utf-8 csv

OpenOffice の場合は「何にする?」って聞いてくれましたけど
Excel は何も言わずに淡々と仕事をしてくれるみたいで
UTF-8 な CSV を渡してみたら見事に文字化けしてくれました

で、検索してみたら、解決策が出てきたよ!
ExcelでUTF8のcsvファイルを開く方法 -OKWave
メモ帳で開いて文字コード ANSI にして保存すれば OK だって!
アホか、エクセル

どっちかっていうとメモ帳が UTF-8 を文字化けせずに開いたことに感動しつつ
内部コードが UTF-16LE? になってから何年経ってるんだとか思ったり
メモ帳に負けて恥ずかしくないのかと思ったり
自分にとって不都合というだけでエクセルを心の中で罵倒し続けました
お前に Excel なんて名前は勿体ない。エクセルで十分じゃ!!
オープンガイドブックOpenOffice.org 3でも読んで
皆で OpenOffice.org 使った方が幸せになるんじゃないかしら

と、自分のことを棚に上げてても仕方ないんで
Excel 2007 の CSV と 文字エンコーディング の関係
こんな詳細なレポートが作成できる素敵な大人になりたいんですが
未だ人間にすらなれてないんでとりあえず真人間になりたい