接続性

すべてのThales APIには 相互TLS（mTLS） 認証が必要です。これは受信APIと送信APIの両方に適用されます。

TLSの設定は最初の統合ステップです。Thalesサービスを設定する前にこれを完了してください。トークン化サービスは、すべてのAPIに対して環境ごとに単一のエンドポイントを使用します。

APIコンシューマーとして、あなたは 顧客です。あなたは 顧客識別子 をトークン化サービス内に持っています。TLS接続は顧客識別子ごとに設定されます。

TLS接続は、分離された各環境ごとに明示的に確立する必要があります：

• プレプロダクション
• 本番環境

イシュアバックエンドとThales TSH間のmTLS接続の概要。

受信フロー（イシュアバックエンド → Thales TSH）

いったん確立されると、TLS接続はすべてのAPIに使用されます。エンドポイントは、呼び出すThalesサービスによって異なります。

お客様のクライアント証明書（自己署名）は、Thalesバックエンドで承認（証明書ピンニング）される必要があります。この承認はThalesポータルを通じて行われます。

一般要件：

1. 相互認証
2. TLS 1.2（またはそれ以上）
3. インターネット経由（IPホワイトリスト登録なし）
4. ThalesサーバーCA：Digicert SHA2 High Assurance server CA
5. 顧客クライアント証明書は、以下の要件を満たす自己署名証明書である必要があります（下記参照）

自己署名証明書の要件：

1. 有効期限は最大2年
2. アルゴリズム：鍵サイズ256ビットまたは鍵サイズ384ビットの楕円曲線、またはRSA 2048ビットのsha256アルゴリズム。RSAよりも楕円曲線が推奨されます。サポートされる曲線はprime256v1およびsecp384r1です。
3. Common Name：形式と値はThalesによって強制および確認されます。使用すべき値（環境ごと）はD1 Portal内で提供されます。

その イシュアバックエンド は、TSHのドメイン名およびそのサブドメインを常にDNSを使用して解決しなければなりません。

Thales TSHは長期固定IPアドレスをサポートしていません。DNSのtime-to-live（TTL）より長くTSHのIPアドレスを設定、ハードコード、またはキャッシュしないでください。

送信フロー（Thales TSH → イシュアバックエンド）

一般要件：

1. 相互認証。
2. TLS 1.2以降。
3. お客様のサーバーはポート443（推奨）または8443で待ち受ける必要があります。
4. パブリックインターネット経由（IPホワイトリスト登録なし）。
5. お客様は、当社のクライアント証明書を認証するためにThales Client CAを信頼する必要があります。当社のClient CAは、イシュア向けの当社D1 Portalからダウンロードできます。
6. Thales D1はお客様のサーバー証明書を信頼する必要があり、そのためにはイシュア向けの当社D1 Portalを通じて承認されるよう、お客様のサーバーCAチェーンを提供する必要があります。

Thales client CAのみを信頼し、クライアント証明書をピン留めしないでください。Thalesのクライアント証明書はThales client CAによって署名されています。Thalesは、有効期限前であれば、予告なくいつでもクライアント証明書をローテーションする場合があります。

証明書交換は、以下のとおりTSHポータルを通じて管理されます：

TSHポータルにおける証明書交換フロー。

ポータルにアクセスするには、Thalesデリバリーチームから提供された認証情報を使用してください： TSHポータル

この表は、TLS設定のためにポータルを通じて交換される資産を要約したものです：

資産	説明
TSH_TLS_SERVER_CERTIFICATE_CHAIN	Thales TSH サーバー 証明書チェーン。 これを信頼して、イシュアバックエンドからThales TSHへのTLS接続を確立してください。
TSH_TLS_CLIENT_CERTIFICATE	Thales TSH クライアント 証明書。 Thales TSH からイシュアのバックエンドへの TLS 接続を受け入れるには、それを信頼してください。
TSH_INBOUND_HOST	呼び出すための Thales TSH ホスト名。 API のベースパスと一緒に使用してください。
CUSTOMER_TLS_SERVER_CERTIFICATE_CHAIN	あなたの サーバー 証明書チェーン。 Thales TSH はこれを使用して、サーバー証明書を信頼し、イシュアのバックエンドとの TLS 接続を確立します。
ISSUER_HOST	イシュアのバックエンドホスト名。 Thales TSH は、イシュアのバックエンドを呼び出すために、API ベースパスとともにこれを使用します。