ALBでクライアント証明書をパススルーしたときのバックエンド側の実装

# CAの秘密鍵を作成
openssl genpkey -algorithm rsa -pkeyopt rsa_keygen_bits:4096 -out ca.key
# 自己署名CA証明書を作成
openssl req -x509 -new -key ca.key -subj "/CN=selfsigned-ca" -days 3650 -out ca.crt

# クライアントの秘密鍵を作成 
openssl genpkey -algorithm rsa -pkeyopt rsa_keygen_bits:4096 -out client.key
# CSR(証明書署名要求)を作成
openssl req -new -key client.key -out client.csr -subj "/CN=client"
# CAによる署名済みクライアント証明書を作成
openssl x509 -req -in client.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out client.crt -days 365

<?php

// HTTPリクエストヘッダーからx-amzn-mtls-clientcertを取得
// このヘッダーの値はURLエンコードされているので、デコードが必要
$mtlsClientCert = $_SERVER['HTTP_X_AMZN_MTLS_CLIENTCERT'] ?? '';
if (empty($mtlsClientCert)) {
    echo 'No client certificate provided';
    exit;
}

// URLエンコードされている証明書をデコード
$mtlsClientCert = urldecode($mtlsClientCert);

// クライアント証明書の検証
$cert = openssl_x509_parse($mtlsClientCert);
if ($cert === false) {
    echo 'Invalid client certificate';
    exit;
}

// クライアント証明書のCNが正しいかを検証
if ($cert['subject']['CN'] !== 'client') {
    echo 'Invalid client';
    exit;
}

// クライアント証明書の有効期限を検証
$now = time();
if ($now < $cert['validFrom_time_t'] || $now > $cert['validTo_time_t']) {
    echo 'Client certificate is expired';
    exit;
}

// クライアント証明書の発行者が自己署名CAであることを検証
if ($cert['issuer']['CN'] !== 'selfsigned-ca') {
    echo 'Invalid issuer';
    exit;
}

// CA証明書を取得
$caCert = file_get_contents('ca.crt');
if ($caCert === false) {
    echo "Failed to read CA certificate\n";
    exit;
}

// 署名の検証
$result = openssl_x509_verify($mtlsClientCert, $caCert);
if ($result === 1) {
    echo "Client certificate is valid\n";
} elseif ($result === 0) {
    echo "Client certificate is not valid\n";
} else {
    echo "Failed to verify client certificate\n";
    while ($msg = openssl_error_string()) {
        echo $msg . "\n";
    }
}