サイトのセキュリティに関するフォーラム

　私はSSLを使用しないので，とりあえず分かるところだけ回答します．

　フルにhttpで接続をするのであれば，”ログインにHTTPSを使用する”は設定不要でしょう．

　単に，config.phpの$CFG->wwwroot = の設定を "http://www.youdomain.com/moodle"ではなく，"https://www.yourdomain.com/moodle"のように，頭のところをhttpからhttpsに変更するだけで良いはずです．

こんにちは。私はWindowsサーバでmoodleを本運用したことがありませんが、理解している範囲でお答えします。

IISにSSL証明書の発行を証明機関から受けるために、CSRを作成します。おおまかな手順はこのような感じです。https://www.digitrust.jp/?page_id=141　（識別名プロパティ、暗号化サービス、ビット長などは利用される証明機関側の指定に従います）　作成したCSRを添付して証明機関に証明書発行申請を行います。

次に発行された証明書を使用して、IISでHTTPS接続を有効にします。「IISマネージャ」→「Webサイトホーム」→「バインド」から「追加」をクリックして「https」を選択し、「SSL証明書」で発行を受けた証明書を選択します。moodleがインストールされたサイト/仮想ディレクトリのホームで「SSL設定」を開いて、「SSLが必要」をチェックします。

PHP5の場合、php/extrasの中にlibeay32.dll とssleay32.dllがありますのでC:/WINDOWS/system32にコピーします。php.iniにopensslのDLLを読み込ませる設定（;extension=php_openssl.dll）がありますので、当該箇所の;を外して有効にします。

moodle側の設定については白井先生のご投稿の通りだと思います。

ただし、サイト全体をSSL接続すると、サーバのリソースが暗号化処理にかなり使われてしまい、SSLハンドシェークのオーバーヘッド（負荷）が大きくなります。利用者が多い場合などには、SSLアクセラレータという暗号化処理を専門に行うハードウェア（ブラウザはHTTPSでmoodleに接続するが、通信経路の途中でSSLアクセラレータが暗号化処理を行ってHTTPに変換してmoodleサーバに渡すことでサーバ側の負荷を抑える）を導入する場合がありますが、以前開発者フォーラムで以下のスレッドで注意すべき情報のご投稿がありましたので、必要であれば併せてご参照ください。http://moodle.org/mod/forum/discuss.php?d=142273

お世話になります。

ご回答ありがとうございました。
お2人にご指摘いただいた部分に注意して設定を行なおうと思います。

四日市大学ではSSL設定にしており、

白井先生からのご指摘どおり、apache ウェブサーバーのSSL設定を行い、php に ssl モジュールを追加し、
でした。
ただし、どこかのモジュール内で、http:// を決め打ちしてoverwriteしているところがあったので、直した記憶があります。このバグは、この時に作者にフィードバックしたので、最近のバージョンでは直っているとは思います。非標準のモジュールを使用する場合には注意が必要かもしれません。

SSL アクセラレータは使用していませんが、現在のところは特に問題は生じていません。大体の状況は

• アクティブなコースの数 30程度
• アクティブなユーザの数 300名程度
• 累計ユーザー数1000名程度
• 同時login数 最大100程度

です。

お世話になっております。

報告が遅くなりましたが、無事にSSLの設定が完了いたしました。
色々検討したのですが、今回はログイン画面のみSSL対応にすることに致しました。

簡単ですが、手順を掲載いたします。
（証明機関ごとに手順は異なる可能性があります。）

【サーバーの設定】
１.SSLの設定をしたいサーバのIISマネージャーからCSRを作成する。
２．作成したCSRを元に、契約を行なった証明機関に証明書発行申請を行なう。
３．証明機関から申請内容の確認などの審査を受ける。
４．証明機関が発行したSSLサーバ証明書・中間CA証明書をDLする。
５．サーバのIISマネージャーから４でDLした証明書を元に設定を行なう。

（１と５に関しては証明機関のサイトに詳細なマニュアルがありました。）

【Moodleの設定】
Moodleのconfig.phpの $CFG->wwwroot を以下のように書き換える。
if (isset($_SERVER['HTTPS'])) {
$CFG->wwwroot = 'https://ホスト名/moodle';
} else {
$CFG->wwwroot = 'http://ホスト名/moodle';
}

Moodleの管理＞セキュリティ＞HTTPセキュリティから
「ログインにHTTPSを使用する」にチェックを入れる。


【PHP】
opensslが有効になっているかを確認。

以上です。
特に問題も無くインストールできました。

回答いただいた皆様ありがとうございました。