Knowledge Base

CertCentralで発行されたTLS/SSLサーバ証明書の取得、証明書チェーンの選択、インストール、設定後の確認方法を案内します。

このページの内容

1. インストール前の確認
2. 証明書を取得する
3. 証明書をインストールする
4. サーバー／サービス別の手順
5. インストール後の確認
6. 使用する証明書チェーンを選択する
7. クロスルート証明書を使用する場合
8. トラブルシューティング

1. インストール前の確認

• 証明書を設定するウェブサーバー、ロードバランサー、WAF、CDNなど、TLS通信を終端する機器またはサービスを特定します。
• 発行された証明書は、CSRを作成した環境にインストールしてください。
• 更新申請の場合は、念のため現在の証明書、秘密鍵、設定ファイルをバックアップします。

2. 証明書を取得する

CertCentralから取得する

1. CertCentralにサインインし、左側メニューから［証明書］＞［オーダー］を開きます。
2. 対象のオーダーを選択し、オーダー詳細またはクイックビューを開きます。
3. ［以下の形式で証明書をダウンロード］から、サーバーやサービスに対応する形式を選択します。契約種別やアカウント設定によって［その他オプション］に中間CA証明書やクロスルート証明書が表示される場合は、必要な証明書を個別にダウンロードできます。

   ［以下の形式で証明書をダウンロード］の表示例

    

   ［その他オプション］の表示例

    

発行通知から取得する

証明書発行後、DigiCert（admin@digicert.com）から発行通知が送信されます。アカウントの配布設定により、ZIP／P7B／PEM／CERファイル、プレーンテキスト、またはダウンロードリンクが提供されます。

3. 証明書をインストールする

1. CSRを作成した環境へインストールします。
   発行されたサーバ証明書は、対応する秘密鍵が保存されているCSR作成元の環境へインストールします。
2. サーバ証明書を設定します。
   発行されたサーバ証明書を、証明書を使用するウェブサーバー、ロードバランサー、WAF、CDNなどに設定します。
3. 証明書チェーンを設定します。
   発行時に提供された最新の中間CA証明書を設定します。2026年10月15日以降に発行される証明書のチェーンについては、後述の「使用する証明書チェーンを選択する」を確認してください。
4. 設定を反映します。
   製品の仕様に従って設定を保存し、必要に応じてサービスの再読み込みまたは再起動を行います。
5. すべての接続先を確認します。
   冗長化されたサーバーや複数のTLS終端点がある場合は、すべての機器またはサービスへ同じチェーンを設定します。

4. サーバー／サービス別の手順

製品ごとの画面名や設定ファイルは異なります。以下の手順書と、利用している製品ベンダーの最新マニュアルを確認してください。

5. インストール後の確認

1. 秘密鍵との一致を確認します。
   ウェブサーバーが証明書を読み込めない場合は、証明書と秘密鍵の組み合わせを確認します。
2. 証明書チェーンを確認します。
   サーバ側から正しい中間CA証明書が送信されていることを確認します。また、クロスルート利用時はG2／G3などの正しいクロスルート証明書が送信されていることを確認します。
3. 対象クライアントで接続します。
   最新ブラウザだけでなく、実際に利用するOS、アプリケーション、端末、ネットワーク機器でも確認します。
4. すべてのTLS終端点を確認します。
   負荷分散先、WAF、CDN、災害対策環境などで古い証明書や異なるチェーンが返されていないか確認します。

OpenSSLを利用できる場合は、次のコマンドでサーバーから送信される証明書を確認できます。

※example.comは確認するFQDNに置き換えてください。

インストールした証明書のオンラインで確認する方法(チェックサイトでの確認方法)は、以下サイトをご参照ください。
インストールした証明書の確認方法

6. 使用する証明書チェーンを選択する

2026年10月15日以降に発行されるパブリックTLS/SSL証明書は、既定でG5ルート階層を使用します。通常は、G5ルートへ直接つながる証明書チェーンの使用を推奨します。

アクセス元となるクライアント側の環境がG5ルート証明書を信頼しておらず、G2またはG3ルート証明書を信頼している場合は、互換性を確保するためにクロスルート証明書を使用できます。なお、クロスルート証明書の提供終了時期は、現時点では未定です。

G5ルートを直接使用するチェーン

通常、G5ルート証明書をサーバーに設定する必要はありません。ルート証明書はアクセス元となるクライアント側のトラストストアで信頼されます。
 

G2／G3クロスルートを使用するチェーン

G2／G3ルート証明書は、原則としてサーバーに設定する必要はありません。

G5ルートの各クロスルート証明書は、以下のページからダウンロードできます。
G5 cross signed root certificates

主なG5中間CA証明書

中間CA証明書は更新される場合があります。上表よりも、発行時にCertCentralから提供された中間CA証明書を優先してください。

7. クロスルート証明書を使用する場合

クロスルート証明書とは

クロスルート証明書は、新しいG5ルート証明書と、以前から多くの端末に登録されているG2／G3ルート証明書をつなぐ「橋渡し用の証明書」です。

アクセス元となるクライアント側の端末にG5ルート証明書が登録されていない場合でも、端末がG2またはG3ルート証明書を信頼していれば、クロスルート証明書を経由してサーバ証明書を検証できるようになります。

• クロスルート証明書を追加するために、サーバ証明書を再発行する必要はありません。変更するのは、サーバーからクライアント側へ送信する証明書チェーンです。現在のサーバ証明書と秘密鍵はそのまま使用できます。
• クロスルート証明書は、互換性が必要な場合だけ設定してください。最新のクライアント環境でG5ルートを直接信頼できる場合、クロスルート証明書の追加は通常不要です。利用前に、対象クライアントでG5直接チェーンによる接続試験を実施してください。

はじめに：RSAとECCのどちらを使用しているか確認する

使用するクロスルート証明書は、発行されたサーバ証明書の公開鍵方式によって異なります。CertCentralのオーダー詳細や証明書の表示画面で、公開鍵がRSAまたはECCのどちらであるか確認してください。

• RSAのサーバ証明書：G2クロスルート証明書を使用します。
• ECCのサーバ証明書：G3クロスルート証明書を使用します。

手順1：設定に必要なファイルを準備する

次の3種類の証明書を準備します。

クロスルート証明書の主な提供パターン

手順2：クロスルート証明書を取得する

手順3：中間CA証明書とクロスルート証明書を1つのファイルにまとめる

Apache、Nginx、ロードバランサー、クラウドサービスなどでPEM形式の証明書チェーンを使用する場合は、次の手順でファイルを作成します。

1. クロスルート証明書のファイルを、メモ帳などのテキストエディターで開きます。
2. -----BEGIN CERTIFICATE-----から-----END CERTIFICATE-----まで、すべての内容をコピーします。
3. G5中間CA証明書のファイルを、メモ帳などのテキストエディターで開きます。
4. G5中間CA証明書の末尾で改行し、コピーしたクロスルート証明書を貼り付けます。
5. 「名前を付けて保存」を選択し、サーバー製品が指定するファイル名と拡張子で保存します。文字コードを選択できる場合は、証明書本文を変更しない形式で保存してください。

完成した証明書チェーンファイルは、次のような並びになります。

コピーするときの注意

• BEGIN CERTIFICATEとEND CERTIFICATEの行も含めてコピーします。
• 証明書内の英数字、記号、改行を変更しないでください。
• 2つの証明書の間には改行を入れます。
• G5中間CA証明書を先、クロスルート証明書を後に並べます。

手順4：サーバーへ設定する

サーバー製品の設定画面または設定ファイルで、次の2つを指定します。

• サーバ証明書：CertCentralから取得したお客様のサーバ証明書
• 証明書チェーン／CAバンドル：手順3で作成した、G5中間CA証明書とクロスルート証明書をまとめたファイル

サーバ証明書を含む「fullchain」ファイルが必要な製品では、次の順に1つのファイルへまとめます。

■Windows Server／IISへ設定する場合

Windows Server／IISでは、通常、証明書をテキストで連結するのではなく、証明書ストアへ登録します。

1. サーバ証明書を、秘密鍵があるサーバーへインストールします。
2. G5中間CA証明書を［中間証明機関］ストアへインポートします。
3. クロスルート証明書も［中間証明機関］ストアへインポートします。
4. IISのバインドに、対象のサーバ証明書を設定します。

クロスルート証明書を［信頼されたルート証明機関］ストアへインポートしないでください。

手順5：設定後の接続を確認する

1. サーバー製品の設定を保存し、必要に応じてサービスを再読み込みまたは再起動します。
2. 通常利用している最新のブラウザから、対象サイトへ接続できることを確認します。
3. クロスルートを必要とする端末、OS、アプリケーション、ネットワーク機器から接続できることを確認します。
4. 証明書確認ツールで、サーバ証明書、G5中間CA証明書、クロスルート証明書の順に送信されていることを確認します。

クロスルート証明書が必要か分からない場合

まず、クロスルート証明書を含めないG5直接チェーンで接続を確認してください。利用するすべての端末やアプリケーションから接続できる場合、クロスルート証明書の追加は通常不要です。

一部の旧端末などでG5ルート証明書を信頼できないことが原因で接続できず、その端末がG2またはG3ルート証明書を信頼している場合に、クロスルート証明書の利用を検討してください。
 

8. トラブルシューティング

関連情報

• [CertCentral] ルート証明書／中間CA証明書の階層構造について
• 【重要】パブリックTLS/SSLサーバー証明書のルート証明書移行について
• DigiCertのルート証明書戦略：新たな業界基準への対応