FAQ | ACMEによる自動化について

項目

自動化について
 DigiCert Trust Lifecycle Managerについて
 ドメイン認証（DCV）について
 一般・費用・契約について

ACMEによる自動化に関連したよくある質問

自動化について

Q: ACMEプロトコルを使って証明書更新の自動化を行う場合、Webサーバー側ではどのような対応が必要ですか？

Ａ: Webサーバー側ではACMEプロトコルをサポートするACMEクライアントと呼ばれるソフトウエア、機能が必要となります。一部のアプリケーションや
アプライアンスではACMEクライアントの機能を持っている場合がありますが、そうでない場合には一般的なACMEクライアントソフトウエアの導入が必要となります。
代表的な例としてCertbotや、win-acme等公開されたソフトウエアが利用できます。

DigiCertではACME APIをCertCentral（無償、サービスレベル規定適用外、テスト環境無）、および、TrustLifeCycleManager（有償、サービスレベルの提供、テスト環境有）の２つのAPIを提供しています。CertCentral ACME APIをご利用する場合にはお客様自身でACME対応ソフトウエアのご準備と実装が必要です。

Q: ACMEプロトコルを利用することでOV, EV証明書は自動更新できますか？

Ａ: OV, EV証明書も自動更新可能です

Q: ACMEプロトコルを利用することで複数のサーバーにコピーされているワイルドカード証明書の自動更新は可能ですか？

Ａ: ACMEプロトコルを利用することでワイルドカード証明書を発行することはできます。、発行されたワイルドカード証明書を複数サーバーにコピーしてインストールする必要がある場合には、ACMEクライアントがダウンロードした証明書を複数のサーバーに複製する機能をお客様側で実装する必要があります。

Ｑ: ACMEプロトコルで中間CA証明書やルート証明書の更新はできますか？

Ａ: 中間CA証明書はACMEプロトコルで取得することができますが、ルート証明書は取得できません。ルート証明書の更新が必要な場合は手動で行う必要があります。

Ｑ: ACMEクライアントでCSRの作成から発行された証明書のインストールまで対応できますか？

Ａ: ACMEクライアントの機能によりますが一般的には鍵生成からCSR生成、証明書のインストールまで行えます。より詳細な機能はACMEクライアントの仕様を
ご確認下さい。

Ｑ: ACMEプロトコルを使った自動化はWebサーバーとDigiCertとの通信が必要だと思いますが、セキュリティ設定上通信ができない場合にはどうすればよいですか？

Ａ: 証明書を取得するために必ずDigiCertとの通信が必要です。必要な通信が可能になるようにセキュリティ設定の変更をご検討下さい。

Ｑ: ACMEプロトコルを使って証明書を自動化する場合の支払いはどうなりますか？

Ａ: 現在、CertCentral Enterpriseのサブスクリプション契約の場合は、契約期間内であれば証明書は何度でも無償で再発行、更新が可能です。

CertCentral Partnerのアカウント残高などによる契約の場合は、オーダー期間（契約期間）オーダー期間内であれば証明書は何度でも無償で再発行可能です。更新申請の際は契約に基づいて費用が発生します。

銀行振込、クレジットカード決済、バウチャーを利用した申請の場合は現在CertCentral ACME APIを利用した自動化はできません。自動化に対応するためにはサブスクリプション（事前決済）型の契約のご提供に向けて、2027年内の提供を目指して調整中です。恐れ入りますが、現時点では提供開始までお待ちいただけますと幸いです。

Ｑ: WAFやCDNで利用している証明書をACMEプロトコルで自動化することは可能ですか？

Ａ: WAFやCDNにおける自動化は、サービス提供事業者側で自動化の機能がどのように実現されるかにより異なります。WAFやCDN事業者の対応状況をご確認下さい。

Q: ACMEプロトコルにより自動更新した証明書の発行状況（更新されたのか、更新が失敗していないか等）はどのように管理をすればいいのでしょうか。

Ａ: ACMEクライアントで証明書を更新する場合、証明書の状態についてはCertCentralの証明書管理機能でご確認頂けます。但し、エラー時の通知や自動更新の状況などを管理する機能はCertCentralでは提供しておりません。DigiCertウェブサイトで提供されている証明書インストールチェッカーで該当のURLを入力して確認ください。
証明書の管理機能は必要な場合にはDigiCert Trust Lifecycle Manager等の管理機能を持ったソリューションをご検討下さい。

Ｑ: 同じEV証明書を複数のサーバーに複製して利用しています。ACMEプロトコルを利用してEV証明書を複数のサーバーに複製することはできますか？

Ａ: 一般的なACMEクライアントには同じ証明書を複数のサーバーに複数する機能はございません。複数のサーバーに証明書をコピーする場合には、ACMEクライアントが
ダウンロードした証明書を複数のサーバーに複製する必要があります。複製のためには手動、もしくは、お客様で複製するためのプログラム（スクリプト）の
開発が必要です。

Ｑ: ACMEクライアントのインストールに関する詳細な情報を教えてください。

Ａ: ACMEクライアントの代表的なソフトウエアであるCertbotを利用した自動化の方法についてマニュアルをご用意しています。詳細はDigiCertのドキュメントをご確認下さい。TrustLifeCycleManagerが提供するACME APIを利用する場合にはDigiCertのプロフェッショナルサービスが有償でご支援しますのでお問合せ下さい。

DigiCert Trust Lifecycle Managerについて

Q: Trust Lifecycle Managerを採用するメリットを教えてください。

Ａ: Trust Lifecycle Managerは証明書自動更新だけではなくCertificate Lifecycle Management（CLM：証明書ライフサイクル管理）に関する包括的な機能を提供しています。ご利用している証明書のインベントリ管理と可視化 ( Discovery)、様々な環境への自動化の適用(Sensor/Agentソフトウエア）、自動化APIの提供、更新状況のモニタリングダッシュボードの提供を通じて複雑な環境における証明書管理を包括的に実現します。Trust Lifecycle Managerをご利用頂くことで適切な管理を行いながらクラウド、アプライアンス、複数拠点にまたがったネットワークにおける証明書管理を実現します。また、Trust Lifecycle Managerを選択する場合には導入時のプロフェッショナルサービスをご利用頂けます。Trust Lifecycle Managerは有償サービスとなりますので証明書を十枚以上管理されるお客様が対象になります。

Ｑ: WAFやCDN等のサービスで証明書を利用していますが、Trust Lifecycle Managerを利用してこれらの証明書の自動化もできますか？

Ａ: WAFやCDNにおける自動化は、サービス提供事業者側で自動化の機能がどのように実現されるかにより異なります。
WAF やCDN事業者の対応状況をご確認下さい。

Ｑ: サーバー運営をホスティング業者へ委託していますが、証明書の自動化もできますか？

Ａ: サービス提供事業者側で自動化の機能がどのように実現されるかにより異なります。ホスティング事業者の対応状況をご確認下さい。

Ｑ: Trust Lifecycle Managerを利用することで更新のタイミングをシステムのメンテナンス時間に合わせたり、手動で実行することはできますか？

Ａ: Trust Lifecycle Managerのダッシュボード機能を利用することで証明書更新のスケジュール設定を行うことができます。この機能により更新の実行日時をブラウザから
設定することが可能です。またダッシュボード機能は管理者の手動操作による更新の実行もサポートしています。

Q: Trust Lifecycle Managerを利用する場合、証明書の更新が失敗した場合にアラート等で通知は行われますか？

A: はい。更新の処理に関するアラートメールを送信することができます。また、ダッシュボード上には証明書の有効期間別のグラフが表示されますので更新が失敗して
有効期間が短くなった証明書を視覚的に確認することができます。

Q: Trust Lifecycle Managerでワイルドカード証明書の更新はできますか？

A: Trust Lifecycle Managerではワイルドカード証明書、マルチドメイン証明書の1枚ごとの更新は可能ですが、ダウンロードした同一の証明書を複数のサーバーに複製する機能はございません。

Ｑ: Trust Lifecycle Managerを複数の企業で共有することはできますか？

Ａ: 技術的には可能です。同じTrust Lifecycle Managerのテナントを利用するため管理者は全ての企業の情報にアクセスすることができ、また、共有される情報にはログ等も
混在します。そのような条件で運用上問題ないかご確認下さい。

Ｑ: Trust Lifecycle Managerを利用して証明書を自動化する場合にネットワークの制限はありますか？

Ａ: Trust Lifecycle Managerの Agent/ Sensorはお客様環境に設置され、HTTPS双方向認証で Trust Lifecycle Manager と通信します。この場合、Agent/Sensor は
HTTPSクライアントとして動作しますのでアウトバウンド方向でHTTPS通信ができるようにFirewall等の設定が必要となります。またHTTPS双方向通信（mTLS）を
使用するためSSL/TLS通信を中断するSSLインスペクションがある場合にはSSL/TLSを中断しないように設定する必要があります。

Q: Agent/Sensorの自動化はどの範囲を自動化しますか？また、自動更新後のサーバーの動作確認も行えますか？

A: Agent/Sensorは設定されたスケジュールまたは手動のタイミングで鍵ペア生成、CSR作成、証明書の申請と取得、サーバーへのインストール、Webアプリケーションの
リスタートまでを行います。更新後のWebサーバーの動作確認は行いません。オプションで動作確認のためのスクリプトを追加することで一定の動作確認はできる場合があります。

Q: Trust Lifecycle Managerでクラウドのロードバランサやアプライアンスに対応しているとのことですがどのような環境に対応していますか？

A: Trust Lifecycle Managerの自動化が対応している環境についての情報はこちらからご確認下さい。

Q: Trust Lifecycle Manager 導入に向けてPOC（実証実験）を行いたいのですが対応可能ですか？

A: はい。POCプログラムをご用意しています。お客様で試験環境をご用意頂き、自動更新の動作をご確認頂きます。

Q: Trust Lifecycle Managerの導入時にDigiCertがサーバーへのインストールや動作確認を支援して頂けますか？

A: DigiCertが提供する技術支援は、SoW(業務範囲定義書)で定義されます。 Trust Lifecycle Manager ご導入に際しての支援では、一般的に試験環境で自動化の環境を
構築し、お客様の理解を深めて頂くまでのご支援となります。実際の商用環境への証明書自動化の導入はお客様、もしくは、お客様のサーバーを管理している
システムインテグレータにご担当頂きます。これは自動化ソリューションの導入が商用サービスに対するものであり、かつ、複雑な環境では同時に実施できず継続的、
段階的に導入が必要なためです。また、サービスを管理している担当者が動作を理解し、管理できる状態になることで運用開始後のシステム保守をお客様の管理下に
置くことを目的としているためです。

ドメイン認証（DCV）について

Q: ドメイン認証（DCV）の有効期間とは何ですか？

A: サーバ証明書を発行するためにはCA/Bフォーラムの基本要件に従って、申請企業の実在性確認と証明書に記載するドメイン（FQDN）の認証が必要です。
ドメインの認証はDigiCertがDNSの機構を使って申請されたドメインに正しく到達できることを技術的に確認します。この方法にはメールの到達性、DNSサーバーの
レコードの記載確認、サーバーへの到達性等により確認します。

CAが証明書を発行する時にはドメイン認証（DCV）が正常に完了している必要があります。CertCentral上ではDCVを一度実行すると一定期間有効となり、有効な期間内はDCVの実行が不要になります。この有効期間は2029年に最長10日間になるためDCVの自動化についても検討下さい。

Q: ドメイン認証（DCV）の有効期間が短くなるとDCVの自動化も必要ですか？現在使用しているメール認証は利用できますか？

A: ドメイン認証（DCV）の方法は現在いくつかの方法が選択できますが、そのほとんどが人手を介した方法です。2029年にはドメイン認証（DCV）の有効期間が10日に
短縮されることが決議されており確認のための作業が大きくなります。ドメイン認証（DCV）の自動化は必須ではありませんが、現実的に証明書の有効期間短縮に
伴い証明書更新を自動化する場合、ドメイン認証（DCV）の作業頻度が高まることから、自動化することが望ましいと考えています。

現在利用しているメール認証の方法も引き続き利用可能ですが、上記の理由から自動化の検討は必要と考えています。　

Note: CertCentralのDCVに関する詳細についてはこちらをご参照ください。

Q: ドメイン認証（DCV）の自動化の方法にはどのようなものがありますか？

A: ドメイン認証の自動化の方法として以下の2つの方式が提供されています。

1. HTTP-01（ファイル認証）とDNS-01（DNSインテグレーション）

HTTP-01はCAが事前に発行したチャレンジデータを記載したファイルを証明書に記載するFQDN（サブドメインを含む）のサーバーの特定のフォルダに配置し、CAが別のセッションでファイルを確認する方法です。
DNS-01はチャレンジデータをDNSサーバーのTXTレコードにチャレンジデータを記載し、CAがDNSの機構を利用して確認する方法です。チャレンジデータもDCVの有効期間と同じ有効期間になるため、DCVの有効期間が短縮化された場合にはDNSサーバへの書き込みを自動化する必要があります。DNSサーバがTXTレコードへのデータの自動的な書き込みを許容しているかご確認下さい。

2. Persistent DNS TXT Record

CertCentralで利用できるDCV方式の一つに「Persistent DNS TXT Record」があります。この方式では、DNSに永続的なTXTレコードを登録し、ドメインの管理権を確認します。再認証時にも同じTXT値を使用できるため、従来のDNS TXT認証に比べて、DNSレコードを更新する手間を減らせます。OV／EVのTLS証明書では、この方式で初回のDCVが完了した後、正しいTXT値をDNSに維持している間、CertCentralが5日ごとにドメインを自動で再認証します。

※DVのTLS証明書では、申請ごとにDCVが行われます。

※CertCentralのPersistent DNS TXT Recordは、ACMEのチャレンジ方式であるDNS-PERSIST-01とは異なります。

Q: ACMEのHTTP-01方式またはDNS-01方式でドメイン認証を完了した場合、CertCentralに表示されるDCVの有効期間は更新されますか？

A: いいえ。ACMEのHTTP-01方式またはDNS-01方式によるドメイン認証は、ACMEで証明書を発行する際のチャレンジとして、その申請に対して実施されます。チャレンジに成功すると証明書は発行されますが、CertCentralに登録されているドメインの事前認証状況やDCVの有効期限は更新されません。

Ｑ: HTTP-01方式やDNS-01方式のどちらを選択すべきですか？それぞれのメリットとデメリットはどのようなものですか？

A: HTTP-01方式はチャレンジデータを記載したファイルをサーバーに配置するだけですので実装が容易というメリットがありますが、ワイルドカード証明書の
ドメイン認証（DCV）には使えないこと、および、CAからのファイル確認がHTTP（Port80）通信で行われるという条件があります。DNS-01方式はより汎用的に
利用できる点がメリットですが、DNSのTXTレコードに動的にチャレンジデータを書き込む必要があるためDNSサービスによっては利用できない場合があります。

詳細は以下ドキュメントをご参照ください。

Q: Trust Lifecycle ManagerでDNS-01（DNSインテグレーション）に対応しているDNSサービスを教えてください。

A: DigiCert® Trust Lifecycle Manager は150以上のDNSサービスをサポートしております。これにはAkamai EdgeDNS, Azure DNS, Constellix, Google Cloud, Sonicなども含めてサポートされています。
その他のサービスについてはこちらのページにてご確認ください。

Q: HTTP-01方式で認証用のファイルを設置するのはサブドメインが証明書に記載するFQDNの場合でもベースドメインですか？（例：証明書記載abc.example.comの
場合でもexample.comのサーバーにファイルを設置する必要がありますか？）

A: 認証ファイルは証明書に記載するFQDN（上記の例ではabc.example.com）サーバーに弊社が指定するディレクトリを作成し設置します。
詳細な情報はドキュメント「 Certbot: Issue and install certificate for Apache using HTTP-01 domain validation」をご確認ください。

一般・費用・契約について

Q: 今回の証明書有効期間短縮の影響を受けるのはどの範囲ですか？VMCやコードサイニング証明書、クライアント証明書等も影響を受けますか？

A: 今回の決定はCA Browser Forumにおいてパブリックに利用されるサーバ証明書に関して決議されました。したがって影響範囲はブラウザにルート証明書がプリインストールされたサーバ証明書のみです。プライベートで発行されたサーバ証明書、コードサイニング証明書、S/MIME証明書、VMC証明書等は現時点では影響を受けません。これらの証明書の有効期間に関する制限は将来において変更される可能性がありますのでCA Browser Forumの動向について情報を継続的に確認する必要があります。

Ｑ: ルート認証局や、中間CA証明書の有効期間も短縮されますか？

A: 今回の有効期間の短縮は、パブリックTLSサーバー証明書が対象です。ルートCA証明書および中間CA証明書は、今回の短縮の対象外です。

別途、DigiCertは2027年10月15日から、パブリックTLSサーバー証明書の既定の発行元を新しいG5中間CAに切り替え、その後は約365日ごとに発行元の中間CAを切り替える予定です。この周期は、発行元を切り替える間隔を示すものであり、中間CA証明書自体の有効期間とは別です。DigiCertの今後の変更について最新情報は以下サイトをご確認ください。

DigiCert | Trust Calendar: Public Trust & Compliance Changes

Ｑ: サーバ証明書の管理をAzure Key Vaultで行っていますが、自動化は可能ですか？

A: はい。可能です。対応には事前にサブスクリプション型契約への移行と、弊社側での設定が必要となりますので担当営業までお問合せ下さい。KeyVault側の具体的な設定方法はMicrosoftの情報をご確認下さい。

Q: サーバ証明書の有効期間短縮後の証明書費用はどうなりますか？

A: 有効期間の短縮に伴い、証明書の入れ替え回数が増えても、同じオーダー内での再発行に追加費用はかかりません。お支払いは、ご契約形態に応じて以下のとおりです。

1．オーダー単位でご購入の場合

CertCentralでの個別注文や、CertCentral Partnerのアカウント残高を利用したご購入では、オーダー期間（1年単位、最長3年）に対して費用が発生します。

オーダー期間内は、同じオーダーで何度でも無償で再発行できます。再発行した証明書の有効期限は、オーダーの有効期限を超えません。オーダー満了後も継続してご利用いただく場合は、満了日の90日前から更新を申請できます。更新時は、ご契約に基づく費用が発生します。

2．CertCentral Enterpriseのサブスクリプション契約（包括契約）の場合

FQDN単位のご契約で、契約期間内は、契約対象の証明書を何度でも追加費用なく再発行・更新できます。証明書の入れ替え時には、都度「更新」の手続きでご対応いただけます。

※今後、CertCentralでの個別注文についても、サブスクリプションの提供モデルへの移行を予定しており、2027年内の提供開始を目指して調整を進めております。現時点では提供開始までお待ちいただけますと幸いです。

参考サイト：

Q: 企業認証はどのタイミングで実施されますか？

A: 企業認証はこれまで通りオーダーのタイミング、または、お客様が任意に指定したタイミングで1年に一度実施されます。なお、これまでOV証明書の場合には
企業認証が2年に1度でしたが、今回のCA/B フォーラムの決議により1年に短縮されます。これまで証明書の発行と組織認証の有効期間が同じ1年だったため同時に作業するユーザーが多くみられましたが、今後証明書の更新を自動化した場合、組織認証のタイミングが独立して1年に1度必要となります。組織認証の有効期間が切れると自動化もできなくなりますのでご注意ください。

参考サイト：

Q: 現在サブスクリプション契約を締結していますが、証明書の有効期間が1年未満に短縮され,年の間に数回発行しても同じ値段になるのでしょうか。

A: はい。サブスクリプション契約では証明書の有効期間に関わらずFQDN（サーバー）に対する年間ライセンスとなりますので費用は変わりません。

Q: お客様のサーバ証明書を代行取得しています。そのような場合に証明書の自動化はどのようにすればよいですか？

A: サーバー証明書の代行取得についてもサブスクリプション型の契約により継続することが可能です。その上で自動化のための各種設定作業（組織認証、DCV、自動化のための設定作業）は原則としてお客様単位で行っていただく必要があります。実際の運用、利用方法はお客様ごとに異なるため実施状況等について弊社営業担当までご相談下さい。

Q: デジサートが提供しているサーバ証明書のラインナップに変更はありますか？

A: 現時点で変更は予定しておりません。

Q: バウチャー決済でCertCentralからサーバ証明書の発行をしているが、ACMEクライアントは利用可能ですか？

A: 現時点では利用ができません。今後、CertCentralでの個別注文についても、サブスクリプションの提供モデルへの移行を予定しており、2027年内の提供開始を目指して調整を進めております。現時点では提供開始までお待ちいただけますと幸いです。

なお、バウチャー決済で、複数枚のサーバ証明書をご利用のお客様は、サブスクリプション契約への切り替えご検討下さい。詳細や概算は、バウチャーご購入元へお問合せ下さい。

Q: サーバ証明書の最大有効期間が2026年3月15日から200日、100日、47日へ順次短縮されますが、短縮される前にそれぞれ再発行が必要になりますか。
再発行以外に必要なことはありますか。

A: 最大有効期間の短縮に伴う事前の再発行や、その他の対応は不要です。各変更日より前に発行された証明書は、証明書に記載された有効期限まで引き続きご利用いただけます。DigiCertでは、2026年2月25日（日本時間）から、発行する証明書の最大有効期間を397日から199日に短縮しました。同年2月24日までに発行された証明書も、記載された有効期限までご利用いただけます。

今後の短縮でも同様に、変更日以降に新規発行、更新または再発行される証明書には、発行時点の上限が適用されます。現在ご利用の証明書は、通常どおり、有効期限までに次の証明書へお切り替えください。

参考サイト：

DigiCertの今後の変更予定については「DigiCert | Trust Calendar: Public Trust & Compliance Changes」で最新情報をご確認ください。

Q: バウチャーを購入している、デジサートのパートナーからもサブスクリプション契約は可能でしょうか。

A: 弊社パートナー様経由でもサブスクリプション契約は可能です。なお、CertCentralでのバウチャー決済でもご利用ができるよう、サブスクリプションの提供モデルへの移行を予定しており、2027年内の提供開始を目指して調整を進めております。現時点では提供開始までお待ちいただけますと幸いです。

CHOOSE YOUR LANGUAGE

Knowledge Base