CDN:HTTPS 証明書の設定

範囲

証明書を設定する前に、デプロイが問題なく完了するように、以下の機能に関する制約と注意事項を確認してください。

• 証明書の購入：証明書をお持ちでない場合、 Certificate Management Service コンソールで公式の証明書を購入できます。

• 秘密鍵の要件：カスタム証明書をアップロードする場合、アップロードする証明書の秘密鍵はパスワードで保護されていない必要があります。まず、秘密鍵ファイルからパスワード保護が解除されていることを確認してください。

• SM 証明書 (SM2)：CDN コンソールでは、SM2 デュアル証明書の直接設定はサポートされていません。SM 証明書を使用するには、SetCdnDomainSMCertificate API を使用して設定する必要があります。

コンソールでの設定

1. Alibaba Cloud CDN コンソールにログインします。

2. 左側のナビゲーションペインで [ドメイン名 ] をクリックします。

3. [ドメイン名] ページで、管理対象のドメイン名を見つけ、[アクション] 列の [管理] をクリックします。

   

4. ドメイン名の左側のナビゲーションウィンドウで、[HTTPS 設定] をクリックします。

5. HTTPS 証明書 セクションで、変更 をクリックします。

6. HTTPS 設定 ページで、HTTPS セキュアアクセラレーション スイッチをオンにし、証明書パラメーターを設定します。[HTTPS セキュアアクセラレーション] を有効にすると、HTTPS リクエスト数に基づいて料金が発生します。

   • Certificate Management Service で証明書を購入した場合、[Certificate Management Service] を選択し、証明書名 ドロップダウンリストから購入した証明書を選択します。Certificate Management Service で購入した証明書は、CDN プラットフォームに一括でデプロイできます。詳細については、「HTTPS 証明書の一括設定」をご参照ください。

     説明

     証明書が見つからない場合は、証明書に紐付けられているドメイン名が高速化ドメイン名と同一であることを確認してください。

   • サードパーティプロバイダーの証明書を使用している場合は、カスタム証明書 (証明書 + プライベートキー) を選択します。次に、証明書名 を指定し、証明書 (公開鍵) と 秘密鍵 の内容を貼り付けます。証明書は Alibaba Cloud Certificate Management Service に保存され、[マイ証明書] ページで表示できます。

     カスタムアップロード機能には、証明書 (公開鍵) と 秘密鍵 の形式に厳密な要件があります。設定エラーが発生した場合や、設定例が理解できない場合は、「カスタム証明書のアップロード」を参照して 証明書 (公開鍵) と 秘密鍵 を処理してから、アップロードしてください。

     パラメーター	説明
     [証明書名]	アップロードする証明書の名前を入力します。 名前には、文字、ピリオド (.)、数字、アンダースコア (_)、ハイフン (-) のみを使用できます。名前は一意である必要があります。
     [証明書 (公開鍵)]	証明書ファイルの内容を PEM 形式で入力します。
     [秘密鍵]	秘密鍵の内容を PEM 形式で入力します。秘密鍵情報は機密情報であるため、アップロード後にコンソールから表示またはエクスポートすることはできません。秘密鍵はローカルで適切に保管してください。

7. OK をクリックします。

API または CLI による設定

SetCdnDomainSSLCertificate API を呼び出すことができます。

Alibaba Cloud CLI を使用する場合のコマンド例を次に示します。

aliyun cdn set-cdn-domain-ssl-certificate \
  --domain-name <your_accelerated_domain_name> \
  --cert-name <certificate_name> \
  --cert-id <certificate_ID> \
  --cert-type cas \
  --ssl-protocol on \
  --region cn-hangzhou

カスタム証明書をアップロードするには、ssl-pub (公開鍵) と ssl-pri (秘密鍵) パラメーターを指定し、cert-type パラメーターを upload に設定する必要があります。コマンド例を次に示します。

aliyun cdn set-cdn-domain-ssl-certificate \
  --domain-name example.com \
  --cert-name yourCertName \
  --cert-type upload \
  --ssl-protocol on \
  --ssl-pub "<PEM-encoded_public_key_content>" \
  --ssl-pri "<PEM-encoded_private_key_content>" \
  --region cn-hangzhou

カスタム証明書のアップロード

サードパーティプロバイダーから発行された証明書または自己署名証明書をお持ちの場合は、アップロードする前に、サポートされている形式で証明書と秘密鍵を準備する必要があります。

• 証明書 (公開鍵)

  CDN は PEM 形式の証明書のみをサポートしています。他の形式を変換するには、「証明書の形式の変換」をご参照ください。アップロード要件は認証局 (CA) によって異なります。

  • ルート CA によって発行された証明書 (証明書ファイル 1 つ)

    PEM 証明書ファイルをテキストエディターで開きます。-----BEGIN CERTIFICATE----- で始まり -----END CERTIFICATE----- で終わる行を含む、すべての内容をアップロードします。

    -----BEGIN CERTIFICATE-----
    [証明書の内容]
    -----END CERTIFICATE-----

  • 中間 CA によって発行された証明書 (複数の証明書ファイル)
    サーバー証明書とすべての中間 CA 証明書を順番に連結して、単一の証明書チェーンファイルを作成します。ファイルの内容は、次の形式に従う必要があります。
    

    -----BEGIN CERTIFICATE-----
    [サーバー証明書の内容]
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    [中間 CA 証明書の内容]
    -----END CERTIFICATE-----

• 秘密鍵
  秘密鍵のファイル拡張子は通常 .key または .pem です。秘密鍵ファイルをテキストエディターで開きます。アップロード要件は、秘密鍵の形式によって異なります。
  

  • RSA 秘密鍵の直接アップロード

    秘密鍵が -----BEGIN RSA PRIVATE KEY----- で始まり -----END RSA PRIVATE KEY----- で終わる場合、秘密鍵の内容を直接アップロードします。

    -----BEGIN RSA PRIVATE KEY-----
    [秘密鍵の内容]
    -----END RSA PRIVATE KEY-----

  • 他の秘密鍵形式の変換後のアップロード

    秘密鍵が -----BEGIN PRIVATE KEY----- で始まり -----END PRIVATE KEY----- で終わる場合、まず OpenSSL コマンドを使用して鍵を変換します。次に、「RSA 秘密鍵の直接アップロード」セクションの説明に従って、変換された秘密鍵の内容をアップロードします。コマンドでは、old_server_key.pem は元の秘密鍵、new_server_key.pem は変換後の秘密鍵です。

    # 変換対象の秘密鍵
    -----BEGIN PRIVATE KEY-----
    [秘密鍵の内容]
    -----END PRIVATE KEY-----

    # 変換コマンド
    openssl rsa -in old_server_key.pem -out new_server_key.pem

  • サードパーティプロバイダーから証明書をダウンロードまたは申請する際は、次のファイルの区別に注意してください。

    • 通常、.pem または .crt ファイルには公開鍵 (証明書の内容) が含まれ、.key または .private ファイルには秘密鍵が含まれます。

    • アップロードする際は、公開鍵ファイル (.pem または .crt) の内容を「証明書 (公開鍵)」フィールドに、秘密鍵ファイル (.key または .private) の内容を「秘密鍵」フィールドに貼り付けます。

    • CSR ファイルはアップロードしないでください。証明書署名リクエスト (CSR) は、認証局から証明書を申請するためにのみ使用され、証明書や秘密鍵として使用することはできません。

    • Nginx 形式の証明書を使用している場合は、以下を確認してください。

      1. 証明書ファイルの内容が PEM 形式であり、-----BEGIN CERTIFICATE----- で始まっていること。

      2. 秘密鍵ファイルの内容が PEM 形式であり、-----BEGIN RSA PRIVATE KEY----- または -----BEGIN PRIVATE KEY----- で始まっていること。

      3. 証明書と秘密鍵が一致していること。

      4. ファイルから余分なスペース、改行、または非標準文字を削除していること。

    • 証明書チェーンが不完全な場合は、アップロードする前に中間証明書と主証明書を 1 つのファイルに結合する必要があります。詳細については、「証明書の形式」をご参照ください。

HTTPS 設定の確認

• ブラウザ検証: ブラウザでhttps://your-accelerated-domain-nameにアクセスします。アドレスバーにロックアイコンが表示され、証明書の詳細が有効な場合、設定は成功です。

• コマンドライン検証: curl -I https://your-accelerated-domain-name を実行します。200 ステータスコードは、HTTPS サービスが有効であることを示します。

HTTPS アクセラレーションの無効化

CDN コンソールでいつでも無効にできます。この変更はすぐに有効になります。この機能が無効になると、クライアントは HTTPS 経由でリソースにアクセスできなくなり、証明書と秘密鍵の情報は削除されます。

HTTPS セキュアアクセラレーションを再度有効にするには、証明書を再度選択して設定します。

課金

HTTPS セキュアアクセラレーションを有効にすると、追加料金が発生します。

• 課金アイテム：静的 HTTPS リクエスト。この料金は CDN のデータ転送料金とは別で、アカウント内のすべての高速化ドメイン名における静的 HTTPS リクエストの総数に基づきます。

• 課金方法：従量課金がサポートされています。

• 料金に関する注意事項：CDN データ転送プランは、HTTPS リクエストの料金を相殺するために使用することはできません。

関連ドキュメント

関連 API