Edge Security Acceleration:エッジ証明書の設定

証明書タイプ

ESA は、無料とカスタムの 2 種類の証明書をサポートしています。システムは、Let's Encrypt などの信頼できる認証局 (CA) から無料の証明書を自動的に発行および更新します。これは、HTTPS を迅速に有効にするのに最適です。カスタム証明書を使用すると、GlobalSign の証明書など、独自のエンタープライズ証明書をアップロードして、ブランディングとコンプライアンスを確保できます。カスタム証明書の更新管理はお客様の責任となります。

• お客様のビジネスが中小企業 (SME) サイトまたは単一の完全一致ドメイン名を持つ個人ブログである場合は、無料証明書をリクエストしてください。

• より信頼性の高い認証局からの証明書が必要な場合、またはすでにドメイン名証明書をお持ちの場合は、カスタム証明書をアップロードしてください。

無料証明書のリクエスト

無料証明書機能は、証明書の発行と管理に便利な方法を提供します。ドメイン名を入力して、証明書を自動的にリクエスト、検証、更新、デプロイできます。

1. ESA コンソールで、サイト管理 を選択します。サイト 列で、ターゲットサイトをクリックします。

2. 左側のナビゲーションウィンドウで、[SSL/TLS] > エッジ証明書 を選択します。

3. 証明書の管理 エリアで、無料証明書の申請 をクリックします。認証局 を選択し、ドメイン名 を入力します:

   • Let's Encrypt (SLA なし): 各無料証明書には最大 50 のドメイン名を含めることができます。単一ドメイン名とワイルドカードドメイン名 ( * で始まる必要があります) を入力できます。ドメイン名はサイトと一致する必要があります。example.com の証明書は、そのドメイン名のみをカバーします。www.example.com などのサブドメインはカバーしません。www.example.com などのサブドメインをカバーするには、サブドメインを個別に追加するか、別のワイルドカード証明書 (*.example.com) をリクエストする必要があります。

   • Digicert: Digicert のシングルドメイン証明書の場合、サイトドメイン名は 1 つしか選択できません。example.com の証明書をリクエストすると、発行された証明書には example.com と www.example.com の両方が含まれます。

4. [OK] をクリックし、リクエストが完了するのを待ちます。証明書が発行されると、[ステータス] 列に [正常] と表示されます。

   

カスタム証明書のアップロード

Alibaba Cloud Certificate Management Service (旧 Alibaba Cloud Security) またはサードパーティプロバイダーから証明書をリクエストし、それを ESA にデプロイできます。

1. ESA コンソールで、サイト管理 を選択します。サイト 列で、ターゲットサイトをクリックします。

2. 左側のナビゲーションウィンドウで、[SSL/TLS] > エッジ証明書 を選択します。

3. [証明書管理] エリアで、[カスタム証明書のアップロード] をクリックします。

   • Alibaba Cloud Certificate Management Service から証明書を購入した場合は、[証明書ソース] を [Alibaba Cloud Security 証明書] に設定し、証明書名 リストから購入した証明書を選択します。

     説明

     購入した証明書を選択できない場合は、証明書にアタッチされているドメイン名が高速化ドメイン名と同じであるかどうかを確認してください。

   • サードパーティプロバイダーの証明書を使用している場合は、[証明書ソース] を [カスタム証明書] に設定します。[証明書名] を設定した後、[証明書 (公開鍵)] と [秘密鍵] をアップロードします。証明書は Alibaba Cloud Certificate Management Service に保存されます。SSL 証明書管理で表示できます。

     パラメーター	説明
     証明書名	アップロードする証明書の名前を設定します。 名前には、文字、ピリオド (.)、数字、アンダースコア (_)、ハイフン (-) を使用できます。 説明 証明書名は一意である必要があります。既存の証明書は SSL 証明書管理で表示できます。 システムが証明書が重複していることを示した場合、証明書名を変更して再度アップロードしてください。
     証明書 (公開鍵)	PEM フォーマットの証明書ファイルの内容を入力します。 テキストエディターを使用して PEM フォーマットの証明書ファイルを開き、その内容をコピーしてこのテキストボックスに貼り付けることができます。
     秘密鍵	PEM フォーマットの秘密鍵ファイルの内容を入力します。 テキストエディターを使用して PEM フォーマットの秘密鍵ファイルを開き、その内容をコピーしてこのテキストボックスに貼り付けることができます。

4. [OK] をクリックして証明書をアップロードします。

既存の証明書の更新

1. ESA コンソールで、サイト管理 を選択します。サイト 列で、ターゲットサイトをクリックします。

2. 左側のナビゲーションウィンドウで、[SSL/TLS] > エッジ証明書 を選択します。

3. [証明書管理] エリアで、更新する証明書を見つけ、[アクション] 列の [変更] をクリックします。

4. 必要に応じて証明書の内容を変更し、[OK] をクリックします。

新しい証明書の設定

1. ESA コンソールで、サイト管理 を選択します。サイト 列で、ターゲットサイトをクリックします。

2. 左側のナビゲーションウィンドウで、[SSL/TLS] > エッジ証明書 を選択します。

3. [証明書管理] エリアで、[カスタム証明書のアップロード] をクリックします。[証明書ソース] に基づいて必要な情報を提供し、[OK] をクリックします。

4. 新しい証明書がアップロードされた後、期限切れの証明書を見つけ、[アクション] 列の [削除] をクリックします。画面の指示に従って証明書を削除します。

無料証明書の自動ドメインコントロール検証

ドメイン名の所有権の正当性を確保するために、認証局 (CA) は申請者に次のいずれかの方法で検証を完了するよう要求します:

• DNS 検証 (NS レコード経由で接続されたサイトの場合): 無料証明書をリクエストすると、ESA はドメインコントロール検証のためにサイトに TXT DNS レコードを自動的に追加します。

• HTTP 検証 (CNAME レコード経由で接続されたサイトの場合): 無料証明書をリクエストすると、システムは指定されたドメインの Web サーバーに特定のファイルを配置できるかどうかを確認することで、ドメイン名のコントロールを検証します。

正常に接続されアクティブ化されたサイトの無料証明書をリクエストすると、ESA はサイトの DCV をホストします。

証明書の選択優先度

同じサイトに無料証明書とカスタム証明書の両方を設定できます。すべての証明書は証明書プールを形成します。エッジノードがクライアントリクエストを受信すると、プールから最適な証明書を自動的に選択してクライアントに返します。選択の優先順位は次のとおりです:

• アクティブな状態の証明書 (たとえば、有効期間内であり、一致するサーバ名表示 (SNI) を持つ) が優先されます。

• シングルドメイン証明書は、ワイルドカードドメイン証明書よりも優先されます。

• より最近設定された証明書が古いものよりも優先されます。