Edge Security Acceleration:エッジ証明書の設定

証明書の種類

ESA では柔軟な設定オプションを提供しており、無料証明書およびカスタム証明書の両方をサポートしています。無料証明書は、Let's Encrypt などの信頼された認証局（CA）からシステムが自動的に発行および更新します。HTTPS 暗号化を迅速に有効化するのに最適です。カスタム証明書では、GlobalSign などから取得した自社の企業向け証明書をアップロードでき、ブランド固有の SSL 表示要件やコンプライアンス要件を満たすことができます。カスタム証明書の更新は手動で管理する必要があります。

• 単一の完全一致ドメイン名を使用する中小企業（SME）向けサイトまたは個人ブログをお持ちの場合、無料証明書の申請をご推奨します。

• より信頼性の高い認証局から発行された証明書を使用したい場合、または既にドメイン証明書をお持ちの場合には、カスタム証明書のアップロードをご推奨します。

無料証明書の申請

無料証明書機能は、証明書の発行および管理を簡便に行うための機能です。ドメイン名を入力するだけで、証明書の申請、ドメイン所有権検証（DCV）、更新、HTTPS 暗号化へのデプロイを自動的に完了できます。

1. ESA コンソールで、サイト管理 を選択します。サイト 列から対象のサイトをクリックします。

2. 左側のナビゲーションウィンドウで、SSL/TLS > エッジ証明書 を選択します。

3. [証明書の管理] エリアで、[無料証明書の申請] をクリックします。 [認証局] を選択し、[ドメイン名] を入力します。

   • Let's Encrypt (No SLA)：各無料証明書には最大 50 個のドメイン名を含めることができます。単一のドメイン名およびワイルドカードドメイン名を入力できます。ワイルドカードドメイン名は * で始める必要があります。入力するドメイン名は、対象サイトと一致している必要があります。example.com の証明書はこのドメインのみをカバーし、www.example.com などのサブドメインは含まれません。サブドメイン（例：www.example.com）をカバーするには、ワイルドカードドメイン名証明書（*.example.com）を別途申請するか、サブドメインを個別のエントリとして追加する必要があります。

   • DigiCert：DigiCert シングルドメイン証明書の場合、1 つのサイトドメイン名のみを選択します。example.com の証明書を申請すると、発行される証明書には example.com と www.example.com の両方が含まれます。

4. OK をクリックし、無料証明書の発行を待ちます。証明書の発行が成功すると、ステータス 列に 正常 と表示されます。

   

カスタム証明書のアップロード

Alibaba Cloud Certificate Management Service または第三者のサービスプロバイダーから証明書を取得した後、その証明書を ESA にデプロイできます。

1. ESA コンソールで、サイト管理 を選択します。サイト 列から対象のサイトをクリックします。

2. 左側のナビゲーションウィンドウで、SSL/TLS > エッジ証明書 を選択します。

3. 証明書の管理 エリアで、カスタム証明書のアップロード をクリックします。

   • Alibaba Cloud Certificate Management Service から証明書を購入した場合、ソース を Certificate Management Service を使用して購入した証明書 に設定し、証明書名 のドロップダウンリストから証明書を選択します。

     説明

     購入した証明書が選択できない場合は、証明書にバインドされているドメイン名と高速化ドメイン名が一致しているかご確認ください。

   • 第三者のサービスプロバイダーから発行された証明書を使用する場合、ソース を カスタム証明書 に設定します。その後、証明書名 を指定し、証明書 (公開鍵) および 秘密鍵 をアップロードします。この証明書は Alibaba Cloud Certificate Management Service に保存されます。「SSL 証明書管理」で確認できます。

     パラメーター	説明
     証明書名	アップロードする証明書の名前を設定します。 英字、ピリオド、数字、アンダースコア（_）、ハイフン（-）が使用可能です。 説明 証明書名は既存の証明書名と重複してはなりません。「SSL 証明書管理」で既存の証明書を確認できます。 システムから証明書が重複していると警告された場合は、証明書名を変更して再アップロードしてください。
     Certificate (Public Key)	証明書ファイルの PEM エンコード形式の内容を入力します。 テキストエディターで PEM 形式の証明書ファイルを開き、その内容をコピーしてテキストボックスに貼り付けてください。
     Private Key	証明書の秘密鍵ファイルの PEM エンコード形式の内容を入力します。 テキストエディターで PEM 形式の秘密鍵ファイルを開き、その内容をコピーしてテキストボックスに貼り付けてください。

4. OK をクリックして、証明書のアップロードを完了します。

既存証明書の更新

1. ESA コンソールで、サイト管理 を選択します。サイト 列から対象のサイトをクリックします。

2. 左側のナビゲーションウィンドウで、SSL/TLS > エッジ証明書 を選択します。

3. 証明書の管理 エリアで、更新する証明書を選択し、[操作] 列の 変更 をクリックします。

4. 必要に応じて証明書の内容を変更し、OK をクリックします。

新規証明書の設定

1. ESA コンソールで、サイト管理 を選択します。サイト 列から対象のサイトをクリックします。

2. 左側のナビゲーションウィンドウで、SSL/TLS > エッジ証明書 を選択します。

3. 証明書の管理 セクションで、カスタム証明書のアップロード をクリックします。ソース に応じて、必要な情報を入力 し、OK をクリックします。

4. 新しい証明書のアップロードが完了したら、有効期限が近づいている証明書の [操作] 列で 削除 をクリックし、プロンプトに従って証明書を削除します。

無料証明書の自動ドメイン所有権検証

ドメインの所有権を検証するために、認証局（CA）は以下のいずれかの方法で検証を完了することを申請者に求めます：

• DNS 検証（NS レコードを使用して接続されたサイトの場合）：無料証明書を申請すると、ESA がドメイン所有権検証用の TXT レコードを自動的に追加します。

• HTTP 検証（CNAME レコードを使用して接続されたサイトの場合）：無料証明書を申請すると、指定されたドメイン名の Web サーバー上に特定のファイルを配置することでドメイン所有権が検証されます。

追加および有効化済みのサイトに対して無料証明書を申請すると、ESA がサイトの DCV をホスト します。

証明書の選択優先順位

単一のサイトでは、無料証明書およびカスタム証明書の両方をサポートできます。設定済みのすべての証明書は証明書プールを構成します。POP がクライアントからのリクエストを受信すると、証明書プールから最適な証明書を自動的に選択し、クライアントに返却します。証明書の選択優先順位は以下のとおりです：

• アクティブな状態の証明書が優先されます。たとえば、有効期間内であり、サーバ名表示（SNI）と一致する証明書です。

• 設定日時が新しい証明書が、設定日時が古い証明書よりも優先されます。

Digicert 無料証明書の特徴は何ですか？

• ドメイン名の制限：1 つの証明書には 1 つのドメイン名のみを含めることができ、ワイルドカードドメイン名はサポートされていません。

• SAN の設定：証明書が発行されると、申請したドメイン名とその www サブドメインの 2 つのサブジェクト代替名称（SAN）が含まれます。たとえば、example.com の証明書を申請した場合、発行される証明書には example.com と www.example.com の両方が含まれます。

• www ドメイン名の処理：証明書名に www. で始まるものを入力した場合、ESA は www. プレフィックスを自動的に無視します。

• DCV 検証：TXT レコード検証に使用されるドメイン名は _dnsauth.{{certificate name}} です。DCV ホスティングには、このドメイン名の CNAME レコードを設定する必要があります。

• 有効期間：証明書の有効期間は 3 ヶ月で、自動更新をサポートしています。

• 証明書の種類：SHA256-RSA 暗号化アルゴリズムを使用するドメイン検証（DV）証明書です。