Edge Security Acceleration:委任 DCV

DCV とは

ドメインコントロール検証 (DCV) とは、証明書を発行する前に、申請者がドメインをコントロールしていることを認証局 (CA) が検証するプロセスです。

ユースケース

• ドメインが ESA に解決されない CNAME アクセスのサイトの場合、ESA コンソールはデフォルトで Let's Encrypt 証明書に対して HTTP 検証を使用します。HTTP 検証ファイルをデプロイできない場合は、委任 DCV を設定して HTTP 検証をバイパスします。

• DigiCert 証明書は DNS 検証のみをサポートします。CNAME アクセスのサイトの場合、委任 DCV を設定して、証明書が正しく発行および更新されるようにします。

委任 DCV の設定

1. ESA コンソールで、[[サイト管理]] を選択します。[サイト] 列で、対象のサイトをクリックします。

2. 左側メニューで、[SSL/TLS > エッジ証明書] を選択します。

3. [マネージド DCV] セクションで、CNAME レコード情報をコピーします。

   

   説明

   hostname の置換手順:

   • 委任されたドメインが *.example.com などのワイルドカードドメインである場合、hostname は example.com です。

   • 委任されたドメインが esa.example.com などのワイルドカードドメインでない場合、hostname は esa.example.com です。

4. ご利用の DNS プロバイダーで CNAME レコードを追加します。この例では Alibaba Cloud DNS を使用します。Alibaba Cloud DNS コンソール にログインします。左側メニューで [インターネットの権威ある DNS 解決] をクリックします。[インターネットの権威ある DNS 解決] ページで、ドメイン名を見つけて [解決設定] をクリックします。

   

5. [解決設定] ページで、[レコードの追加] をクリックします。[レコードタイプ] を [CNAME] に設定します。手順 3 の値を [Hostname] および [Record Value] フィールドに貼り付けます。[OK] をクリックします。

   ドメイン名の種類	ドメイン名の例	DNS プロバイダーのホストレコード	レコード値
   ルートドメイン	example.com	_dnsauth (DigiCert) _acme-challenge (Let's Encrypt)	example.com.SiteID.dcv.aliyun-esa.com
   サブドメイン	www.example.com	_dnsauth.www (DigiCert) _acme-challenge.www (Let's Encrypt)	www.example.com.SiteID.dcv.aliyun-esa.com
   ワイルドカードドメイン名	*.example.com	_dnsauth (DigiCert) _acme-challenge (Let's Encrypt)	example.com.SiteID.dcv.aliyun-esa.com
   マルチレベルサブドメイン	api.test.example.com	_dnsauth.api.test (DigiCert) _acme-challenge.api.test (Let's Encrypt)	api.test.example.com.SiteID.dcv.aliyun-esa.com

DNS プロバイダーで委任 DCV の CNAME レコードを追加または変更した後、ESA コンソールに移動して手動で無料証明書を申請します。DNS の変更後にシステムが自動的に検証をトリガーすることはありません。

次の点にご注意ください：

• 証明書が正常に発行された後、DNS プロバイダーから DCV レコードを削除しないでください。削除すると、将来の自動更新が失敗します。

• 証明書の申請に失敗した場合、またはタイムアウトが続く場合は、DNS の伝播が有効になっていることを確認してください (通常は最大 10 分)。ホストレコードの形式が正しいこと (Let's Encrypt の場合は _acme-challenge、DigiCert の場合は _dnsauth) を確認してください。競合する古い検証レコードを削除して、再試行してください。

マルチレベルサブドメイン：マルチレベルサブドメイン (例：hw.drive.example.com) の証明書を申請する場合、ホストレコードにはプレフィックスのみ (例：_dnsauth.hw.drive) を設定します。ホストレコードに完全なドメイン名を含めないでください。検証に失敗する原因となります。ワイルドカード証明書 (例：*.example.com) は、3 次レベル以上のサブドメインをカバーしないことに注意してください。マルチレベルサブドメインごとに、個別の証明書を申請し、対応する DCV レコードを設定してください。

検証

証明書が複数のドメインをカバーしている場合は、ドメインごとに CNAME レコードを設定します。次のコマンドを実行して、レコードが有効になっていることを確認します。

証明書の申請に失敗した場合、証明書のステータスが異常な場合、または証明書が信頼できないと表示される場合は、このセクションの dig コマンドを使用して、DNS の名前解決が正しく設定されていることを確認してください。Let's Encrypt 証明書の場合、シナリオによっては _acme-challenge レコードの検証も必要になることがあります。DNS の伝播には通常、数分から 10 分かかります。検証に失敗した場合は、しばらく待ってから再試行するか、DNS 設定にエラーがないか確認してください。

# [DigiCert 証明書]
dig _dnsauth.<hostname> CNAME # <hostname> をご利用のドメイン名に置き換えます。例: dig _dnsauth.example.com CNAME

# [Let's Encrypt 証明書]
dig _acme-challenge.<hostname> CNAME  # <hostname> をご利用のドメイン名に置き換えます。例: dig _acme-challenge.example.com CNAME

よくある質問