Server Load Balancer:CLB の証明書管理

認証モード

CLB は、一方向認証と相互認証をサポートしています。

• 一方向認証：CLB ではサーバー証明書のみが必要です。クライアントはサーバーの ID を検証します。

• 相互認証：CLB ではサーバー証明書と CA 証明書の両方が必要です。サーバーとクライアントは相互に認証します。

ほとんどの一般公開ウェブサイトでは、一方向認証のみが必要です。内部の企業システムや API 呼び出し元の認証など、クライアントの ID を検証する必要がある場合にのみ、相互認証を設定してください。

証明書のソース

CLB は、2 つのソースからの証明書をサポートしています。

• Alibaba Cloud Certificate Management Service：Alibaba Cloud Certificate Management Service で購入した証明書を直接選択します。この方法により、一元管理が容易になり、有効期限のリマインダーとワンクリックでの更新が可能になります。サーバー証明書のみをサポートし、クライアント CA 証明書はサポートしていません。

• サードパーティー証明書：別のプロバイダーによって発行された証明書または自己署名証明書をアップロードします。この方法では、証明書の公開キーとプライベートキーのファイルを手動でアップロードする必要があります。サーバー証明書とクライアント CA 証明書の両方をサポートしています。

クライアント CA 証明書は、その内容をアップロードすることによってのみ追加でき、Alibaba Cloud Certificate Management Service から選択することはできません。独自の CA を構築してクライアント証明書を発行する必要がある場合は、「OpenSSL を使用した CA 証明書の生成」をご参照ください。

証明書の形式要件

CLB は PEM 形式の証明書のみをサポートしています。証明書を作成する前に、証明書、証明書チェーン、およびプライベートキーが次の形式要件を満たしていることを確認してください。他の形式の証明書は、まず PEM 形式に変換する必要があります。詳細については、「証明書形式の変換」をご参照ください。

• サポートされる証明書タイプ：国際標準証明書 (RSA)。

• サポートされる公開キーアルゴリズム：RSA 1024、RSA 2048、および RSA 4096。

• BEGIN DH PARAMETERS フィールドを含む PEM ファイルはアップロードできません。HTTPS リスナーが使用する ECDHE 暗号スイートは、すでに前方秘匿性をサポートしているため、DHE 暗号スイートで必要とされるセキュリティ強化パラメーターファイルは不要です。

公開キー証明書の形式要件は、発行元によって異なります。証明書のソースに対応する要件を参照してください。

    -----BEGIN CERTIFICATE-----
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    -----END CERTIFICATE-----

openssl rsa -in old_server_key.pem -out new_server_key.pem

証明書形式の変換

証明書が PEM 形式でない場合は、OpenSSL を使用してアップロードする前に PEM 形式に変換してください。

openssl pkcs7 -print_certs -in incertificate.p7b -out outcertificate.cer

複数ドメインシナリオにおける証明書のマッチングロジック

HTTPS リスナーには、デフォルト証明書を 1 つだけ設定できます。同じ HTTPS リスナーで複数のドメイン名に異なる証明書を使用するには、追加ドメイン機能を使用します。

クライアントがリクエストを送信すると、CLB は Server Name Indication (SNI) を使用してリクエストされたドメイン名を識別します。まず、ドメイン名に一致する追加ドメインに設定された証明書を使用します。一致する証明書が見つからない場合は、リスナーに設定されたデフォルト証明書を使用します。

リスナーが複数のワイルドカード証明書を使用する場合、最初に設定されたワイルドカード証明書のみが、配下のすべてのサブドメインに自動的に一致します。後から設定されたワイルドカード証明書は自動的には一致しません。特定のサブドメインごとに追加ドメインを追加し、対応するワイルドカード証明書を指定する必要があります。

たとえば、最初に *.example.com 証明書を設定し、次に *.test.com 証明書を設定した場合、2 つのマッチング動作は異なります。

追加ドメインを使用する際は、次の点にご注意ください。

• 仕様ベースの CLB インスタンスのうち、SNI をサポートしているのはパフォーマンス保証型仕様のみです。つまり、追加ドメインをサポートしているのはこれらのインスタンスのみです。

• 追加する追加ドメインは、選択したサーバー証明書内のドメイン名と一致している必要があります。

• 追加ドメインは、転送ルールと一緒に使用された場合にのみ有効になり、転送ルールで設定されたドメイン名は追加ドメインと一致している必要があります。

• デフォルトでは、HTTPS リスナーは最大 3 つの追加ドメインをサポートしており、最大 10 まで増やすことができます。

追加ドメインの設定方法と完全な説明については、「CLB 追加ドメイン名」をご参照ください。

使用制限

• 証明書の関連付けをサポートしているのは HTTPS リスナーのみです。HTTP リスナーはデータを平文で送信し、TCP や UDP リスナーなどのレイヤー 4 リスナーは証明書の関連付けをサポートしていません。これらのリスナーで暗号化通信を有効にするには、バックエンドサーバーに証明書をデプロイしてください。

• 証明書はリージョン間やアカウント間で使用することはできません。複数のリージョンで証明書を使用するには、証明書の作成時に必要なすべてのリージョンを選択してください。複数のアカウントで証明書を使用するには、まず証明書が作成されたアカウントでSSL 証明書をダウンロードし、次にターゲットアカウントでアップロードしてください。

方法 1：リスナー証明書の置換

方法 2：証明書管理による証明書の置換

証明書管理を通じて証明書を置換すると、その証明書に関連付けられているすべてのリスナーと追加ドメインの証明書も自動的に置換されます。

置換できるのは、少なくとも 1 つのリスナーまたは追加ドメインに関連付けられている証明書のみです。

1. CLB コンソールに移動します。左側メニューで、[CLB] > [証明書] を選択します。

2. 証明書 ページで、置換するターゲット証明書を見つけます。操作 列で、証明書の変更 をクリックします。サーバー証明書の置き換え ページで、設定を完了し、証明書の変更 をクリックします。

   • [証明書の作成と置き換え] を選択します。

     • [Alibaba Cloud 証明書] を選択し、証明書リスト から新しい証明書を選択します。

     • [サードパーティの証明書] を選択し、新しい証明書の公開キーとプライベートキーの内容を貼り付けます。

   • [既存証明書に置き換え] を選択し、既存の証明書のリストから置換に使用するサーバー証明書を選択します。

3. 証明書リストで表示 をクリックします。証明書 ページで、関連付けられているリスナーと追加ドメインが新しい証明書で更新されたことを確認できます。

証明書が有効になったことの確認

• ブラウザー経由でサイトにアクセスし、証明書の詳細で有効期間を確認します。キャッシュが判断に与える影響を避けるために、シークレットモードを使用することを推奨します。

• 追加ドメインが設定されている場合は、各ドメイン名を個別に検証し、各ドメイン名が期待される証明書を返すことを確認します。

クォータ

関連トピック

CLB 証明書に関するよくある質問