Certificate Management Service は、NGINX、Apache HTTPD、Apache Tomcat、Spring Boot、インターネット インフォメーション サービス (IIS) 向けに、サーバーですぐに使用できる形式で SSL 証明書をパッケージ化します。サーバータイプに対応するパッケージをダウンロードし、形式変換なしで直接インストールできます。
SSL 証明書管理 V2.0 経由で購入した証明書は、SSL 証明書管理 V2.0 ページからダウンロードします。V2.0 以外のチャネル経由で購入した証明書は、[SSL 証明書管理 (V1.0 は新規購入不可)] ページからダウンロードします。
前提条件
Certificate Management Service コンソールで証明書を発行済みであること。詳細については、「公式証明書の購入」をご参照ください。
無料証明書の申請方法：Certificate Management Service コンソールで無料証明書の申請を送信できます。無料証明書には年間の割り当て制限があります。当年度の割り当てを使い切った場合は、公式証明書を購入する必要があります。
購入チャネルとダウンロード場所のマッピング: SSL Certificate Management V2.0 を通じて購入した証明書は、SSL 証明書管理 V2.0 ページで表示およびダウンロードする必要があります。V2.0 以外のチャネルを通じて購入した証明書は、旧 (V1.0) ページで表示されます。注文の返金管理にレコードがあるにもかかわらず、証明書リストに証明書が表示されない場合は、購入チャネルを確認し、対応するコンソールのバージョンにログインしてください。
注意事項
データセキュリティのため、Certificate Management Service に一元管理用にアップロードしたサードパーティ証明書は、自己構築サーバーへのデプロイ用にダウンロードすることはできません。コンソールを通じて一元管理し、クラウド製品に自動デプロイする必要がある場合、関連するサービス料金が発生するか、特定のホスティング機能が必要になる場合があります。詳細については、証明書ホスティングのドキュメントをご参照ください。
SSL 証明書は、ステータスが 発行済み、まもなく期限切れ、または 期限切れ の場合にのみダウンロードできます。他のステータスの証明書はダウンロードできません。
証明書を実際に使用するには、ビジネスサーバーにデプロイする必要があります。証明書ファイルの取得のみが必要な場合でも、まず申請と発行のプロセスを完了してから、証明書ファイルをダウンロードして手動デプロイを行う必要があります。
操作手順
Certificate Management Service コンソール にログインします。
V2.0 で購入した証明書の場合は、左側のナビゲーションペインで 証明書管理 > SSL 証明書管理 V2.0 を選択します。V1.0 で購入した証明書の場合は、証明書管理 > [SSL 証明書管理 (V1.0 新規購入は提供終了)] を選択します。
公式証明書 タブで、ダウンロードする証明書を選択し、証明書リストの下にある ダウンロード をクリックします。
証明書の受け渡しに関する説明：中間購入者 (最終デプロイ担当者ではない) の場合は、ダウンロードした証明書パッケージを、ターゲットサーバーに対応する形式 (公開鍵、秘密鍵、パスワードファイルを含む) のままデプロイ担当者に受け渡し、秘密鍵ファイルを適切に保護するよう注意を促してください。
表示されるダイアログボックスで、サーバータイプに対応する証明書形式を選択し、証明書パッケージをダウンロードして解凍します。
サーバータイプに対応する証明書形式がリストにない場合は、PEM 形式をダウンロードし、証明書変換ツールを使用して変換してください。詳細については、「証明書形式の変換」をご参照ください。
説明サーバータイプの確認方法については、「サーバータイプの照会」をご参照ください。
ダウンロードした証明書ファイルには、通常、中間証明書が含まれています。SSL 証明書のインストール時に信頼されない中間証明書の問題が発生した場合は、アカウントマネージャーにお問い合わせください。
証明書申請プロセス中に、OpenSSL や Keytool などのツールを使用して手動で生成した証明書署名要求 (CSR) ファイルを使用した場合は、秘密鍵はローカルで管理されます。ダウンロードした証明書パッケージには秘密鍵ファイルは含まれません。
ダウンロードした証明書パッケージには、プライマリドメインとそのサブドメインの両方の証明書ファイルがすでに含まれています。ファイル名は通常、証明書 ID またはバインドされたドメイン名に基づいています。特定のファイル名を検索しなくても、パッケージ内の PEM または CRT ファイルをプライマリドメイン証明書として直接使用できます。
どのファイルを選択すればよいかわからない場合は、PEM 形式 (証明書チェーンを含む) と KEY ファイルの組み合わせが一般的に推奨される選択肢です。これらを Web サーバーにアップロードしてデプロイを完了します。
サーバータイプが不明な場合は、利用可能なすべての証明書形式パッケージをダウンロードしてください。サーバー環境を確認したら、対応する証明書ファイルを選択してデプロイします。
サーバータイプと証明書形式
証明書をダウンロードする際、ダイアログボックスには以下の証明書形式が表示されます。
証明書タイプ
サーバータイプ
証明書形式
パッケージ内のファイル
SSL 証明書
NGINX
PEM
Base64 でエンコードされた汎用証明書形式で、プレーンテキストとして表示できます。NGINX など、ほとんどのサーバーやアプリケーションに適用できます。
ドメイン名.pem：証明書ファイル。
ドメイン名.key：証明書の秘密鍵ファイル。
Tomcat
PFX (PKCS#12 とも呼ばれる)
公開鍵と秘密鍵の両方を含むバイナリ形式です。Tomcat、IIS、Exchange などのサーバーに適用できます。
ドメイン名.pfx：PFX形式の証明書ファイル。
pfx-password.txt：証明書を保護するパスワード。
説明証明書申請時に、[CSR 生成方法] を [システム生成] に設定しなかった場合、ダウンロードした証明書パッケージには TXT パスワードファイルは含まれません。
Apache
CRT
証明書と関連メタデータ (発行者情報、有効期間、サブジェクトなど) を含むバイナリ形式ですが、秘密鍵は含まれません。Apache サーバーに適用できます。
ドメイン名_public.crt：証明書ファイル。
ドメイン名_chain.crt：証明書チェーンファイル。
ドメイン名.key：証明書の秘密鍵ファイル。
IIS
PFX (PKCS#12 とも呼ばれる)
公開鍵と秘密鍵の両方を含むバイナリ形式です。Tomcat、IIS、Exchange などのサーバーに適用できます。
ドメイン名.pfx：証明書ファイル。
pfx-password.txt：証明書を保護するパスワード。
JKS
JKS
Java プラットフォーム専用のキーストア形式です。Tomcat や Jetty などの Java ベースの Web サーバーやアプリケーションに適用できます。
解凍されたパッケージには次のファイルが含まれます。
ドメイン名.jks：証明書ファイル。
jks-password.txt：証明書を保護するパスワード。
[その他]
PEM
Base64 エンコードに基づく汎用証明書形式で、プレーンテキストとして表示できます。必要な形式がコンソールにない場合は、この形式を選択し、ダウンロード後に手動で変換してください。
PEM形式の証明書ファイル：
ドメイン名.pem：PEM形式の証明書ファイル。
ドメイン名.key：証明書の秘密鍵ファイル。
[ルート証明書のダウンロード]
ルート証明書は通常、CRT または CER 形式です。ルート証明書がプリインストールされていない、アプリサービスや IoT 端末など、PC ブラウザ以外の環境に適用できます。対応する SSL 証明書ブランドのルート証明書をダウンロードしてインストールする必要があります。詳細については、ドキュメントをご参照ください。
該当なし
SM2証明書
該当なし
PEM
PEM
SM2 証明書は、サーバータイプに関係なく PEM 形式を使用します。解凍後、パッケージには次のファイルが含まれます。
署名証明書と秘密鍵：ドメイン名_sm2_sign.pem および ドメイン名_sm2_sign.key。
暗号化証明書と秘密鍵：ドメイン名_sm2_enc.pem および ドメイン名_sm2_enc.key。
.cer形式の取得：ビジネスシステム (SAP Web Dispatcher など) で .cer 形式が必要な場合は、Apache に対応する CRT 形式の証明書をダウンロードし、拡張子を .crt から .cer に直接変更できます。コンソールでは .cer 形式のファイルは提供されません。または、PEM 形式の証明書をダウンロードし、拡張子を .pem から .cer に変更することもできます。
Nginx証明書ファイルに関する注意事項：Nginx に対応する .pem および .key ファイルは、Base64 でエンコードされたテキストファイルです。ローカルマシンで直接開けない場合は、メモ帳などのテキストエディターを使用して内容を表示することを推奨します。
無料証明書の形式に関する注意事項：無料 SSL 証明書のダウンロードでは、画像形式は利用できません。表示される画像形式は通常、ドメイン名証明書 (ブランドロゴなど) に属するもので、サーバーデプロイに使用する SSL 証明書ファイルではありません。デプロイには PEM や PFX などの標準形式をダウンロードしてください。
マルチドメイン証明書の説明：マルチドメイン SSL 証明書をダウンロードした際に1つの証明書ファイルのみを受け取るのは正常です。マルチドメイン証明書は、複数のドメインをカバーする単一の証明書ファイルです。この証明書は、バインドされたすべてのドメインに汎用的にデプロイできます。システムは各ドメインに対して個別の証明書ファイルを生成しません。
ダウンロードしたファイル名が期待と一致しない：ダウンロードしたファイル名が期待と一致しない場合は、正しいサーバータイプを選択したか確認してください。サーバータイプが異なると、拡張子と内容構造が異なります。
ダウンロード時に画像ファイルのみ表示される：ダウンロードした SSL 証明書ファイルが画像として表示される場合は、操作エラーまたはブラウザのレンダリングの問題がないか確認してください。Certificate Management Service コンソールにログインし、このドキュメントの手順に従って証明書パッケージを再ダウンロードし、解凍して正しい形式を取得することを推奨します。
コンソールで証明書が見つからない、または秘密鍵がダウンロードできない：アカウントにそのドメインの SSL 公開証明書の記録があるか確認してください。記録がない場合は、CSR 生成時にローカルに保存した秘密鍵があるか確認してください。秘密鍵を紛失した場合は、CSR を再生成して証明書を再発行する必要があります。
次のステップ
SSL 証明書をコンピューターにダウンロードした後、Web アプリケーションサーバーで手動で構成します。詳細については、「証明書の手動デプロイ」をご参照ください。
Alibaba Cloud 以外のプラットフォームへのデプロイ：プロキシデバイスにデプロイする場合は、対応するプラットフォームのドキュメントを参照して構成してください。サーバーにデプロイする場合は、Web サーバータイプ (Nginx や Apache など) に基づいて、サーバーの構成ファイルでデプロイを構成します。
サードパーティクラウドプラットフォームへのデプロイ：サードパーティクラウドプラットフォーム (Cloudflare など) にデプロイする場合は、まず証明書をダウンロードしてターゲットサーバーにアップロードし、その後、特定の Web サーバータイプ (Nginx や Apache など) に基づいて、構成ファイルに対応する証明書と秘密鍵の絶対パスを記入します。
ドメインは Alibaba Cloud 上だがサーバーは Alibaba Cloud 外：ドメインが Alibaba Cloud に登録されているがサーバーが他の場所でホストされている場合、ワンクリックデプロイ機能は使用できません。Certificate Management Service コンソールから、現在の Web サーバータイプ (Nginx や Apache など) に適した証明書ファイルを申請してダウンロードし、自身のサーバーで SSL 証明書を手動で構成し、ポート 443 でのリスニングを有効にする必要があります。Alibaba Cloud のドメイン名解決がそのサーバー IP を指すようにしてください。
Yunmeng Website Builder (Wanxiaozhi) へのデプロイ：
Certificate Management Service コンソールから SSL 証明書をダウンロードし、Nginx 形式を選択します。
解凍後、.pem および .key ファイルをテキストエディターで開き、その内容をコピーします。
Yunmeng Website Builder (Wanxiaozhi) コンソールにログインし、対応するドメインの HTTPS カスタム証明書の構成オプションを見つけ、.pem ファイルの内容 (証明書) と .key ファイルの内容 (秘密鍵) を貼り付けてアップロードします。
構成後もアクセスが安全でないと表示される場合は、ブラウザのキャッシュをクリアするか、シークレットモードまたは別のブラウザを使用してテストしてください。
Baota Panelへのデプロイ：Baota Panel にログインし、[Webサイト設定] > [SSL] に移動して [その他の証明書] を選択します。ダウンロードした Nginx 形式の証明書について、.key ファイルの内容を鍵フィールドに、.pem ファイルの内容を証明書フィールドに貼り付けます。保存して HTTPS を適用します。
Cloud Enterprise Official Websiteへのデプロイ：Nginx 形式の証明書パッケージをダウンロードして解凍した後、Cloud Enterprise Official Website のバックエンドにログインし、HTTPS 構成ページに移動し、解凍した証明書ファイル (.pem) と秘密鍵ファイル (.key) の内容を対応する入力フィールドに貼り付けて保存します。
新しいサーバーでの証明書の再デプロイ：新しいサーバーまたは異なるアーキテクチャで証明書を再デプロイする必要がある場合は、ビジネスシナリオに基づいて適切なデプロイスキームを選択してください。自動デプロイ、手動デプロイ、および負荷分散デプロイの適用シナリオと操作ガイドについては、「SSL証明書デプロイスキームの選択」をご参照ください。
異なるサーバータイプへのデプロイ：発行後、Web サーバータイプに基づいて、以下のドキュメントを参照してデプロイできます。
Nginx、Apache、およびその他のサーバー：「サーバーへの SSL 証明書のインストール」をご参照ください。
手動デプロイの主要なプロセス：
ダウンロードした証明書ファイルをサーバーの指定されたディレクトリにアップロードします。
Web サーバータイプ (Nginx や Apache など) に基づいて構成ファイルを変更し、証明書と秘密鍵のパスを指定します。
サービスを再起動またはリロードして構成を適用します。
Alibaba Cloud Enterprise Mailとの統合：SSL 証明書を購入した後、Alibaba Cloud Enterprise Mail のバックエンドにアップロードして使用でき、HTTPS を有効にできます。SSL 証明書のアップロードについては、「Enterprise Mail SSL 証明書の構成」をご参照ください。
証明書の有効期限の処理：SSL 証明書の有効期限が切れた場合は、証明書コンソールにアクセスして証明書を再申請してください。申請時にプライマリドメイン名を記入すると、発行後に対応する www サブドメインが自動的に含まれます。申請を送信したら、ドメイン検証用の DNS レコードを追加します。検証後、新しい証明書をダウンロードしてビジネスにデプロイできます。無料証明書の年間割り当てを使い切った場合は、公式証明書を購入する必要があります。
よくある質問
Q: このドキュメントのSSL 証明書とドメイン名証明書の違いは何ですか？
A: このドキュメントでは、SSL デジタル証明書のダウンロードのみを扱っています。公安部への提出用に PDF 形式のドメイン名証明書をダウンロードする必要がある場合は、ドメイン名コンソールまたは届出システムにアクセスしてください。
Q: 発行後、各SSL 証明書を個別にダウンロードする必要がありますか？
A: はい、デプロイ環境に必要な形式に基づいて、発行された各証明書を個別にダウンロードする必要があります。たとえば、Nginx サーバーにデプロイする場合は、Nginx 形式の証明書をダウンロードする必要があります。Cloud Quick Website Builder などの製品にデプロイする場合は、特定の形式を手動でダウンロードすることなく、対応する製品コンソールで直接アップロードまたは構成する必要があります。
Q: 元のデプロイ担当者が不在の場合、どうすればよいですか？
A: Alibaba Cloud のヘルプドキュメントを参照して、手動デプロイのチュートリアルに従って自分で構成できます。サポートが必要な場合は、エキスパートデプロイサービスを購入してエキスパートによるサポートを受けられます。
Q: 無料 SSL 証明書のダウンロードに失敗した場合、またはファイルを開けない場合はどうすればよいですか？
A: デスクトップブラウザを使用してダウンロードすることを推奨します。ダウンロードしたファイルを直接開けない場合は、メモ帳などのテキストエディターを使用して証明書の内容を表示し、証明書ファイルが正しく取得できたことを確認できます。
Q: SSL 証明書をダウンロードした後、どのようにデプロイおよびインストールすればよいですか？
A: SSL 証明書をローカルマシンにダウンロードした後、Web サーバータイプに基づいて手動で構成およびデプロイする必要があります。「証明書の手動デプロイ」をご参照ください。または、異なるサーバータイプのデプロイガイドについては、「サーバーへの SSL 証明書のインストール」をご参照ください。