Web サーバーまたは Alibaba Cloud 製品で証明書の TLS プロトコルバージョンを設定する方法 - Certificate Management Service

TLS プロトコルバージョンには、TLS v1.0 (無効)、TLS v1.1、TLS v1.2、TLS v1.3 があります。TLS バージョンが高いほど HTTPS のセキュリティが向上しますが、ブラウザの互換性は低下します。このトピックでは、セキュリティと互換性のバランスをとるために、Alibaba Cloud 製品またはセルフマネージド Web サーバーで TLS プロトコルバージョンを設定する方法について説明します。

Alibaba Cloud 製品への証明書のデプロイ

以下の Alibaba Cloud 製品に証明書をデプロイする際、コンソールから TLS プロトコルバージョンを設定できます。以下のセクションでは、簡単な操作手順を説明します。詳細な手順については、対応するドキュメントリンクをクリックしてください。

Anti-DDoS Proxy

操作手順

Anti-DDoS Proコンソールにログインします。
上部のナビゲーションバーで、インスタンスが存在するリージョンを選択します。
- 中国本土: このリージョンを選択すると、Anti-DDoS Proコンソールが表示されます。
- 中国本土以外: このリージョンを選択すると、Anti-DDoS Premiumコンソールが表示されます。
リージョンを切り替えて、Anti-DDoS ProまたはAnti-DDoS Premiumインスタンスを設定および管理できます。 Anti-DDoS ProまたはAnti-DDoS Premiumを使用する場合は、必ず必要なリージョンを選択してください。
左側のナビゲーションウィンドウで、[プロビジョニング] > [Webサイトの設定] を選択します。
ドメイン接続 ページで、対象のドメイン名を見つけ、操作列の編集をクリックします。
Web サイトの編集 タブで、国際標準の HTTPS 証明書の TLS セキュリティ設定 を更新します。詳細については、「HTTPS サーバー証明書用の TLS セキュリティポリシーをカスタマイズする」をご参照ください。

Web Application Firewall

操作手順

WAF 3.0コンソールにログインします。上部のナビゲーションバーで、WAFインスタンスがデプロイされているリソースグループとリージョンを選択します。 中国本土または中国本土以外を選択します。
左側のナビゲーションウィンドウで、アクセス管理 をクリックします。
CNAME アクセス タブで、リストの上にある デフォルトの SSL/TLS 設定 をクリックします。

デフォルトの SSL/TLS 設定 ダイアログボックスで、WAF のデフォルトの TLS プロトコルバージョンを設定します。次の設定を完了し、OK をクリックします。

パラメータ	説明
HTTPS アップロードタイプ	SSL 証明書をアップロードします。手順はドメイン名証明書のアップロードと同様です。「証明書をアップロードする」をご参照ください。
[TLS バージョン]	有効にする TLS プロトコルバージョンを選択します。オプション： [TLS 1.0 以上をサポートします。互換性が一番高いが、安全性が低いです。] (デフォルト) [TLS 1.1 以上をサポートします。互換性と安全性を兼ね備えております] [TLS 1.2 以上をサポートします。互換性と安全性が優れています。] TLS 1.3 を有効にするには、TLS 1.3 以上対応を選択します。
[暗号スイート]	有効にする暗号スイートを選択します。オプション： [すべての暗号スイート (高い互換性、低い安全性)] (デフォルト) [カスタム暗号スイート (プロトコルバージョンに応じて慎重に選択してください)] サポートされているカスタム暗号スイートについては、「WAF でサポートされている暗号スイート」をご参照ください。

詳細については、「CNAME を使用して Web サイトを WAF に追加する」をご参照ください。

SLB

操作手順

性能保証型 SLB インスタンスの HTTPS リスナーを作成および設定する際に、TLS セキュリティポリシーを選択できます。SSL 証明書 ウィザードページで、高度な設定 の横にある変更をクリックし、TLS セキュリティポリシーを選択します。以降の手順では、Classic Load Balancer (CLB) を例に説明します。

説明

Server Load Balancer (SLB) 製品ファミリーには、Application Load Balancer (ALB)、Network Load Balancer (NLB)、Classic Load Balancer (CLB) が含まれます。要件に応じて適切な SLB 製品を選択してください。

TLS セキュリティポリシーをサポートしているのは、性能保証インスタンスのみです。
TLS セキュリティポリシーには、サポートされている TLS プロトコルバージョンと対応する暗号スイートが含まれています。詳細については、「TLS セキュリティポリシー」をご参照ください。

CLB コンソールにログインします。
上部メニューで、インスタンスがデプロイされているリージョンを選択します。
インスタンス ページで、対象のインスタンスを探し、操作列の リスナーの設定 をクリックします。
プロトコルとリスナー ウィザードページで、リスナープロトコルの選択 を HTTPS に設定します。残りのパラメーターを設定し、次へをクリックします。他のパラメーターの設定方法の詳細については、「HTTPS リスナーの追加」をご参照ください。
SSL 証明書 ウィザードページで、アップロード済みのサーバー証明書を選択するか、サーバー証明書の作成 をクリックして証明書をアップロードまたは購入します。証明書関連の情報については、「証明書の作成」をご参照ください。
高度な設定 の横にある編集をクリックし、TLS セキュリティポリシー を選択します。
残りのウィザードページを完了して次へをクリックします。詳細については、「CLB インスタンスに HTTPS リスナーを追加する」をご参照ください。

詳細については、「HTTPS リスナーを追加する」をご参照ください。

CDN

操作手順

次に進む前に、HTTPS 証明書が設定されていることを確認してください。詳細については、「HTTPS 証明書を設定する」をご参照ください。

説明

TLS v1.0、TLS v1.1、TLS v1.2、TLS v1.3 はデフォルトで有効になっています。

Alibaba Cloud CDN コンソールにログインします。
左側のナビゲーションペインで [ドメイン名 ] をクリックします。
[ドメイン名] ページで、管理対象のドメイン名を見つけ、[アクション] 列の [管理] をクリックします。
ドメイン名の左側のナビゲーションウィンドウで、[HTTPS 設定] をクリックします。
TLS 暗号スイートとバージョンの設定 セクションで、必要に応じて暗号スイートを選択し、対応する TLS バージョンを有効にします。
以下の暗号スイートがサポートされています：
- すべての暗号スイート (デフォルト): 低セキュリティ、高互換性。サポートされている暗号化アルゴリズムについては、「CDN のデフォルト TLS 暗号化アルゴリズム」をご参照ください。
- 強化された暗号スイート: セキュリティが高く、互換性が低い。サポートされている暗号化アルゴリズム：
  - TLS_AES_256_GCM_SHA384
  - TLS_AES_128_GCM_SHA256
  - TLS_CHACHA20_POLY1305_SHA256
  - ECDHE-ECDSA-CHACHA20-POLY1305
  - ECDHE-RSA-CHACHA20-POLY1305
  - ECDHE-ECDSA-AES128-GCM-SHA256
  - ECDHE-RSA-AES128-GCM-SHA256
  - ECDHE-ECDSA-AES128-CCM8
  - ECDHE-ECDSA-AES128-CCM
  - ECDHE-ECDSA-AES256-GCM-SHA384
  - ECDHE-RSA-AES256-GCM-SHA384
  - ECDHE-ECDSA-AES256-CCM8
  - ECDHE-ECDSA-AES256-CCM
  - ECDHE-ECDSA-ARIA256-GCM-SHA384
  - ECDHE-ARIA256-GCM-SHA384
  - ECDHE-ECDSA-ARIA128-GCM-SHA256
  - ECDHE-ARIA128-GCM-SHA256
- カスタム暗号スイート: 必要に応じて暗号スイートを選択します。
TLS プロトコルバージョンの説明については、「背景情報」をご参照ください。

詳細については、「TLS バージョンと暗号スイートを設定する」をご参照ください。

DCDN

操作手順

続行する前に、HTTPS 証明書を設定しておいてください。詳細については、「HTTPS 証明書を設定する」をご参照ください。

説明

TLS v1.0、TLS v1.1、TLS v1.2、TLS v1.3 はデフォルトで有効になっています。

DCDNコンソールにログインします。
左側のナビゲーションペインで ドメイン名 をクリックします。
On theドメイン名ページで、管理するドメイン名を見つけて、設定.
ドメイン名の左側のナビゲーションウィンドウで、[HTTPS 設定] をクリックします。
TLS 暗号スイートとバージョンの設定 セクションでは、必要に応じて暗号スイートを選択し、対応する TLS バージョンを有効にします。
- すべての暗号スイート (デフォルト): セキュリティは低くなりますが、互換性は高くなります。詳細については、「DCDN でサポートされているデフォルトの TLS 暗号化アルゴリズム」をご参照ください。
- 強化された暗号スイート: セキュリティが高く、互換性が低い。サポートされている暗号化アルゴリズム：
  - TLS_AES_256_GCM_SHA384
  - TLS_AES_128_GCM_SHA256
  - TLS_CHACHA20_POLY1305_SHA256
  - ECDHE-ECDSA-CHACHA20-POLY1305
  - ECDHE-RSA-CHACHA20-POLY1305
  - ECDHE-ECDSA-AES128-GCM-SHA256
  - ECDHE-RSA-AES128-GCM-SHA256
  - ECDHE-ECDSA-AES128-CCM8
  - ECDHE-ECDSA-AES128-CCM
  - ECDHE-ECDSA-AES256-GCM-SHA384
  - ECDHE-RSA-AES256-GCM-SHA384
  - ECDHE-ECDSA-AES256-CCM8
  - ECDHE-ECDSA-AES256-CCM
  - ECDHE-ECDSA-ARIA256-GCM-SHA384
  - ECDHE-ARIA256-GCM-SHA384
  - ECDHE-ECDSA-ARIA128-GCM-SHA256
  - ECDHE-ARIA128-GCM-SHA256
- カスタム暗号スイート: 必要に応じて暗号スイートを選択します。

詳細については、「TLS バージョンと暗号スイートを設定する」をご参照ください。

説明

設定中にご不明な点がある場合は、各製品の担当者にお問い合わせください。

セルフマネージド Web サーバーへの証明書のデプロイ

自己管理 Web サーバーに証明書をデプロイするには、サーバー設定ファイルで ssl_protocols パラメーターを変更して、特定の TLS プロトコルバージョンを有効化または無効化します。たとえば、TLS v1.1 と TLS v1.2 のみをサポートするには、ssl_protocols を TLSv1.1 TLSv1.2 に設定します。 TLS v1.3 を有効化するには、ssl_protocols を TLSv1.1 TLSv1.2 TLSv1.3 に設定します。

以下の手順では、Nginx を例として、サポートする TLS プロトコルバージョンを変更する方法を説明します。

Nginx 設定ファイルを開く

Nginx の設定ファイルは通常、/etc/nginx/nginx.conf または /etc/nginx/conf.d/ ディレクトリ配下の .conf ファイルにあります。次のコマンドを使用して設定ファイルを開きます:

sudo nano /etc/nginx/nginx.conf

個別のサイト設定ファイルを使用している場合、パスは次のようになります：

sudo nano /etc/nginx/sites-available/default

server ブロックの ssl 設定を変更する

HTTPS に関連する server ブロックを見つけ、ssl_protocols 行を追加または変更して、サポートされている TLS プロトコルバージョンを指定します。次の例では、TLS 1.2 と TLS 1.3 を有効にします。クライアントが設定済みの TLS プロトコルバージョンをサポートしていることを確認してください。そうしないと、接続エラーが発生する可能性があります。

server {
    listen 443 ssl;
    server_name yourdomain.com;

    # SSL証明書と秘密鍵のパス
    ssl_certificate /path/to/your_certificate.crt;
    ssl_certificate_key /path/to/your_private.key;

    # サポートするSSL/TLSプロトコルバージョン
    ssl_protocols TLSv1.2 TLSv1.3;

    # オプション: より強力な暗号スイートに制限
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';

    location / {
        root /var/www/html;
        index index.html index.htm;
    }
}

Nginx サービスを再起動する

変更を保存した後、以下のコマンドを実行して Nginx サービスを再起動し、設定を適用します：

sudo systemctl reload nginx

または、以下を使用します：

sudo service nginx restart

上記の手順を完了すると、Nginx サーバーの TLS プロトコルバージョンが変更されます。

TLS プロトコルバージョンが正常に設定されたことを確認する

次のコマンドを実行して、サーバーの TLS 設定をテストします (your_ip を実際の IP アドレスに置き換えます):
```
sudo openssl s_client -connect your_ip:443
```
出力のプロトコルバージョンと証明書情報を確認して、TLS 設定が有効になったことを確認します。設定した TLS プロトコルバージョンが出力に表示されている場合、設定は成功しています。

説明

セキュリティ基準の進化に伴い、サーバーのセキュリティを維持するために、暗号化設定を定期的に見直し、更新することを推奨します。