Web サーバーまたは Alibaba Cloud 製品で証明書の TLS プロトコルバージョンを設定する方法 - Certificate Management Service

TLS プロトコルバージョンには、TLS v1.0 (無効)、TLS v1.1、TLS v1.2、TLS v1.3 があります。TLS バージョンが高いほど HTTPS のセキュリティは向上しますが、ブラウザ互換性は低下します。このトピックでは、Alibaba Cloud 製品またはセルフマネージド Web サーバーで TLS プロトコルバージョンを設定し、セキュリティと互換性のバランスをとる方法について説明します。

Alibaba Cloud 製品での証明書のデプロイ

以下の Alibaba Cloud 製品に証明書をデプロイする際、コンソールで TLS プロトコルバージョンを設定できます。以降のセクションでは、簡単な操作手順を説明します。完全な手順については、対応するドキュメントのリンクをクリックしてください。

Anti-DDoS Proxy

操作手順

Anti-DDoS Proコンソールにログインします。
上部のナビゲーションバーで、インスタンスが存在するリージョンを選択します。
- 中国本土: このリージョンを選択すると、Anti-DDoS Proコンソールが表示されます。
- 中国本土以外: このリージョンを選択すると、Anti-DDoS Premiumコンソールが表示されます。
リージョンを切り替えて、Anti-DDoS ProまたはAnti-DDoS Premiumインスタンスを設定および管理できます。 Anti-DDoS ProまたはAnti-DDoS Premiumを使用する場合は、必ず必要なリージョンを選択してください。
左側のナビゲーションウィンドウで、[プロビジョニング] > [Webサイトの設定] を選択します。
ドメイン接続 ページで、対象のドメイン名を見つけ、操作列の編集をクリックします。
Web サイトの編集 タブで、国際標準の HTTPS 証明書の TLS セキュリティ設定 を更新します。詳細については、「HTTPS サーバー証明書の TLS セキュリティポリシーのカスタマイズ」をご参照ください。

Web Application Firewall

操作手順

WAF 3.0コンソールにログインします。上部のナビゲーションバーで、WAFインスタンスがデプロイされているリソースグループとリージョンを選択します。 中国本土または中国本土以外を選択します。
左側のナビゲーションウィンドウで、アクセス管理 をクリックします。
CNAME アクセス タブで、リストの上にある デフォルトの SSL/TLS 設定 をクリックします。

デフォルトの SSL/TLS 設定 ダイアログボックスで、WAF のデフォルトの TLS プロトコルバージョンを設定します。以下の設定を行い、OK をクリックします。

パラメーター	説明
HTTPS Upload Type	SSL 証明書をアップロードします。手順はドメイン名証明書のアップロードと同じです。「証明書のアップロード」をご参照ください。
[TLS バージョン]	有効にする TLS プロトコルバージョンを選択します。オプション： [TLS 1.0 以上をサポートします。互換性が一番高いが、安全性が低いです。] (デフォルト) [TLS 1.1 以上をサポートします。互換性と安全性を兼ね備えております] [TLS 1.2 以上をサポートします。互換性と安全性が優れています。] TLS 1.3 を有効にするには、TLS 1.3 以上対応を選択します。
[暗号スイート]	有効にする暗号スイートを選択します。オプション： [すべての暗号スイート (高い互換性、低い安全性)] (デフォルト) [カスタム暗号スイート (プロトコルバージョンに応じて慎重に選択してください)] サポートされているカスタム暗号スイートについては、「WAF がサポートする暗号スイート」をご参照ください。

詳細については、「CNAME を使用して WAF に Web サイトを追加する」をご参照ください。

SLB

操作手順

性能保証型 SLB インスタンスの HTTPS リスナーを作成および設定する場合、TLS セキュリティポリシーを選択できます。SSL 証明書 ウィザードページで、高度な設定 の横にある変更をクリックし、TLS セキュリティポリシーを選択します。以降の手順では、Classic Load Balancer (CLB) を例として使用します。

SLB 製品ファミリには、Application Load Balancer (ALB)、Network Load Balancer (NLB)、および Classic Load Balancer (CLB) が含まれます。要件に応じて適切な SLB 製品を選択してください。

CLB コンソールにログインします。
上部メニューで、インスタンスがデプロイされているリージョンを選択します。
インスタンス ページで、目的のインスタンスを見つけ、操作列の リスナーの設定 をクリックします。
プロトコルとリスナー ウィザードページで、リスナープロトコルの選択 を [HTTPS] に設定します。残りのパラメーターを設定し、次へをクリックします。他のパラメーターの設定方法の詳細については、「HTTPS リスナーの追加」をご参照ください。
SSL 証明書 ウィザードページで、アップロード済みのサーバー証明書を選択するか、サーバー証明書の作成 をクリックして証明書をアップロードまたは購入します。証明書関連の情報については、「証明書の作成」をご参照ください。
高度な設定 の横にある編集をクリックし、TLS セキュリティポリシー を選択します。
説明
- パフォーマンス保証型インスタンスのみが TLS セキュリティポリシーをサポートします。
- TLS セキュリティポリシーには、サポートされている TLS プロトコルバージョンと対応する暗号スイートが含まれます。詳細については、「TLS セキュリティポリシー」をご参照ください。
1. ウィザードの残りの手順を完了し、次へをクリックします。完全な設定リファレンスについては、「CLB インスタンスの HTTPS リスナーの追加」をご参照ください。

詳細については、「HTTPS リスナーの追加」をご参照ください。

CDN

操作手順

続行する前に、HTTPS 証明書が設定されていることを確認してください。詳細については、「HTTPS 証明書の設定」をご参照ください。

説明

デフォルトでは、TLS v1.0、TLS v1.1、TLS v1.2、および TLS v1.3 が有効になっています。

Alibaba Cloud CDN コンソールにログインします。
左側のナビゲーションペインで [ドメイン名 ] をクリックします。
[ドメイン名] ページで、管理対象のドメイン名を見つけ、[アクション] 列の [管理] をクリックします。
ドメイン名の左側のナビゲーションウィンドウで、[HTTPS 設定] をクリックします。
TLS 暗号スイートとバージョンの設定 セクションで、暗号スイートを選択し、必要に応じて対応する TLS バージョンを有効にします。
たとえば、TLSv1.0 と TLSv1.1 を無効にし、TLSv1.2 と TLSv1.3 を有効にします。
以下の暗号スイートがサポートされています。必要に応じて選択してください：
- すべての暗号スイート (デフォルト)：セキュリティは低くなりますが、互換性は高くなります。サポートされている暗号化アルゴリズムについては、「CDN のデフォルト TLS 暗号化アルゴリズム」をご参照ください。
- 拡張暗号スイート：セキュリティは高くなりますが、互換性は低くなります。サポートされている暗号化アルゴリズム：
  - TLS_AES_256_GCM_SHA384
  - TLS_AES_128_GCM_SHA256
  - TLS_CHACHA20_POLY1305_SHA256
  - ECDHE-ECDSA-CHACHA20-POLY1305
  - ECDHE-RSA-CHACHA20-POLY1305
  - ECDHE-ECDSA-AES128-GCM-SHA256
  - ECDHE-RSA-AES128-GCM-SHA256
  - ECDHE-ECDSA-AES128-CCM8
  - ECDHE-ECDSA-AES128-CCM
  - ECDHE-ECDSA-AES256-GCM-SHA384
  - ECDHE-RSA-AES256-GCM-SHA384
  - ECDHE-ECDSA-AES256-CCM8
  - ECDHE-ECDSA-AES256-CCM
  - ECDHE-ECDSA-ARIA256-GCM-SHA384
  - ECDHE-ARIA256-GCM-SHA384
  - ECDHE-ECDSA-ARIA128-GCM-SHA256
  - ECDHE-ARIA128-GCM-SHA256
- カスタム暗号スイート：必要に応じて暗号スイートを選択します。
TLS プロトコルバージョンの説明については、「背景情報」をご参照ください。

詳細については、「TLS バージョンと暗号スイートの設定」をご参照ください。

DCDN

操作手順

続行する前に、HTTPS 証明書が設定されていることを確認してください。詳細については、「HTTPS 証明書の設定」をご参照ください。

DCDNコンソールにログインします。
左側のナビゲーションペインで ドメイン名 をクリックします。
ドメイン名 ページで対象のドメイン名を見つけ、設定をクリックします。
ドメイン名の左側のナビゲーションウィンドウで、[HTTPS 設定] をクリックします。
TLS 暗号スイートとバージョンの設定 セクションで、暗号スイートを選択し、必要に応じて対応する TLS バージョンを有効にします。
説明
デフォルトでは、TLSv1.0、TLSv1.1、TLSv1.2、TLSv1.3 が有効になっています。[設定の変更] をクリックして変更します。
- すべての暗号スイート (デフォルト)：セキュリティは低くなりますが、互換性は高くなります。サポートされている暗号化アルゴリズムについては、「DCDN がサポートするデフォルトの TLS 暗号化アルゴリズム」をご参照ください。
- 拡張暗号スイート：セキュリティは高くなりますが、互換性は低くなります。サポートされている暗号化アルゴリズム：
  - TLS_AES_256_GCM_SHA384
  - TLS_AES_128_GCM_SHA256
  - TLS_CHACHA20_POLY1305_SHA256
  - ECDHE-ECDSA-CHACHA20-POLY1305
  - ECDHE-RSA-CHACHA20-POLY1305
  - ECDHE-ECDSA-AES128-GCM-SHA256
  - ECDHE-RSA-AES128-GCM-SHA256
  - ECDHE-ECDSA-AES128-CCM8
  - ECDHE-ECDSA-AES128-CCM
  - ECDHE-ECDSA-AES256-GCM-SHA384
  - ECDHE-RSA-AES256-GCM-SHA384
  - ECDHE-ECDSA-AES256-CCM8
  - ECDHE-ECDSA-AES256-CCM
  - ECDHE-ECDSA-ARIA256-GCM-SHA384
  - ECDHE-ARIA256-GCM-SHA384
  - ECDHE-ECDSA-ARIA128-GCM-SHA256
  - ECDHE-ARIA128-GCM-SHA256
- カスタム暗号スイート：必要に応じて暗号スイートを選択します。

詳細については、「TLS バージョンと暗暗号スイートの設定」をご参照ください。

説明

設定中に質問がある場合は、対応する製品の営業担当者にお問い合わせください。

セルフマネージド Web サーバーでの証明書のデプロイ

セルフマネージド Web サーバーに証明書をデプロイするには、サーバーの設定ファイルで ssl_protocols パラメーターを変更して、特定の TLS プロトコルバージョンを有効または無効にします。たとえば、TLS v1.1 と TLS v1.2 のみをサポートする場合は、ssl_protocols を TLSv1.1 TLSv1.2 に設定します。TLS v1.3 を有効にするには、ssl_protocols を TLSv1.1 TLSv1.2 TLSv1.3 に設定します。

以下の手順では、Nginx を例に、サポートする TLS プロトコルバージョンを変更する方法を説明します。

Nginx 設定ファイルを開く

Nginx 設定ファイルは通常 /etc/nginx/nginx.conf にあるか、/etc/nginx/conf.d/ ディレクトリ内の .conf ファイルにあります。次のコマンドを使用して設定ファイルを開きます：

sudo nano /etc/nginx/nginx.conf

別のサイト設定ファイルを使用している場合、パスは次のようになります：

sudo nano /etc/nginx/sites-available/default

サーバーブロック内の SSL 設定の変更

HTTPS に関連する server ブロックを見つけ、ssl_protocols 行を追加または変更して、サポートする TLS プロトコルバージョンを指定します。次の例では、TLS 1.2 と TLS 1.3 を有効にします。クライアントが設定された TLS プロトコルバージョンをサポートしていることを確認してください。サポートしていない場合、接続に失敗する可能性があります。

server {
    listen 443 ssl;
    server_name yourdomain.com;

    # SSL 証明書と秘密鍵へのパス
    ssl_certificate /path/to/your_certificate.crt;
    ssl_certificate_key /path/to/your_private.key;

    # サポートする SSL/TLS プロトコルバージョン
    ssl_protocols TLSv1.2 TLSv1.3;

    # オプション：より強力な暗号スイートに制限
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';

    location / {
        root /var/www/html;
        index index.html index.htm;
    }
}

Nginx サービスの再起動

変更を保存した後、次のコマンドを実行して Nginx サービスを再起動し、設定を適用します：

sudo systemctl reload nginx

または、以下を使用します：

sudo service nginx restart

上記の手順を完了すると、Nginx サーバーの TLS プロトコルバージョンが変更されます。

TLS プロトコルバージョンが正しく設定されたことの確認

次のコマンドを実行して、サーバーの TLS 設定をテストします (your_ip を実際の IP アドレスに置き換えてください)：
```
sudo openssl s_client -connect your_ip:443
```

出力でプロトコルバージョンと証明書情報を確認し、TLS 設定が有効になっていることを確認します。出力に設定した TLS プロトコルバージョンが表示されていれば、設定は成功です。

Post-Handshake New Session Ticket arrived:
SSL-Session:
    Protocol  : TLSv1.3
    Cipher    : xxx
    Session-ID: xxx
    Session-ID-ctx:
    Resumption PSK: xxx
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    TLS session ticket lifetime hint: 7200 (seconds)
    TLS session ticket:

説明

セキュリティ基準は進化するため、サーバーを安全な状態に保つため、定期的に暗号化設定を確認し、更新することを推奨します。