SSL 証明書は、発行されただけでは有効になりません。サービスを公開している場所にデプロイする必要があります。そうすることで初めて、ブラウザはウェブサイトを安全であると表示します。このトピックでは、証明書をデプロイする場所と、それぞれの場所で利用できるデプロイ方法について説明します。
事前準備
信頼できる認証局 (CA) が発行した SSL 証明書があることを確認してください。証明書を購入して発行を申請するには、「商用証明書の購入」および「CA 申請の提出」をご参照ください。
証明書のデプロイ先の確認
訪問者が Web サイトにアクセスする際、リクエストはサーバーに到達する前に、コンテンツデリバリーネットワーク (CDN)、Web アプリケーションファイアウォール (WAF)、ロードバランサーなどのサービスを経由する場合があります。特定のホップでリクエストが HTTPS を使用するには、そのホップに証明書をデプロイする必要があります。証明書がないホップでは HTTP が使用され、転送中のデータは保護されません。そのため、複数の場所に証明書をデプロイする必要がある場合があります。一般的な場所には、Web サーバー (Nginx、Apache、IIS など)、Application Load Balancer (ALB)、CDN、WAF、Cloud-native API Gateway などがあります。
以下の 2 つの状況が一般的です。
訪問者が Web サーバーに直接アクセスする場合
リクエストが CDN や WAF などのサービスを経由せず、サーバーに直接到達する場合は、そのサーバーの Web サービスに証明書をデプロイするだけで済みます。
リクエストが CDN や WAF などのサービスを経由する場合
リクエストが CDN や WAF などのサービスを経由する場合、各ホップのエントリポイントに証明書をデプロイする必要があります。これにより、そのホップで HTTPS を使用できるようになります。「訪問者 → CDN → WAF → ロードバランサー → サーバー」というパスを例に挙げます。CDN にのみ証明書をデプロイした場合、訪問者から CDN までのホップのみが HTTPS を使用します。CDN からサーバーまでのホップは HTTP のままです。訪問者からサーバーまでのパス全体で HTTPS を使用するには、4 つの場所それぞれに 1 つずつ証明書をデプロイします。
デプロイシナリオの特定
証明書をデプロイする場所を確認した後、次の表を使用して各場所のデプロイシナリオを特定します。その後、対応するセクションに進み、デプロイ方法を選択してください。
デプロイシナリオ | 参照 |
ドメイン名が Alibaba Cloud のマネージドサービスに解決されるか、その CNAME レコードがそのサービスを指し、そのサービスが HTTPS アクセスを提供します。例として、CDN、Dynamic Route for CDN (DCDN)、WAF、Anti-DDoS Pro および Anti-DDoS Premium、ロードバランサー (ALB、NLB、CLB)、Object Storage Service (OSS)、Cloud Web Hosting、Cloud-native API Gateway、Container Service for Kubernetes (ACK) があります。 | |
ドメイン名がサーバーのパブリック IP アドレスに直接解決され、Nginx、Apache、Tomcat、IIS など、そのサーバーにインストールした Web サービスが HTTPS を提供します。このデプロイシナリオは、Alibaba Cloud の ECS インスタンス、Simple Application Server インスタンス、他のプラットフォーム上のクラウドホスト、およびお客様自身の IDC 内のサーバーに該当します。 | |
ドメイン名が Tencent Cloud、AWS、Huawei Cloud などのサードパーティのクラウドプラットフォーム上のサービスに解決されるか、または CNAME レコードがそのサービスを指します。そのサービスは CDN、WAF、またはロードバランサーであり、HTTPS アクセスを提供します。 | |
混合デプロイシナリオです。たとえば、ドメイン名が CDN に解決され、CDN がリクエストをお客様のセルフマネージド Nginx サーバーに転送し、訪問者からサーバーまでのパス全体で HTTPS を使用する場合などです。 | 関連する各デプロイシナリオで個別にデプロイを行い、各場所に証明書を 1 つデプロイします。 |
証明書のデプロイに関してサポートが必要な場合は、アカウントマネージャーにサポートをご依頼いただけます。
シナリオ 1：Alibaba Cloud サービスへの証明書のデプロイ
証明書を Content Delivery Network (CDN)、Web Application Firewall (WAF)、ロードバランサーなどの Alibaba Cloud のマネージドサービスにデプロイする必要がある場合、2 つの方法があります。Certificate Management Service コンソールからワンクリックで証明書をプッシュする方法と、対象サービスのコンソールにログインして証明書をアップロードする方法です。証明書ファイルのダウンロードとアップロードが不要なため、最初の方法を推奨します。
方法 1： Certificate Management Service コンソールでのワンクリックデプロイ (推奨)
Certificate Management Service コンソールでは、クラウド製品デプロイメント 機能を使用し、次の表に記載されているクラウド製品に証明書をワンクリックでプッシュできます。証明書ファイルを手動でダウンロードまたはアップロードする必要はありません。詳細については、「SSL 証明書をクラウドサービスにデプロイする」をご参照ください。
お使いの製品が「クラウド製品デプロイメント」機能でサポートされていない場合は、製品のドキュメントを参照してデプロイ手順をご確認ください。ワンクリックプッシュをサポートする製品は、次の表に記載されています。
次の表の「既存の証明書の更新」は、証明書がすでにクラウド製品にデプロイされており、それを置き換える必要があるシナリオを指します。
一部のクラウド製品では、既存の証明書を更新する場合にのみワンクリックデプロイをサポートしています。初期デプロイの場合は、クラウド製品コンソールで設定を完了する必要があります。詳細については、「方法 2： クラウド製品コンソールでのデプロイ」をご参照ください。各クラウド製品のサポート状況については、次の表の適用条件 列をご参照ください。
クラウド製品 | 証明書設定シナリオ | 適用条件 |
Container Service for Kubernetes (ACK) | ACK マネージドクラスターおよび専用クラスターの AlbConfig 証明書とシークレット証明書を更新する 重要 ACK のシークレットを手動で変更しないでください。システムが自動的に新しいシークレットを作成します。 | 既存の証明書の更新 |
Serverless App Engine - ゲートウェイルーティング | ゲートウェイルーティング (ALB および CLB) の転送プロトコルとして HTTPS を構成する | 既存の証明書の更新 |
Function Compute (FC) | HTTP 関数シナリオ | 既存の証明書の更新 |
Microservices Engine - クラウドネイティブゲートウェイ | クラウドネイティブゲートウェイルーティングシナリオ | 既存の証明書の更新 |
Cloud-native API Gateway | ドメイン名を使用して HTTPS 経由で API にアクセスする | 既存の証明書の更新 |
Global Accelerator (GA) | HTTPS ドメイン名アクセスを安全に高速化する | 既存の証明書の更新 |
| HTTPS リスナーを使用して HTTPS 経由でリクエストを転送する (サーバー証明書) 説明 クライアント証明書をデプロイするには、「エンドツーエンド HTTPS 暗号化」をご参照ください。 | 既存の証明書の更新 |
Content Delivery Network (CDN) | HTTPS セキュアアクセラレーション | 初期デプロイ、既存の証明書の更新 |
Dynamic Route for CDN (DCDN) | HTTPS セキュアアクセラレーション | 初期デプロイ、既存の証明書の更新 |
Edge Security Acceleration (ESA) | HTTPS セキュアアクセラレーション | 既存の証明書の更新 |
Object Storage Service (OSS) | HTTPS 経由で OSS にアクセスする 説明 お使いのドメイン名が CDN アクセラレーションを使用している場合は、CDN コンソールで証明書を置き換えてください。 | 既存の証明書の更新 |
Web Application Firewall (WAF) | CNAME アクセスシナリオ | 既存の証明書の更新 |
Anti-DDoS Pro および Anti-DDoS Premium | Anti-DDoS Pro および Anti-DDoS Premium のドメイン名アクセス | 既存の証明書の更新 |
Platform for AI (PAI) | Elastic Algorithm Service (EAS) モデルサービング：専用ゲートウェイにカスタムドメイン名を使用する | 既存の証明書の更新 |
方法 2： クラウド製品コンソールでのデプロイ
クラウド製品がワンクリックデプロイをサポートしていない場合、またはクラウド製品側で設定を実行したい場合は、証明書リストから証明書ファイルをダウンロードします。次に、クラウド製品のコンソールにログインし、証明書をアップロードして構成します。次の表に、各クラウド製品のデプロイメントドキュメントを記載します。
クラウド製品 | 証明書設定シナリオ | デプロイメントドキュメント |
Container Service for Kubernetes (ACK) | ACK マネージドクラスターおよび専用クラスターの AlbConfig 証明書とシークレット証明書を更新する 重要 ACK のシークレットを手動で変更しないでください。システムが自動的に新しいシークレットを作成します。 | |
Serverless App Engine - ゲートウェイルーティング | ゲートウェイルーティング (ALB および CLB) の転送プロトコルとして HTTPS を構成する | |
Function Compute (FC) | HTTP 関数シナリオ | |
Microservices Engine - クラウドネイティブゲートウェイ | クラウドネイティブゲートウェイルーティングシナリオ | |
Cloud-native API Gateway | ドメイン名を使用して HTTPS 経由で API にアクセスする | |
Global Accelerator (GA) | HTTPS ドメイン名アクセスを安全に高速化する | |
| HTTPS リスナーを使用して HTTPS 経由でリクエストを転送する (サーバー証明書) 説明 クライアント証明書をデプロイするには、「エンドツーエンド HTTPS 暗号化」をご参照ください。 |
|
Content Delivery Network (CDN) | HTTPS セキュアアクセラレーション | |
Dynamic Route for CDN (DCDN) | HTTPS セキュアアクセラレーション | |
Edge Security Acceleration (ESA) | HTTPS セキュアアクセラレーション | |
Object Storage Service (OSS) | HTTPS 経由で OSS にアクセスする 説明 お使いのドメイン名が CDN アクセラレーションを使用している場合は、CDN コンソールで証明書を置き換えてください。 | |
Web Application Firewall (WAF) | CNAME アクセスシナリオ |
|
Anti-DDoS Pro および Anti-DDoS Premium | Anti-DDoS Pro および Anti-DDoS Premium のドメイン名アクセス | |
Platform for AI (PAI) | Elastic Algorithm Service (EAS) モデルサービング：専用ゲートウェイにカスタムドメイン名を使用する |
シナリオ 2：セルフマネージド Web サーバーへの証明書のデプロイ
サーバーにインストールした Web サービスが HTTPS を提供している場合は、その Web サービスに証明書をデプロイする必要があります。方法は 2 つあります。
自動デプロイ：Certificate Management Service コンソールで設定を完了すると、コンソールがサーバーに証明書をデプロイします。各サーバーにログインする必要はありません。この方法は、Alibaba Cloud の ECS インスタンス、Simple Application Server インスタンス、他のクラウドプロバイダーのサーバー、セルフマネージドオンプレミスサーバーに対応しています。サーバーの種類ごとに条件が異なります。
手動デプロイ：証明書ファイルをダウンロードし、サーバーにログインして、Web サービスの設定を変更します。この方法はすべてのサーバーに対応しています。また、自動デプロイの条件が満たされない場合 (例：証明書が中国暗号標準 (SM2) 証明書の場合) の一般的な選択肢です。
デプロイチュートリアルは、Web サーバーの種類 (Nginx、Apache、Tomcat、IIS など) およびオペレーティングシステムごとに整理されています。そのため、まずサーバーで実行されている Web サービスを確認してください。ブラウザの開発者ツールで Server レスポンスヘッダーの値を確認するか、サーバーにログインしてポート 80 または 443 をリッスンしているプロセスを確認できます。詳細については、「Web サーバーの種類を確認する方法」をご参照ください。
方法 1：コンソールからの自動デプロイ
Certificate Management Service コンソールで設定を完了すると、コンソールがサーバーに証明書をデプロイします。各サーバーにログインする必要はありません。これにより、デプロイの効率が向上し、設定リスクが軽減されます。サーバーの場所に応じてオプションが 2 つあります。対応しているサーバーと条件に基づいてオプションを選択してください。
デプロイ方法 | 対応サーバー | 条件 |
Alibaba Cloud ECS、Simple Application Server | 標準 SSL 証明書 (RSA/ECC) のみに対応しています。 | |
他のクラウドプロバイダーのサーバーおよびセルフマネージドオンプレミスサーバー (Alibaba Cloud の ECS にも対応) |
|
方法 2：サーバーへの手動デプロイ
証明書ファイルをダウンロードし、サーバーにログインして、Web サービスの設定を変更します。この方法はすべてのサーバーに対応しています。また、これは中国暗号標準 (SM2) 証明書をデプロイする唯一の方法です。Web サーバーの種類とオペレーティングシステムに基づいてチュートリアルを選択してください。
サーバーオペレーティングシステム | デプロイチュートリアル |
Linux | |
Windows | |
シナリオ 3：サードパーティのクラウドプラットフォーム上のサービスへの証明書のデプロイ
証明書を Tencent Cloud、AWS、Huawei Cloud のクラウドサービスにデプロイする必要がある場合は、Certificate Management Service コンソールでデプロイを完了できます。対応しているプラットフォームとサービスは次のとおりです：
Tencent Cloud：コンテンツ配信ネットワーク (CDN)、Web アプリケーションファイアウォール (WAF)、クラシックロードバランサー (CLB)。AWS：Amazon CloudFront (CDN)、ロードバランサー (ALB、NLB、CLB)。
Huawei Cloud：コンテンツ配信ネットワーク (CDN)、Elastic Load Balance (ELB)。
詳細については、「マルチクラウドデプロイ：サードパーティクラウドプラットフォームへの証明書のデプロイ」をご参照ください。
上記以外のサービスについては、クラウドプロバイダーの公式ドキュメントをご参照ください：
Tencent Cloud：SSL 証明書デプロイガイド
Huawei Cloud：SSL 証明書管理ユーザーガイド
よくある質問
ルート証明書のダウンロード方法
証明書ブランドのルート証明書をダウンロードするには、「ルート証明書のダウンロードとインストール」をご参照ください。
証明書チェーンの不備、または中間証明書の欠落
クライアント上のルート証明書または中間証明書が欠落しているか、有効期限が切れている場合は、「ウェブサイトの不完全な SSL 証明書チェーンを解決する方法」を参照し、欠落している証明書をダウンロードしてインストールしてください。その後、再度ウェブサイトにアクセスしてみてください。
証明書デプロイ時に「One or more intermediate certificates in the certificate chain are missing」というメッセージが表示される場合
このメッセージは、Windows Server 2008 R2 の IIS など、一部のサーバーシステムに SSL 証明書をデプロイするときに表示されることがあります。サーバーに欠落しているルート証明書または中間証明書をインストールしてください。