Certificate Management Service:SSL 証明書のデプロイ

前提条件

作業を開始する前に、以下の点を確認してください。

• 証明書のステータス ：証明書が信頼された認証局（CA）から発行済みである必要があります。証明書管理サービスコンソールで、 証明書ステータス が 発行済み になっていることを確認してください。詳細については、「 公式証明書の購入 」および「 認証局への証明書申請 」をご参照ください。

• ドメイン名の一致 ：証明書が保護対象となるすべてのドメイン名をカバーしている必要があります。カバー対象のドメインを変更する場合は、「 公式証明書の購入 」または「 ドメイン名の追加および置き換え 」をご参照ください。ドメイン一致のルールは以下のとおりです。

  マルチレベルのサブドメインをカバーするには、[バウンドドメイン] フィールドに正確なドメイン（例：a.b.example.com）または一致するワイルドカード（例：*.b.example.com）を含める必要があります。

  ドメインタイプ	カバレッジ
  完全一致（例： example.com ）	当該ドメインのみ
  完全一致（例： www.example.com ）	当該ドメインのみ
  ワイルドカード（例： *.example.com ）	1 レベル目のサブドメイン： www.example.com 、 a.example.com
  ワイルドカード（例： *.example.com ）	example.com や、 a.b.example.com

• DNS 名前解決 ：ドメインの DNS レコードがサーバーのパブリック IP アドレスに解決されている必要があります。

デプロイ先のノードを特定する

HTTPS トラフィックを処理する際は、HTTPS 接続を終端するすべてのノードに SSL 証明書をデプロイします。対象ノードには、Web サーバー（Nginx、Apache、IIS）、アプリケーションロードバランサー（ALB）、コンテンツ配信ネットワーク（CDN）、Web Application Firewall（WAF）、API ゲートウェイが含まれます。

以下のように考えると理解しやすくなります： HTTPS と HTTP の間でトラフィックが切り替わるすべてのホップ（接続ポイント）には証明書が必要です 。エンドツーエンドの暗号化を実現する場合は、オリジンサーバーまで証明書をデプロイしてください。

トラフィックが直接サーバーに到達する場合

ユーザーがパブリック IP アドレスを直接使用してサーバーにアクセスし、中間プロキシがない場合、その Web サーバー上に証明書をデプロイするだけで構いません。

トラフィックが複数のネットワークノードを経由する場合

トラフィックが CDN、WAF、ALB などの中間ノードを経由してオリジンサーバーに到達する場合、HTTPS トラフィックを処理する各ノードに個別の証明書が必要です。

重要

以下の例では、アーキテクチャ ユーザー → CDN → WAF → アプリケーションロードバランサー（ALB） → オリジンサーバー を用いて、マルチノードデプロイメントを説明しています。実際のアーキテクチャに応じて、証明書をデプロイするノードを選択してください。

以下に示す表は、証明書をデプロイするノード数に応じて暗号化範囲がどのように変化するかをまとめています。 最高のセキュリティを確保するには、シナリオ 4 を採用して完全なパスを暗号化してください。

シナリオ	暗号化リンク（HTTPS）	プレーンテキストリンク（HTTP）	証明書が必要なノード	セキュリティレベル
シナリオ 1	ユーザー ↔ CDN	CDN → WAF → ALB → オリジンサーバー	CDN	最低 — プライベートネットワーク上のトラフィックはプレーンテキストになります
シナリオ 2	ユーザー ↔ WAF	WAF → ALB → オリジンサーバー	CDN、WAF	低 — WAF はカバーされますが、WAF 以降のトラフィックは依然としてプレーンテキストです
シナリオ 3	ユーザー ↔ ALB	ALB → オリジンサーバー	CDN、WAF、ALB	高 — オリジンサーバーへの最終ホップのみがプレーンテキストになります
シナリオ 4	ユーザー ↔ オリジンサーバー	なし	CDN、WAF、ALB、オリジンサーバー	最高 — エンドツーエンドの暗号化

デプロイ計画の選択

デプロイ対象がサーバーかクラウドプロダクトかを特定し、それに応じた手順に従ってください。

• サーバーへのデプロイ ：Alibaba Cloud ECS インスタンス、Simple Application Server インスタンス、Alibaba Cloud 以外のサーバー、および自社管理サーバーが対象です。

• クラウドプロダクトへのデプロイ ：SLB、CDN、WAF（ECS および Simple Application Server を除く）などの Alibaba Cloud プロダクト、および Tencent Cloud、Huawei Cloud、AWS の CDN、WAF、CLB などのクラウドプロダクトが対象です。

デプロイ中に支援が必要な場合は、アカウントマネージャーまでお問い合わせください。

ルート証明書をダウンロードするにはどうすればよいですか？

ご利用の証明書ブランドのルート証明書をダウンロードするには、「 ルート証明書のダウンロードとインストール 」をご参照ください。

証明書チェーンが不完全な場合や、中間証明書が欠落している場合はどうすればよいですか？

欠落している証明書をダウンロードしてインストールし、再度ウェブサイトにアクセスしてみてください。手順については、「 不完全な SSL 証明書チェーンの解決 」をご参照ください。

デプロイ中に「証明書チェーンに 1 つ以上の中間証明書がありません」と表示されるのはなぜですか？

このエラーは、通常、特定のサーバーシステム（例：Windows Server 2008 R2 上のインターネットインフォメーションサービス (IIS)）で発生します。サーバーに欠落しているルート証明書または中間証明書をインストールして解決してください。

Web サーバーの種類を確認するにはどうすればよいですか？

ブラウザの開発者ツールを使用する

1. ブラウザでドメイン名を開きます。

2. F12 キーを押して開発者ツールを開き、次の図に示すようにサーバーの種類を確認します。

コマンドの実行

1. サーバーにログインします。

2. 次のコマンドを実行します。 <your-domain> を実際のドメイン名に置き換えてください（例： curl -i www.aliyundoc.com ）。

           curl -i <your-domain>
          

サーバーの種類がコマンド出力に表示されます。

Web 開発者に問い合わせる

どちらの方法でも解決しない場合は、Web 開発者またはアカウントマネージャーにお問い合わせください。