Certificate Management Service:SSL 証明書のアップロード、同期、共有

アップロード前のチェックリスト

アップロードする前に、証明書が以下の要件をすべて満たしていることを確認してください。

• フォーマット: PEM 形式 (.pem または .crt)。 PFX、JKS、PKCS8、または P12 ファイルを変換するには、コンソールの [共通証明書ツール] > [証明書形式の変換] にある [証明書形式の変換] ツールを使用します。

• 完全な証明書チェーン： サーバー証明書と中間証明書を含めてください。相互 TLS の場合は、ルート証明書も必要です。

• 秘密鍵のパスワードは不要です: アップロードする前に、パスフレーズを削除してください。 openssl rsa -in encrypted.key -out decrypted.key を実行してパスワードを削除します。

• 一致するキーペア： 証明書と秘密鍵は、一致するペアでなければなりません。詳細については、「証明書と秘密鍵が一致することの確認」をご参照ください。

証明書と秘密鍵が一致することの確認

証明書アルゴリズムに応じて適切なコマンドを実行してください。両方のコマンドから得られるハッシュは同一でなければなりません。

# 証明書と秘密鍵から得られる modulus の MD5 ハッシュを比較
openssl x509 -noout -modulus -in certificate.pem | openssl md5
openssl rsa -noout -modulus -in private.key | openssl md5

# 証明書と秘密鍵から抽出した公開鍵の MD5 ハッシュを比較
openssl x509 -in certificate.pem -pubkey -noout | openssl pkey -pubin -pubout -outform der | openssl md5
openssl pkey -in private.key -pubout -outform der | openssl md5

ハッシュが一致しない場合、秘密鍵がパスワードで保護されている可能性があります。openssl rsa -in encrypted.key -out decrypted.keyを実行してパスワードを削除し、再試行してください。

証明書のアップロード

1. Certificate Management Service コンソールにログインします。

2. 左側のナビゲーションペインで、[証明書管理] > [SSL 証明書管理]を選択します。

3. [アップロード済み証明書の管理] タブで、[証明書のアップロード] をクリックします。

4. [証明書のアップロード] パネルで、証明書アルゴリズムに基づいてパラメーターを設定し、[OK] をクリックします。

アップロードの確認

アップロードが成功すると、証明書が[アップロード済み証明書の管理] リストに表示されます。

証明書の同期

1. Certificate Management Service コンソールにログインします。

2. 左側のナビゲーションペインで、[証明書管理] > [プライベート CA 証明書管理] を選択します。プライベート CA が存在するリージョンを選択します。

3. [プライベート CA] タブをクリックします。リストで、対象のルート CA を展開します。中間 CA の [操作] 列で、[証明書] をクリックします。

   

4. 同期する証明書を選択し、[SSL 証明書に一括同期] をクリックします。ダイアログボックスで、[OK] をクリックします。同期が完了するまで待ちます。完了すると、[ステータス] 列に アップロード済み と表示されます。

   

同期の確認

[証明書管理] > [SSL 証明書管理] に移動し、[アップロードされた証明書の管理] タブをクリックします。同期されたプライベート CA 証明書がリストに表示されます。

共有の要件

共有する前に、以下を確認してください。

• 本人確認： 共有元のアカウントと共有先のアカウントは、同じ検証済みのエンティティ (個人または企業) に属している必要があります。

• 証明書のソース： Alibaba Cloud から購入および発行された証明書のみ共有できます。アップロードされた証明書や同期された証明書は対象外です。

• 1 回限りの共有： 証明書は 1 回しか共有できません。共有先のアカウントは再共有できません。

• 同じサイト： Alibaba Cloud 中国サイト (aliyun.com) と国際サイト (alibabacloud.com) の間での共有はできません。

証明書の共有

1. Certificate Management Service コンソールにログインします。

2. 左側のナビゲーションペインで、[証明書管理] > [SSL 証明書管理] を選択します。

3. [公式証明書] タブで、共有する発行済み証明書を探し、[操作] 列の [その他] をクリックします。

4. [証明書の共有] タブで、[アカウント ID] フィールドに受信者の Alibaba Cloud アカウント ID を入力し、[確認して共有] をクリックします。

共有の確認

受信者としてログインし、[SSL 証明書管理] ページの [アップロードされた証明書の管理] タブに移動します。共有証明書がリストに表示され、[ステータス] 列の アイコンで識別されます。

保留中のタスクの管理

[アップロード済み証明書の管理] タブを開くと、システムがお客様の証明書に次のような保留中のタスクを検出した場合、[アクションアイテム] ダイアログボックスが自動的に表示されます。

• 有効期限切れの通知が無効

• 残量/必要量 (通知リソースクォータ)

• クラウドサービスがデプロイされていない

• 更新待ち

後でダイアログボックスを再度開くには、[Manage Uploaded Certificates] タブで [Pending Items] をクリックします。

リマインダーの頻度を減らすには、[今後 7 日間はリマインドしない] を選択し、[閉じる] をクリックします。

タスクタイプごとの利用可能なアクション：

• 通知は無効です [残量/必要量] フィールドには、現在の通知リソースクォータが表示されます。 クォータが不十分な場合は、[購入] をクリックして追加します。 通知を一括で有効にするには、通知が無効な証明書を絞り込んで選択し、リストの下にある [通知] をクリックします。

  通知を有効にすると、通知リソースクォータが消費されます。クォータが不足している場合は、通知リソースを購入してください。

  

• クラウドサービスがデプロイされていません [デプロイ] をクリックして、クラウド製品のデプロイタスクを作成します。 詳細については、「Alibaba Cloud 製品への証明書のデプロイ」をご参照ください。

• 更新予定: 「更新予定」ステータスの証明書をフィルタリングします。[アクション] 列の [更新] をクリックして更新を完了します。

  

証明書のリスク警告の表示

有効期間が 1 年を超えるプライベート CA 証明書は、[有効期間] 列に 漏洩リスク タグが表示されます。タグにマウスポインターを合わせると、詳細と推奨されるアクションを表示できます。

キーの危殆化のリスクを軽減するため、プライベート CA 証明書の有効期間は 1 年以下に設定してください。

"Certificate and private key do not match" というエラーが表示された場合の対処法

最も一般的な原因は、秘密鍵がパスワードで保護されていることです。次のコマンドを実行してパスワードを削除し、再度アップロードを試みてください。

openssl rsa -in encrypted.key -out decrypted.key

それで問題が解決しない場合は、異なるドメインのファイルを混在させていないか確認してください（たとえば、ドメイン A の証明書とドメイン B の秘密鍵をアップロードするなど）。次に、証明書と秘密鍵が一致することを確認するに記載の openssl 検証コマンドを使用して、モジュラスまたは公開鍵のフィンガープリントが同一であることを確認します。

"Certificate format is incorrect" というエラーでアップロードが失敗するのはなぜですか。

サービスは PEM 形式のファイルのみを受け付けます。お使いの証明書が PFX、P12、またはその他の形式である場合は、コンソールの [共通証明書ツール] にある [証明書形式の変換] ツールを使用してまず変換し、変換後の .pem ファイルをアップロードしてください。

貼り付ける内容には、余分な行やスペースを入れずに、-----BEGIN...-----と-----END...-----のマーカーをすべて含めてください。

証明書の共有が失敗したのはなぜですか。

以下を確認してください。

• 本人確認の不一致： 共有元のアカウントと共有先のアカウントは、同じ検証済みの個人または企業エンティティに属している必要があります。

• サポートされていない証明書ソース： Alibaba Cloud から購入した証明書のみ共有できます。アップロードまたは同期された証明書は対象外です。

• サイト間の共有： Alibaba Cloud 中国サイト (aliyun.com) と国際サイト (alibabacloud.com) の間での共有はできません。

証明書リストが空の場合、どうすればよいですか。

証明書リストが空の場合は、通常、現在の Alibaba Cloud アカウントで SSL 証明書インスタンスが購入または管理されていないことを意味します。以前に証明書があったのに表示されなくなった場合は、以下の原因が考えられます。

• 間違った Alibaba Cloud アカウント： 現在ログインしているアカウントが、証明書の購入または管理に使用したアカウントと同じであることを確認してください。

• 別のアカウントで管理されている証明書： 証明書が、同じ検証済みのエンティティ傘下の別の Alibaba Cloud アカウントに属している可能性があります。正しいアカウントに切り替えて確認してください。

• サードパーティ CA によって発行された証明書： サードパーティ CA によって発行された証明書は、コンソールに自動的に表示されないため、手動でアップロードする必要があります。

• サーバーに直接デプロイされた証明書： サーバーに直接デプロイされた証明書は、Certificate Management Service コンソールでは管理されません。

外部証明書を使用している場合は、このドキュメントの「証明書のアップロード」セクションを参照して、Certificate Management Service にインポートし、一元管理してください。