Certificate Management Service は、複数のソースからの SSL 証明書を集中管理します。任意の認証局 (CA) から取得した証明書のアップロード、Alibaba Cloud のプライベート認証局 (CA) からの証明書の同期、アカウント間での証明書の共有など、すべてを単一のコンソールから行い、統一されたモニタリングとクラウド製品へのデプロイを実現します。
証明書のソース
ソース | 説明 |
アップロードされた証明書 | Alibaba Cloud からダウンロードした証明書、またはサードパーティの CA から取得した証明書 |
プライベート CA からの証明書 | ご利用の Alibaba Cloud プライベート CA によって発行され、コンソールに同期された証明書 |
共有された証明書 | 同じ検証済みエンティティに属する別の Alibaba Cloud アカウントから共有された証明書 |
証明書をコンソールに取り込んだ後、以下のことが可能になります。
単一のビューからステータス、有効期間、デプロイメントを追跡
Server Load Balancer (SLB)、コンテンツデリバリーネットワーク (CDN)、Web Application Firewall (WAF)、Elastic Compute Service (ECS)、Simple Application Server に証明書を直接デプロイ
アップロードされた証明書、プライベート CA からの証明書、および共有された証明書は、コンソール経由でのみクラウドサービス、ECS、および Simple Application Server にデプロイできます。SSL 証明書を Web アプリケーションサーバーに手動でデプロイするには、Alibaba Cloud が発行した証明書を使用してください。
証明書のアップロード
アップロード前のチェックリスト
アップロードする前に、証明書が以下のすべての要件を満たしていることを確認してください。
フォーマット： PEM 形式 (
.pemまたは.crt)。PFX、JKS、PKCS8、または P12 ファイルを変換するには、コンソールの [よく使うツール] > [証明書形式の変換] にある [証明書形式の変換] ツールを使用します。完全な証明書チェーン： サーバー証明書と中間証明書を含めます。相互 TLS の場合は、ルート証明書も必要です。
秘密鍵にパスワードなし： アップロードする前にパスフレーズを削除してください。
openssl rsa -in encrypted.key -out decrypted.keyを実行してパスワードを解除します。一致するキーペア： 証明書と秘密鍵は、一致するペアである必要があります。詳細については、「証明書と秘密鍵の一致の確認」をご参照ください。
証明書と秘密鍵の一致の確認
証明書のアルゴリズムに応じて適切なコマンドを実行します。両方のコマンドから得られるハッシュが同一である必要があります。
RSA 証明書
# 証明書と秘密鍵から取得したモジュラスの MD5 ハッシュを比較
openssl x509 -noout -modulus -in certificate.pem | openssl md5
openssl rsa -noout -modulus -in private.key | openssl md5ECC 証明書
# 証明書と秘密鍵から抽出した公開鍵の MD5 ハッシュを比較
openssl x509 -in certificate.pem -pubkey -noout | openssl pkey -pubin -pubout -outform der | openssl md5
openssl pkey -in private.key -pubout -outform der | openssl md5ハッシュが一致しない場合、秘密鍵がパスワードで保護されている可能性があります。openssl rsa -in encrypted.key -out decrypted.key を実行してパスワードを削除し、再度お試しください。
証明書のアップロード手順
Certificate Management Service コンソールにログインします。
左側のナビゲーションウィンドウで、[証明書管理] > SSL 証明書管理 V2.0 を選択します。
[アップロード済み証明書の管理] タブで、[証明書のアップロード] をクリックします。
[証明書のアップロード] パネルで、証明書のアルゴリズムに基づいてパラメーターを設定し、[OK] をクリックします。
国際標準
パラメーター | 説明 |
証明書アルゴリズム | [国際的に認められたアルゴリズム] を選択します。 |
証明書名 |
|
証明書ファイル | 証明書の内容 (PEM 形式) を入力します。[ファイルをアップロードして解析] をクリックしてコンピューターからファイルを選択すると、システムが自動的に内容を解析します。または、テキストエディターで |
証明書のキー | 秘密鍵の内容 (PEM 形式) を入力します。[ファイルをアップロードして解析] をクリックしてキーファイルを選択するか、テキストエディターで 説明 「証明書と秘密鍵が一致しません」というエラーが表示された場合、キーファイルが不正な形式であるか、パスワードで保護されている可能性があります。 |
証明書チェーン | (オプション) [証明書ファイル] フィールドにまだ含まれていない場合は、中間証明書またはルート証明書 (PEM 形式) を入力します。[ファイルをアップロードして解析] をクリックするか、手動で内容を貼り付けます。 中間証明書またはルート証明書のみ： |
リソースグループ | (オプション) 管理ポリシーに基づいてリソースグループに割り当てます。 |
タグキー、タグ値 | (オプション) リソース管理ポリシーに基づいて証明書にタグを付けます。 |
SM2 標準
パラメーター | 説明 |
証明書アルゴリズム | [SM2 アルゴリズム] を選択します。 |
証明書名 |
|
証明書ファイル | 署名証明書ファイルの内容 (PEM 形式) を入力します。[ファイルをアップロードして解析] をクリックするか、 |
証明書のキー | 署名証明書の秘密鍵の内容 (PEM 形式) を入力します。[ファイルをアップロードして解析] をクリックするか、 |
暗号化証明書 | 暗号化証明書ファイルの内容 (PEM 形式) を入力します。[ファイルをアップロードして解析] をクリックするか、 |
暗号化秘密鍵 | 暗号化証明書の秘密鍵の内容 (PEM 形式) を入力します。[ファイルをアップロードして解析] をクリックするか、 |
リソースグループ | (オプション) 管理ポリシーに基づいてリソースグループに割り当てます。 |
タグキー、タグ値 | (オプション) リソース管理ポリシーに基づいて証明書にタグを付けます。 |
アップロードの確認
アップロードが成功すると、証明書が [アップロード済み証明書の管理] リストに表示されます。
証明書を削除 ([操作] 列の [削除] をクリック) すると、元に戻すことはできません。その証明書を使用している既存のデプロイメントは影響を受けません。
2 つの証明書が同一であるかの確認
証明書の指紋またはシリアル番号を比較して、複数の証明書が同一の証明書であるかどうかを判断します。
方法 1：コンソールでの確認
Certificate Management Service コンソールにログインします。
証明書管理 ページで、比較したい証明書を見つけ、証明書名をクリックして詳細ページを開きます。
詳細ページで、[フィンガープリント] と [シリアル番号] フィールドを確認します。
証明書の指紋またはシリアル番号を比較します。それらが同一である場合、証明書は同じ証明書です。
方法 2：API を使用したクエリ
ListUserCertificateOrder 操作を呼び出し、OrderType パラメーターを CERT に設定します。応答には、比較に使用できる次のフィールドが含まれます。
Fingerprint：証明書の SHA-1 指紋。40 文字の 16 進文字列です。Sha2：証明書の SHA-256 指紋。64 文字の 16 進文字列です。SerialNo：証明書のシリアル番号。
同じ証明書をアップロードするたびに、システムは新しい証明書 ID を割り当てますが、指紋とシリアル番号は変更されません。2 つの証明書の Fingerprint または SerialNo の値が同一である場合、それらは同じ証明書です。
プライベート CA 証明書の同期
Alibaba Cloud プライベート CA から証明書を同期することで、手動でのアップロードを不要にします。同期された証明書は、[アップロード済み証明書の管理] タブに表示され、集中管理できます。
証明書の同期手順
Certificate Management Service コンソールにログインします。
左側のナビゲーションウィンドウで、[証明書管理] > PCA 証明書管理 を選択します。プライベート CA が存在するリージョンを選択してください。
[プライベート CA] タブをクリックします。リストで、対象のルート CA を展開します。中間 CA の [操作] 列で、[証明書] をクリックします。
同期する証明書を選択し、[SSL 証明書へ一括同期] をクリックします。ダイアログボックスで [OK] をクリックします。同期が完了するのを待ちます。完了すると、[ステータス] 列に [アップロード済み] と表示されます。
同期の確認
[証明書管理] > SSL 証明書管理 V2.0 に移動し、[アップロード済み証明書の管理] タブをクリックします。同期されたプライベート CA 証明書がリストに表示されます。
別のアカウントとの SSL 証明書の共有
Alibaba Cloud から購入した証明書を、同じ検証済みエンティティに属する他の Alibaba Cloud アカウントと無料で共有できます。これにより、証明書の再利用と一元的な課金が可能になります。
共有の要件
共有する前に、以下を確認してください。
本人確認： 共有元のアカウントと共有先のアカウントの両方が、同じ検証済みの法人または個人エンティティに属している必要があります。
証明書のソース： Alibaba Cloud から購入および発行された証明書のみ共有できます。アップロードまたは同期された証明書はサポートされていません。
1 回限りの共有： 証明書は 1 回しか共有できません。共有先のアカウントは再共有できません。
同じサイト： Alibaba Cloud 中国サイト (aliyun.com) と国際サイト (alibabacloud.com) 間での共有はサポートされていません。
証明書の共有手順
Certificate Management Service コンソールにログインします。
左側のナビゲーションウィンドウで、[証明書管理] > SSL 証明書管理 V2.0 を選択します。
[公式証明書] タブで、共有したい発行済みの証明書を見つけます。[操作] 列で、[その他] をクリックします。
[証明書の共有] タブで、[アカウント ID] フィールドに受信者の Alibaba Cloud アカウント ID を入力し、[確認して共有] をクリックします。
共有の確認
受信者としてログオンし、SSL 証明書管理 V2.0 ページの [アップロード済み証明書の管理] タブに移動します。 共有された証明書がリストに表示され、[ステータス] 列に 
アイコンが表示されます。
共有先のアカウントは、共有された証明書をダウンロードしたり再共有したりすることはできません。
その他の操作
保留中のタスクの管理
[アップロード済み証明書の管理] タブを開くと、システムが証明書に関する保留中のタスクを検出した場合、[処理事項] ダイアログボックスが自動的に表示されます。タスクの例は次のとおりです。
有効期限通知が無効
残量/必要量 (通知リソースクォータ)
クラウドサービスがデプロイされていない
更新待ち
後でダイアログボックスを再度開くには、[アップロード済み証明書の管理] タブの [保留中の項目] をクリックします。
リマインダーの頻度を減らすには、[7 日間再表示しない] を選択して [閉じる] をクリックします。
タスクの種類ごとに利用可能なアクション：
通知が無効 [残量/必要量] フィールドには、現在の通知リソースクォータが表示されます。クォータが不足している場合は、[購入] をクリックして追加購入してください。一括で通知を有効にするには、通知が無効になっている証明書をフィルターで抽出し、それらを選択してリストの下にある [通知] をクリックします。
通知を有効にすると、通知リソースクォータが消費されます。クォータが不足している場合は、通知リソースを購入してください。
クラウドサービスがデプロイされていない [デプロイ] をクリックして、クラウド製品のデプロイタスクを作成します。詳細については、「Alibaba Cloud プロダクトへの証明書のデプロイ」をご参照ください。
更新が必要 [更新が必要] ステータスの証明書をフィルターで抽出します。[操作] 列の [更新] をクリックして更新を完了します。
証明書のリスク警告の表示
有効期間が 1 年を超えるプライベート CA 証明書は、[有効期間] 列に [漏洩リスク] タグが表示されます。タグにカーソルを合わせると、詳細と推奨アクションを表示できます。
プライベート CA 証明書の有効期間を 1 年以下に設定して、鍵の危殆化のリスクを軽減してください。
ベストプラクティス
命名規則： ドメイン、年、アルゴリズムを含む一貫した体系を使用します (例：
example.com-2024-rsa2048)。これにより、識別と監査が簡素化されます。タグ管理： プロジェクトや環境 (本番/テスト) ごとに証明書にタグを付け、リソースの分類とコスト配分を可能にします。
有効期間： プライベート CA 証明書の有効期間を 1 年以下に設定します。有効期限のリマインダーを有効にし、有効期限が切れる 30 日以上前に更新を計画してください。
よくある質問
「証明書と秘密鍵が一致しません」というエラーが表示された場合の対処方法
最も一般的な原因は、秘密鍵がパスワードで保護されていることです。次のコマンドを実行してパスワードを削除し、再度アップロードを試みてください。
openssl rsa -in encrypted.key -out decrypted.keyそれでも解決しない場合は、異なるドメインのファイルを混同していないか確認してください (例：ドメイン A の証明書とドメイン B の秘密鍵をアップロードするなど)。その後、「証明書と秘密鍵の一致の確認」セクションの openssl 検証コマンドを使用して、モジュラスまたは公開鍵の指紋が同一であることを確認します。
「証明書の形式が正しくありません」というエラーでアップロードが失敗する理由
このサービスは PEM 形式のファイルのみを受け付けます。お使いの証明書が PFX、P12、またはその他のフォーマットの場合は、コンソールの [よく使うツール] にある [証明書のフォーマット変換] ツールでまず変換し、変換後の .pem ファイルをアップロードしてください。
貼り付ける内容には、余分な行やスペースなしで、完全な -----BEGIN...----- と -----END...----- マーカーが含まれていることを確認してください。
秘密鍵ファイル (.key) をアップロードする際、ファイルに複数の PEM セグメントが含まれている場合 (例えば、-----BEGIN CERTIFICATE----- セグメントが含まれている場合)、余分な証明書チェーンの内容を削除し、-----BEGIN PRIVATE KEY----- から -----END PRIVATE KEY----- までのセグメントを 1 つだけ残して再度アップロードしてください。
証明書の共有が失敗する理由
以下を確認してください。
本人確認の不一致： 共有元と共有先のアカウントは、同じ検証済みの個人または法人エンティティに属している必要があります。
サポートされていない証明書ソース： Alibaba Cloud から購入した証明書のみ共有できます。アップロードまたは同期された証明書は対象外です。
サイト間の共有： Alibaba Cloud 中国サイト (aliyun.com) と国際サイト (alibabacloud.com) 間での共有はサポートされていません。
証明書リストが空の場合の対処方法
証明書リストが空の場合は、通常、現在の Alibaba Cloud アカウントで SSL 証明書インスタンスが購入または管理されていないことを意味します。以前に証明書があったのに表示されなくなった場合は、以下の原因を確認してください。
間違った Alibaba Cloud アカウント： 現在ログインしているアカウントが、証明書の購入または管理に使用したアカウントと同じであることを確認してください。
別のアカウントで管理されている証明書： 証明書が、同じ検証済みエンティティに属する別の Alibaba Cloud アカウントに属している可能性があります。正しいアカウントに切り替えて確認してください。
サードパーティ CA によって発行された証明書： サードパーティ CA によって発行された証明書はコンソールに自動的に表示されないため、手動でアップロードする必要があります。
サーバーに直接デプロイされた証明書： サーバーに直接デプロイされた証明書は、Certificate Management Service コンソールでは管理されません。
外部の証明書を使用している場合は、このドキュメントの「証明書のアップロード」セクションを参照して、Certificate Management Service にインポートし、一元管理してください。