Certificate Management Service:ドメイン名の所有権の検証

DV 証明書のドメイン所有権の検証

OV および EV 証明書のドメイン所有権の検証

OV または EV 証明書のリクエストを送信した後、CA は約 1 営業日以内に連絡します。CA は、リクエストで提供された電話番号またはメールアドレスを使用します。営業日は CA の現地時間帯に基づいており、祝日は除きます。

DNS 認証

• 自動認証方法を変更できますか？

  いいえ、変更できません。方法を変更するには、別の Alibaba Cloud アカウントに切り替えて証明書を購入するか、ドメイン名の名前解決を管理する必要があります。

• DNS レコードが有効になったかどうかを確認するにはどうすればよいですか？

  Alibaba Cloud は、DNS レコードがアクティブかどうかを確認するのに役立つ ネットワーク診断ツール を提供しています。ツールを使用するには：

  1. 証明書申請 パネルで、レコード値の表示 をクリックします。

     

  2. [DNS] タブで、[OK] をクリックします。

     

  3. [プローブチェック結果] リストの解決結果が、設定した DNS レコードの値と一致する場合、DNS レコードは有効です。

• コンソールに 'DNS レコードが見つかりません。' と表示された場合はどうすればよいですか？

  一般的な原因と解決策は次のとおりです：

  1. DNS レコードが追加されていない。

     詳細については、「手動 DNS 認証」をご参照ください。DNS プロバイダーで TXT レコードを手動で追加して、ドメイン所有権を認証できます。

  2. コンソールの検証に遅延がある。

     DNS レコードを正しく追加したにもかかわらず、[DNS レコードが見つかりません。] というメッセージが引き続き表示される場合は、コンソールの検証に遅延が生じている可能性があります。しばらく待ってからリトライしてください。

  3. SSL 証明書にバインドされたドメイン名が DNS レコードのドメイン名と一致しない。

     説明

     Alibaba Cloud DNS を使用していない場合は、ご利用の DNS プロバイダーのコンソールに移動してドメイン名を確認できます。

     1. ドメイン名が一致することを確認します。

     2. SSL 証明書の検証ページで、[変更] をクリックして、証明書にバインドするドメイン名を再入力し、再度審査を申請できます。

• コンソールに 'DNS レコードで不一致が見つかりました。' というメッセージが表示された場合はどうすればよいですか？

  一般的な原因と解決策は次のとおりです：

  1. DNS レコード値が正しく設定されていない。

     証明書リクエストからホストレコードとレコード値をコピーし、DNS レコード設定に再度貼り付けます。

     

  2. DNSPod または別の DNS プロバイダーを使用してドメイン名の名前解決を行っている。

     現在、コンソールのエラーメッセージは無視してかまいません。DNSPod またはご利用のプロバイダーで要件に従って DNS レコードを設定した後、CA (認証局) が検証を完了するまでお待ちください。

  3. DigiCert DV 証明書の場合、DNS レコード値が 24 時間以上経過している。

     1. 24 時間以上経過した TXT レコード値を削除できます。

     2. Certificate Management Service コンソールにログインし、対象の証明書を再申請して、最新の TXT DNS レコード値を取得できます。

     3. ご利用の DNS プロバイダーのプラットフォームに移動し、新しい TXT レコード値を追加できます。

     説明

     GeoTrust DV 証明書のタイムスタンプは常に有効です。

  4. レコード値が中国国外の DNS サーバーに同期されていない。

     動的 DNS レコードの同期遅延により、中国国外の権威 DNS サーバーが最新の TXT レコード値を取得できない場合があります。動的名前解決サービスが正しく実行されているかを確認し、同期が完了するまでお待ちください。

• コンソールに '検証がタイムアウトしました。もう一度お試しください。' というメッセージが表示された場合はどうすればよいですか？

  このエラーは、サイトサーバーにネットワークエラーがあるために発生します。ドメイン名プロバイダーに連絡して、ネットワークの問題を確認し、修正してください。

• DNS レコードが有効になった後でも、なぜコンソールの検証が失敗するのですか？

  これは、コンソールの検証に遅延があることが原因である可能性があります。約 1 分待ってから再試行してください。

• ドメイン名に CAA レコードが存在するため、検証が失敗する

  説明

  Certification Authority Authorization (CAA) は、ドメイン所有者が自分のドメインに対して SSL/TLS 証明書を発行する権限を持つ CA を指定できる DNS レコードの一種です。これにより、不正または不適切な証明書発行を防ぎ、Web サイトのセキュリティを向上させます。

  • 解決策 1：Alibaba Cloud DNS コンソールなどの DNS プロバイダーに移動します。ドメイン名の DNS 設定ページで、レコードタイプが CAA の DNS レコードを削除します。操作が完了したら、証明書を再度リクエストします。

  • 解決策 2：証明書の CA を CAA DNS レコードに追加します。操作が完了したら、証明書を再申請します。

  説明

  ドメイン名の CNAME レコードが github.io ドメインを指している場合、github.io の CAA ポリシーも適用され、証明書発行に影響します。この場合、証明書を発行する前に CNAME レコードを一時停止するか、CAA レコードに trust-provider.com、globalsign.com、sectigo.com を追加できます。

• DNS プロバイダーが Alibaba Cloud ではありません。DNS レコードを設定するにはどうすればよいですか？

  ソリューション	方法	利点
  現在のプロバイダーで設定	現在のドメイン名プラットフォームにログインし、Alibaba Cloud の SSL 証明書検証レコード (TXT) を追加できます。 説明 ご不明な点がある場合は、ご利用の DNS プロバイダーにお問い合わせください。	迅速かつ直接的。ドメイン名の転送は不要です。
  ドメイン名を Alibaba Cloud に転送	「Alibaba Cloud へのドメイン名の転送」の説明に従ってドメイン名の転送を完了した後、Alibaba Cloud DNS コンソールで DNS を設定できます。 重要 ドメイン名を転送する場合、1 年間の更新料を支払う必要があります。転入価格は 1 年間の更新価格と同じです。	将来の証明書の更新やドメイン名の一元管理が容易になります。

ファイル認証

• コンソールに 'ファイルが見つかりません。' というメッセージが表示された場合はどうすればよいですか？

  一般的な原因と解決策は次のとおりです：

  • 認証ファイルがサーバーの指定されたディレクトリにアップロードされていない。

    「ドメイン所有権の認証」をご参照の上、サイトのサーバー上の指定された認証ディレクトリ (.well-known/pki-validation/) に認証ファイルをアップロードしてください。

  • コンソールにファイル検証の遅延がある。

    サーバー上の正しいディレクトリに検証ファイルをアップロード済みで、Httpsアドレス と Httpアドレス の両方でコンテンツにアクセスできるにもかかわらず、コンソールに「[ファイルが見つかりません。]」というメッセージが引き続き表示される場合は、コンソールのファイル検証に遅延が生じていることが原因と考えられます。操作は不要です。システムがリトライするまでお待ちください。

• コンソールに '検証がタイムアウトしました。もう一度お試しください。' というメッセージが表示された場合はどうすればよいですか？

  一般的な原因と解決策は次のとおりです：

  • サーバーでポート 80 または 443 が開いていない。

    CA では、検証ファイルの内容は、Httpsアドレス と Httpアドレス (ポート 443 およびポート 80) を介してのみ検証できます。

    • 解決策 1：ポート 80 または 443 を開きます。

      ポート 80 または 443 を開くにはどうすればよいですか？

      Linux

      1. サーバーターミナルで次のコマンドを実行して、ポート 443 が開いているかどうかを確認します：

         RHEL/CentOS

         command -v nc > /dev/null 2>&1 || sudo yum install -y nc
         # <your_server_public_ip> をサーバーのパブリック IP アドレスに置き換えます。
         sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

         出力が Ncat: Connected to <your_server_public_ip>:443 の場合、ポート 443 は開いています。そうでない場合は、セキュリティグループとファイアウォールでポート 443 を開いてください。

         Debian/Ubuntu

         command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
         # <your_server_public_ip> をサーバーのパブリック IP アドレスに置き換えます。
         sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

         出力が Connection to <your_server_public_ip> port [tcp/https] succeeded! または [<your_server_public_ip>] 443 (https) open の場合、ポート 443 は開いています。そうでない場合は、セキュリティグループとファイアウォールでポート 443 を開いてください。

      2. セキュリティグループの設定でポート 443 を開きます。

         重要

         サーバーがクラウドプラットフォームにデプロイされている場合は、そのセキュリティグループが TCP ポート 443 でのインバウンドトラフィックを許可していることを確認してください。そうでない場合、サービスにアクセスできなくなります。以下の手順では、Alibaba Cloud Elastic Compute Service (ECS) を例として使用します。他のクラウドプラットフォームについては、公式ドキュメントをご参照ください。

         Elastic Compute Service (ECS) インスタンスページに移動し、対象のインスタンス名をクリックしてインスタンス詳細ページに移動します。 [セキュリティグループの詳細] セクションで、[アクション] を [許可] に、[プロトコル] を [カスタム TCP] に、[宛先 (現在のインスタンス)] を HTTPS (443) に、[ソース] を [0.0.0.0/0 (任意)] に設定してルールを追加します。 詳細については、「セキュリティグループルールを追加する」をご参照ください。

      3. ファイアウォールでポート 443 を開きます。

         次のコマンドを実行して、システムでアクティブなファイアウォールサービスを特定します：

         if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
             echo "firewalld"
         elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
             echo "ufw"
         elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
             echo "nftables"
         elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
             echo "iptables"
         elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
             echo "iptables"
         else
             echo "none"
         fi

         出力が none の場合、これ以上の操作は必要ありません。そうでない場合は、出力 (firewalld、ufw、nftables、または iptables) に基づいて、以下の対応するコマンドを実行してポート 443 を開きます：

         firewalld

         sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

         ufw

         sudo ufw allow 443/tcp

         nftables

         sudo nft add table inet filter 2>/dev/null
         sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
         sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

         iptables

         sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

         システムの再起動後も iptables ルールが永続することを確認するには、次のコマンドを実行します：

         RHEL/CentOS

         sudo yum install -y iptables-services
         sudo service iptables save

         Debian/Ubuntu

         sudo apt-get install -y iptables-persistent
         sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

      Windows

      1. セキュリティグループでポート 443 を開く

      重要

      サーバーがクラウドプラットフォームにデプロイされている場合は、そのセキュリティグループが TCP ポート 443 でのインバウンドアクセスを許可していることを確認してください。そうでない場合、サービスはインターネットからアクセスできません。以下の手順では、Alibaba Cloud ECS を例として使用します。他のクラウドプラットフォームについては、公式ドキュメントをご参照ください。

      1. ECS インスタンスページに移動し、対象の ECS インスタンスが配置されているリージョンを選択し、インスタンス名をクリックしてインスタンスの詳細ページに移動します。

      2. [セキュリティグループ] > [すべてのイントラネットインバウンドルール] をクリックし、[認証ポリシー] が [許可]、[プロトコルタイプ] が TCP、[宛先ポート範囲] が HTTPS (443)、[認証オブジェクト] が [任意 (0.0.0.0/0)] に設定されているルールが存在することを確認します。

      3. 上記のルールが存在しない場合は、「セキュリティグループルールの追加」をご参照の上、対象のセキュリティグループに対応するルールを追加してください。

      2. サーバーのローカルファイアウォールでポート 443 を開く

      1. Windows サーバーにログオンし、左下隅の[スタート] メニューをクリックし、[コントロールパネル] を開きます。

      2. システムとセキュリティ > Windows ファイアウォール > ファイアウォールの状態の確認 をクリックします。

      3. ファイアウォールが次の図に示すようにオフになっている場合、これ以上の操作は必要ありません。

      4. ファイアウォールがオンになっている場合は、次の手順に従って HTTPS ルールを許可します。

         1. 左側のナビゲーションウィンドウで、[詳細設定] > [インバウンドルール] をクリックし、[プロトコル] が TCP、[ローカルポート] が 443、[アクション] が [ブロック] となっているインバウンドルールがあるかどうかを確認します。

         2. このようなルールが存在する場合は、それを右クリックして[プロパティ]を選択します。[全般] タブで、設定を [接続を許可する] に変更し、[適用] をクリックします。

    • 解決策 2: 証明書申請 パネルで、申請の取り消し をクリックし、ドメイン検証方法を 手動dns検証 に変更します。

  • 301 または 302 リダイレクトが存在する。

    • wget -S <URL> コマンドを使用して、認証 URL にリダイレクトがあるかどうかを確認できます。応答が HTTP/1.1 301 Moved Permanently または HTTP/1.1 302 Found の場合、リダイレクトが存在することを示します。

      wget -S http://<your_domain_name>/.well-known/pki-validation/<verification_file_name>

    • リダイレクト設定を削除します。次のコードは、nginx.conf ファイル内の 301 および 302 設定の例です。

      301 設定

      server {
          listen 80;
          server_name <your_root_domain> <your_www_subdomain>;
          return 301 <redirect_domain>$request_uri;
      }

      302 設定

      location /.well-known/ {
          return 302 <redirection_URL>
      }

  • サイトサーバーのネットワークセキュリティデバイスにホワイトリストが設定されている。

    ファイアウォールやセキュリティグループなどのネットワークセキュリティ設定で許可された IP アドレスのホワイトリストが設定されている場合は、CA の IP アドレス範囲を一時的にホワイトリストに追加する必要があります。これにより、CA がサーバーにアクセスできるようになります。

    CA ベンダー	IP
    DigiCert	216.168.247.9 64.78.193.238 216.168.249.9
    GlobalSign	211.123.204.251 180.222.177.99 114.179.250.1 114.179.250.2 27.115.18.218

• コンソールに 'ファイルの内容が無効です。' というエラーが表示された場合はどうすればよいですか？

  一般的な原因と解決策は次のとおりです：

  • ルートドメインと www サブドメインが同時に 検証ファイルにアクセスできない

    ルートドメイン (例：aliyundoc.com) またはその www サブドメイン (例：www.aliyundoc.com) の証明書を申請する場合でも、CA は両方のドメインを同時にチェックします。両方のドメインの認証ファイルが公開アクセス可能であることを確認する必要があります。そうでない場合、検証は失敗します。

    説明

    たとえば、www.aliyundoc.com と aliyundoc.com の場合、http://www.aliyundoc.com/.well-known/pki-validation/fileauth.txt と http://aliyundoc.com/.well-known/pki-validation/fileauth.txt の両方が公開アクセス可能であることを確認する必要があります。

  • Web サーバー上の 検証ファイルの内容が、最新の 検証ファイルの内容と一致しない。

    検証情報 パネルで、検出されたファイルの表示 をクリックし、その内容が最新の 検証ファイル と一致することを確認してください。内容が一致しない場合は、検証ファイル を再度ダウンロードしてアップロードし、再度検証を行ってください。

  • サイトで HTTPS アクセスが有効になっているが、HTTP アクセスしかサポートしていない。

    • 解決策 1：認証ファイルを HTTP と HTTPS の両方のサービスパスにデプロイし、HTTPS プロトコルがアクセス可能であることを確認します。

    • 解決策 2：サイトの関連ページで HTTPS サービスを一時的にシャットダウンします。

  • サイトは CDN サービスを使用しているが、中国国外のサービスノードへのデータ同期が完了していない。

    • 解決策 1: 検証ファイル を中国国外の CDN サービスノードに同期するか、中国国外のリージョン向けの CDN アクセラレーションサービスを一時的に無効にします。

    • 解決策 2: CDN サービスノードサーバーに変更を加えられない場合は、証明書申請 パネルで 申請の取り消し をクリックし、ドメイン検証方法を 手動dns検証 に変更できます。

  • 検証ファイルのタイムスタンプがタイムアウトしました。

    最新の検証ファイルを再ダウンロードし、Web サーバーにアップロードする必要があります。