Certificate Management Service:ドメインの所有権の検証

自動 DNS 検証

ドメインが自動検証の条件を満たす場合、システムがデフォルトで 自動 DNS 検証 を選択し、この選択は変更できません。

申請を送信すると、Alibaba Cloud が Alibaba Cloud DNS コンソール に DNS TXT レコードを自動的に追加して、ドメインの所有権を検証します。検証 ボタンの下に ドメイン名の検証に成功しました というメッセージが表示された時点で、検証は完了です。

メッセージが表示されない場合は、画面の指示に従い、「よくある質問」を参照して問題を解決したうえで、検証 を再度クリックしてください。

コンソールの状態は、実際の DNS 伝搬状況より遅れることがあります。DNS レコードが有効になっているにもかかわらず、検証 をクリックしてもコンソールに DNS レコードが見つかりません。

手動 DNS 検証

DNS プロバイダーで TXT レコードを手動で追加して、ドメインの所有権を検証します。

ファイル検証

電話による連絡

CA のスタッフが証明書申請に記載された連絡先電話番号に電話をかけ、申請内容を検証します。連絡担当者の電話が通話可能であることを確認してください。

メールによる連絡

CA が証明書申請に記載された連絡先メールアドレスにドメイン検証用のメールを送信します。メールを速やかに確認し、本文の指示に従ってください。

メールの内容は証明書ブランドによって異なります。以下は参考例であり、実際に受信するメールが有効となります。

GlobalSign の例：

DNS 検証

自動 DNS 検証から他の方法に切り替えることはできますか？

いいえ。システムがドメインに対してデフォルトで 自動 DNS 検証 を選択した場合、手動 DNS 検証またはファイル検証への切り替えはできません。他の方法を使用するには、別の Alibaba Cloud アカウントで証明書を購入するか、ドメインの DNS を管理してください。

DNS レコードが有効になったかどうかを確認するにはどうすればよいですか？

Alibaba Cloud の ネットワーク検出ツール を使用します：

1. 証明書の申請 パネルで、レコード値の表示 をクリックします。

   

2. DNS タブで、OK をクリックします。

   

3. プローブチェック結果 リストに表示される解決結果が、設定した DNS レコード値と一致する場合、レコードは有効です。

DNS レコードが見つかりません。 エラーが発生する理由は何ですか？

最も一般的な原因は、DNS プロバイダーで必要な TXT レコードが追加されていないことです。DNS プロバイダーのコンソールに移動し、レコードを追加してください。手順については、上記の「手動 DNS 検証」セクションをご参照ください。

その他の原因：

• DNS 伝搬遅延。 DNS の変更は最大 1 時間かかることがあります（特に CA のサーバーへの伝搬）。レコードが正しく設定されている場合は、しばらく待ってから 検証 を再度クリックしてください。

• ドメイン名の不一致。 証明書申請で指定したドメイン名は、DNS レコードを作成したドメインと完全に一致する必要があります。一致しない場合は、検証ページの 変更 をクリックしてドメイン名を修正し、申請を再送信してください。

  Alibaba Cloud DNS を使用していない場合は、DNS プロバイダーのコンソールでドメイン名を確認してください。

  

  

DNS レコードの値が不一致です。 エラーが発生する理由は何ですか？

このエラーは、CA がドメインの TXT レコードを検出しましたが、その値が不正であることを意味します。まず、証明書申請パネルから ホストレコード および レコード値 を再コピーすることをお勧めします。コピー＆ペーストのミスが最も一般的な原因です。

確認すべき一般的なミス：

その他の原因：

• サードパーティの DNS プロバイダー（例：DNSPod）。 Alibaba Cloud コンソールがエラーを報告しても、プロバイダー側でレコードが正しく設定されている場合があります。コンソールのエラーは無視し、CA による独自の検証が完了するのを待ってください。

• DigiCert DV 証明書の TXT レコードの有効期限切れ。 DigiCert DV 証明書の TXT レコードは有効期限が 24 時間のみです。レコードが有効期限切れになっている場合：

  1. DNS プロバイダーから古い TXT レコードを削除します。

  2. 証明書管理サービスコンソール で証明書を再申請し、新しい TXT レコード値を取得します。

  3. 新しい TXT レコードを DNS 構成に追加します。

  この 24 時間の制限は GeoTrust DV 証明書には適用されません。GeoTrust のタイムスタンプは有効なままです。

• DNS 伝搬遅延。 DNS の変更が CA のサーバーにまだ伝搬していない可能性があります。最大 1 時間まで待機し、DNS サービスが正常に動作していることを確認してください。

DNS 検証中に 検証がタイムアウトしました。再試行してください。 エラーが発生する理由は何ですか？

このエラーは、検証システムがドメインのネームサーバーを照会できていないことを示すネットワーク障害です。DNS プロバイダーに連絡し、ネットワーク接続に関する問題を調査してください。

DNS レコードは正しく伝搬していますが、コンソールでの検証が繰り返し失敗します。

コンソールのチェックは、実際のDNS伝播に遅れる場合があります。digがレコードが正しいことを示していても、検証サービスはキャッシュされた状態または遅延した状態から読み取っている可能性があります。1分待って、[検証] をもう一度クリックしてください。

CAA DNS レコードにより SSL 検証が失敗した場合の対処方法を教えてください。

認証局承認 (CAA) レコードは、ドメインに対して証明書を発行できる認証局 (CA) を制限します。選択した CA がリストに含まれていない場合、検証は失敗します。以下のいずれかの方法で修正してください：

• オプション 1： DNS プロバイダーのコンソール（例：Alibaba Cloud DNS コンソール）で CAA レコードを削除し、証明書を再申請します。

• オプション 2： 証明書の CA を CAA レコードに追加 し、レコードの伝搬を待ったうえで、証明書を再申請します。

ドメインが github.io を指す CNAME レコードを使用している場合、GitHub の CAA ポリシーを継承します。一時的に CNAME レコードを停止するか、trust-provider.com、globalsign.com、および sectigo.com をドメインの CAA レコードに追加してください。

ドメインが Alibaba Cloud DNS で管理されていない場合の DNS 検証の設定方法を教えてください。

ファイル検証

ファイルが見つかりません。 エラーが発生する理由は何ですか？

CA のサーバーが、予期される URL で検証ファイルを検出できませんでした。以下の点を確認してください：

• ディレクトリが誤っている。 ファイルは、Web サイトのルートフォルダ内の /.well-known/pki-validation/ ディレクトリに配置されている必要があります。

• コンソールの遅延。 ファイルが正しい場所にあり、HTTP および HTTPS の両方でアクセス可能である場合、コンソールのチェックが単に遅れている可能性があります。数分待ってから 検証 を再度クリックしてください。

ファイル検証中に 検証がタイムアウトしました。再試行してください。 エラーが発生する理由は何ですか？

このエラーは、CA のサーバーが Web サーバーに接続できなかったことを意味し、通常はネットワークまたはサーバー構成の問題です。

ポート 80 または 443 がブロックされています。 CA は HTTP（ポート 80）または HTTPS（ポート 443）経由で接続します。サーバーのファイアウォールおよびクラウドのセキュリティグループが、TCP ポート 80 および 443 へのインバウンドトラフィックを許可していることを確認してください。

ポート 443 が開放されているかどうかを確認するには、OS に応じた適切なコマンドを実行します：

Linux（RHEL/CentOS）

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# <your_server_public_ip> をサーバーのパブリック IP アドレスに置き換えます。
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

出力が Ncat: Connected to <your_server_public_ip>:443 の場合、ポート 443 は開放されています。

Linux（Debian/Ubuntu）

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# <your_server_public_ip> をサーバーのパブリック IP アドレスに置き換えます。
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

出力が Connection to <your_server_public_ip> port [tcp/https] succeeded! または [<your_server_public_ip>] 443 (https) open の場合、ポート 443 は開放されています。

ポート 443 が閉じている場合は、セキュリティグループおよびファイアウォールで開放してください。

セキュリティグループでのポート 443 の開放（Alibaba Cloud ECS）

Elastic Compute Service (ECS) インスタンス ページに移動し、対象のインスタンス名をクリックします。セキュリティグループの詳細 セクションで、「セキュリティグループルールの追加」に従い、アクション を 許可、プロトコル を カスタム TCP、宛先（現在のインスタンス） を HTTPS（443）、送信元 を 0.0.0.0/0（任意の場所） としてルールを追加します。

ファイアウォールでのポート 443 の開放（Linux）

次のコマンドを実行して、システムで有効なファイアウォールを特定します：

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

出力が none の場合、追加の操作は不要です。それ以外の場合は、対応するコマンドを実行してポート 443 を開放します：

firewalld

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

ufw

sudo ufw allow 443/tcp

nftables

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

iptables

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

iptables ルールを再起動後も維持するには：

• RHEL/CentOS：

  sudo yum install -y iptables-services
  sudo service iptables save

• Debian/Ubuntu：

  sudo apt-get install -y iptables-persistent
  sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

セキュリティグループおよびファイアウォールでのポート 443 の開放（Windows）

1. セキュリティグループでのポート 443 の開放。

   1. ECS インスタンス ページに移動し、対象インスタンスのリージョンを選択してインスタンス名をクリックします。

   2. セキュリティグループ ＞ すべてのイントラネットインバウンドルール をクリックし、承認ポリシー が 許可、プロトコルの種類 が TCP、宛先ポート範囲 が HTTPS（443）、承認オブジェクト が Anywhere (0.0.0.0/0) であるルールを確認します。

   3. 該当するルールが存在しない場合は、「セキュリティグループルールの追加」に従ってルールを追加します。

   重要

   以下の手順は Alibaba Cloud ECS を例としています。他のクラウドプラットフォームの場合は、公式ドキュメントをご参照ください。

2. Windows ファイアウォールでのポート 443 の開放。

   1. スタート ＞ コントロールパネル ＞ システムとセキュリティ ＞ Windows ファイアウォール ＞ ファイアウォールの状態の確認 をクリックします。

   2. ファイアウォールが無効になっている場合は、追加の操作は不要です。

   3. ファイアウォールが有効になっている場合は、詳細設定 ＞ インバウンドルール をクリックし、プロトコル が TCP、ローカルポート が 443、アクション が ブロック であるルールを探します。該当するルールが存在する場合は、右クリックして プロパティ を選択し、全般 タブで設定を 接続を許可 に変更し、適用 をクリックします。

代替手段： 必要なポートを開けられない場合は、申請をキャンセルして 手動 DNS 検証 を使用して再申請してください。

サーバーに URL リダイレクトが設定されています。

CA の検証ツールは 301 または 302 リダイレクトを追跡しません。リダイレクトの有無を確認するには、以下のコマンドを実行します：

wget -S http://<your_domain>/.well-known/pki-validation/<verification_file_name>

出力に 301 Moved Permanently または 302 Found が含まれる場合、Web サーバーの構成で /.well-known/pki-validation/ パスに影響を与えるリダイレクトルールを一時的に無効化してください。以下は、nginx.conf ファイルで 301 および 302 リダイレクトを特定・無効化する例です。

301 リダイレクト構成の例：

server {
    listen 80;
    server_name <your_root_domain> <your_www_subdomain>;
    return 301 <redirect_domain>$request_uri;
}

302 リダイレクト構成の例：

location /.well-known/ {
    return 302 <redirection_URL>
}

IP ホワイトリストが CA をブロックしています。

サーバーまたはネットワークファイアウォールが特定の IP アドレスへのアクセスを制限している場合、CA の検証サーバーがブロックされる可能性があります。ファイアウォールのホワイトリストに、以下の IP アドレス範囲を一時的に追加してください：

ファイルの内容が無効です。 エラーが発生する理由は何ですか？

このエラーは、CA が検証 URL でファイルを検出しましたが、その内容が不正であることを意味します。一般的な原因：

• ルートドメインおよび www サブドメインの両方で検証ファイルにアクセスできない。 CA は your-domain.com および www.your-domain.com の両方でファイルをチェックします。サーバーが両方のホスト名でファイルを提供できるようにしてください。例えば、以下の URL の両方がアクセス可能である必要があります：

  • http://aliyundoc.com/.well-known/pki-validation/fileauth.txt

  • http://www.aliyundoc.com/.well-known/pki-validation/fileauth.txt

• 検証ファイルが開かれたり、編集されたり、名前が変更されたりした。 検証情報 パネルで 検出されたファイルの表示 をクリックし、その内容を最新の 検証ファイル と比較します。内容が異なる場合は、検証ファイルを再度ダウンロード・アップロードして、検証を再試行してください。

  

• ファイルが HTTPS 経由でアクセスできない。 サイトが HTTPS を使用している場合、CA は安全な接続経由でファイルにアクセスしようとします。HTTPS 構成がファイルを正しく提供するように設定されているか、または検証パスに対する HTTP から HTTPS へのリダイレクトを一時的に無効化してください。

• CDN が古いか不正なファイルを提供している。 CDN を使用している場合、エッジノードがファイルの古いバージョンをキャッシュしている可能性があります。中国国外の CDN ノードに検証ファイルを同期するか、中国国外の地域における CDN 加速を一時的に無効化してください。CDN を更新できない場合は、申請のキャンセル をクリックして 手動 DNS 検証 に切り替えてください。

• 検証ファイルの有効期限が切れている。 ダウンロードしたファイルは 3 日間のみ有効です。コンソールから新しい検証ファイルをダウンロードし、サーバーにアップロードしてください。