Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
AWS Certificate Manager (ACM証明書)の仕様変更対応 〜スマートな切...
Search
ふくちーぬ(Takaya Fukuchi)
November 15, 2024
Technology
0
450
AWS Certificate Manager (ACM証明書)の仕様変更対応 〜スマートな切り替え術〜
AWS Certificate Manager(ACM証明書)の仕様変更対応〜スマートな切り替え術〜
2024/11/15 JAWS-UG 山梨 #2
ふくちーぬ(Takaya Fukuchi)
November 15, 2024
Tweet
Share
More Decks by ふくちーぬ(Takaya Fukuchi)
See All by ふくちーぬ(Takaya Fukuchi)
AWS Lambdaでサーバレス設計を学ぼう_ベンダーロックインの懸念を超えて-サーバレスの真価を探る
fukuchiiinu
4
1k
JAWS-UG茨城_Amazon Bedrockを使う生成AIアプリケーションの開発ワークショップ_補足資料
fukuchiiinu
1
83
Japan AWS Jr. Championsがお届けするre:Invent2024のハイライト ~ラスベガスで見てきた景色~
fukuchiiinu
0
1.1k
大規模サーバ移行を成功に導くための事前調査フェーズの工夫事例
fukuchiiinu
2
1.1k
Youは何しにJAWS-UGへ?
fukuchiiinu
2
460
次は君だ。~Japan AWS Jr. Champions 受賞までの奇跡~
fukuchiiinu
0
500
CodePipelineにおいてネストされたスタックの子スタックに対して変更セットを有効にするテクニック!
fukuchiiinu
0
180
AWS公式ドキュメントにきちんと向き合っていますか?~ECSの最新アップデートから見てみた、ドキュメント検証の重要性~
fukuchiiinu
0
530
Other Decks in Technology
See All in Technology
あなたの声を届けよう! 女性エンジニア登壇の意義とアウトプット実践ガイド #wttjp / Call for Your Voice
kondoyuko
4
530
Witchcraft for Memory
pocke
1
700
GeminiとNotebookLMによる金融実務の業務革新
abenben
0
250
自律的なスケーリング手法FASTにおけるVPoEとしてのアカウンタビリティ / dev-productivity-con-2025
yoshikiiida
1
9.2k
一体いつからSRE NEXTがSREだけのカンファレンスだと錯覚していた? / When did you ever get the idea that SRE NEXT was a conference just for SREs?
vtryo
1
140
Delegating the chores of authenticating users to Keycloak
ahus1
0
130
生まれ変わった AWS Security Hub (Preview) を紹介 #reInforce_osaka / reInforce New Security Hub
masahirokawahara
0
390
ネットワーク保護はどう変わるのか?re:Inforce 2025最新アップデート解説
tokushun
0
170
整頓のジレンマとの戦い〜Tidy First?で振り返る事業とキャリアの歩み〜/Fighting the tidiness dilemma〜Business and Career Milestones Reflected on in Tidy First?〜
bitkey
1
9k
品質と速度の両立:生成AI時代の品質保証アプローチ
odasho
1
100
Should Our Project Join the CNCF? (Japanese Recap)
whywaita
PRO
0
310
Connect 100+を支える技術
kanyamaguc
0
170
Featured
See All Featured
How STYLIGHT went responsive
nonsquared
100
5.6k
Put a Button on it: Removing Barriers to Going Fast.
kastner
60
3.9k
[RailsConf 2023] Rails as a piece of cake
palkan
55
5.6k
How to Ace a Technical Interview
jacobian
277
23k
Building Applications with DynamoDB
mza
95
6.5k
Fantastic passwords and where to find them - at NoRuKo
philnash
51
3.3k
Building an army of robots
kneath
306
45k
Exploring the Power of Turbo Streams & Action Cable | RailsConf2023
kevinliebholz
34
5.9k
Visualization
eitanlees
146
16k
Art, The Web, and Tiny UX
lynnandtonic
299
21k
We Have a Design System, Now What?
morganepeng
53
7.7k
Evolution of real-time – Irina Nazarova, EuRuKo, 2024
irinanazarova
8
810
Transcript
ふくちーぬ(福地孝哉) 2024/11/15 JAWS-UG 山梨#2 AWS Certificate Manager (ACM証明書)の仕様変更対応 〜スマートな切り替え術〜
2 本日はACMのお話をします。 このような通知を受け取った方が対象です AWS Certificate Manager (ACM) 件名:AWS Certificate Manager(ACM)はドメインのWHOIS連絡先アドレスの
検証メールの送信を停止します 本文: ドメインのWHOIS連絡先アドレスを使用して検証され、 AWS Certificate Manager(ACM)を通じて発行されたEメール検証済みパブリック証明書を少な くとも1つお持ちため、本通知をお送りしております。 ・ ・ ・ ※AWS Health Dashboardでも、自身のアカウント内に影響を受けるリソースがあるかどうか確認できます。 P24参照
3 そんな通知きてないので、”私は知らないわ” と思ったそんなあなた。
4 そんな通知きてないので、”私は知らないわ” と思ったそんなあなた。 メール検証を利用しているのが悪いじゃん。 最初からDNS検証を利用しているから”オレ 関係ないし”と思ったそんなあなた。
5 そんな通知きてないので、”私は知らないわ” と思ったそんなあなた。 メール検証を利用しているのが悪いじゃん。 最初からDNS検証を利用しているから”オレ 関係ないし”と思ったそんなあなた。 そんな方にこそ是非社内関係者に、本内容を 共有していただけますと幸いです!
名前:福地孝哉(ふくちーぬ) 所属:豊洲界 対応案件:Webシステムの運用保守,クラウドへのサーバ移行,API基盤構築 経歴: 2023-2024 Japan AWS All Certifications Engineers
2024 Japan AWS Jr. Champions JAWS-UG山梨と私: 昨年Jr. Championsによって開催される豊洲回で、濱田さんと出会いました! 先週JAWS-UG茨城にて、積田さんと出会いました! 一言:re:Inventに初参戦します!皆さん色々教えてください! 好きなAWSサービス:AWS Certificate Manager 趣味:テニス,サウナ,熱波師,鹿島アントラーズ,Da-iCE 6
7 ACM仕様変更を簡単に • メール検証方式では、WHOISアドレスを利用してメール検証しているが、可用性の観 点から2024年10月以降送信を停止しました。新規利用については、2024年6月から既 に開始しています。 ‒ 背景として、WHOISアドレスに更新メールが届かなくなる問題が発生しています。 方法①メール検証方式を引き続き利用する ‒
今後は5つのシステムアドレスに更新メールが届きます。 administrator@your_domain_name hostmaster@your_domain_name postmaster@your_domain_name webmaster@your_domain_name admin@your_domain_name ‒ しかし、既知のアドレスのため攻撃の標的となる等セキュリティの懸念点があります。 方法②DNS検証方式に移行する ‒ 証明書の切り替え作業が必要です。
8 ACM仕様変更を簡単に • メール検証方式では、WHOISアドレスを利用してメール検証しているが、可用性の観 点から2024年10月以降送信を停止しました。新規利用については、2024年6月から既 に開始しています。 ‒ 背景として、WHOISアドレスに更新メールが届かなくなる問題が発生しています。 方法①メール検証方式を引き続き利用する ‒
今後は5つのシステムアドレスに更新メールが届きます。 administrator@your_domain_name hostmaster@your_domain_name postmaster@your_domain_name webmaster@your_domain_name admin@your_domain_name ‒ しかし、既知のアドレスのため攻撃の標的となる等セキュリティの懸念点があります。 方法②DNS検証方式に移行する ‒ 証明書の切り替え作業が必要です。
9 結論 DNS検証方式の証明書を新規作成した後に、ELBにアタッチされて いる証明書の置き換えを実施する 参考AWSドキュメント:https://docs.aws.amazon.com/ja_jp/acm/latest/userguide/email-validation.html
10 STEP0 Elastic Load Balancing AWS Certificate Manager (ACM) メール検証方式
メール検証方式の証明書がELBにアタッチ済みである
11 STEP1 Elastic Load Balancing AWS Certificate Manager (ACM) メール検証方式
DNS検証方式の証明書を新規に作成して、DNSサーバに登録する AWS Certificate Manager (ACM) DNS検証方式
12 DNS証明書の新規作成手順 情報システム部担当者様 ACM証明書を作成したので、 CNAMEレコードをDNSサーバに 72時間以内に登録してください。 ふくちーぬ
13 72時間後… DNS証明書の新規作成手順 情報システム部担当者様 ふくちーぬ
14 72時間後… (やばい。)いま登録しました。 DNS証明書の新規作成手順 情報システム部担当者様 ふくちーぬ
15 DNS証明書の新規作成手順 ACM証明書が検証失敗している。。 (もう一回登録依頼するの手間だな。) 情報システム部担当者様 ふくちーぬ
16 DNS証明書の新規作成手順 そんな時はさっきの証明書は削除して、 再度同一ドメインでACM証明書を作 成すれば検証されるんだっけか! 情報システム部担当者様 ふくちーぬ
17 DNS証明書の新規作成手順 情報システム部担当者様 ふくちーぬ ありがとうございました。 証明書のステータスが“検証済み”に なったので、クローズします。
18 DNS検証のCNAMEレコードはAWSアカウント内のドメイン名に対して、一意 の値となるため72時間以内に実施するべき検証ができなかった場合でも、証 明書を再作成することで対処することができます。 DNS証明書の新規作成時のポイント 参考AWSドキュメント:https://aws.amazon.com/jp/certificate-manager/faqs/
19 STEP3 Elastic Load Balancing AWS Certificate Manager (ACM) メール検証方式
ELB証明書を置き換えて、通信を切り替える AWS Certificate Manager (ACM) DNS検証方式
20 • NLBを利用の場合は、切り替え時の瞬断は発生しないためメンテナンス期 間を設ける必要はありません。例えば切り替え前に発生したリクエストは、 既存の証明書(メール検証)が使われて、切り替え後のリクエストについて は、新しい証明書(DNS検証)が使用される挙動となります。 • ALBを利用の場合は、切り替え時に通信遮断が発生する可能性があるの でメンテナンス期間を設けましょう。例えば切り替え前に長時間接続を維持 するセッションがあった際に、その接続が切断される場合があります。
切り替え時のポイント(AWSサポートにも確認済みです) 参考AWSドキュメント: https://docs.aws.amazon.com/ja_jp/elasticloadbalancing/latest/network/tls-listener- certificates.html#default-certificate https://docs.aws.amazon.com/ja_jp/elasticloadbalancing/latest/application/https- listener-certificates.html
21 まとめ • ACMにてメール検証を利用の方は、DNS検証に移行しましょう。移行する ことで、自動更新されるので運用負荷も軽減します。(13か月ごとの、メー ル検証作業が不要となります。) • 証明書を切り替える際は、ELBのタイプによってメンテナンス期間を設けて、 利用者に影響が出ないように移行しましょう。
JAWS-UG山梨 の皆さん今後とも よろしくお願いします! ご清聴ありがとうござい ました 22
23 AWS Health Dashboardでの確認方法 “イベント=AWS_ACM_OPERATIONAL_NOTIFICATION”でフィルタリングする。