〜品川会〜 AWS Certificate Managerに ACMEエンドポイントが追加された！

07/29 品川会

Transcript

1. 〜品川会〜 #7 AWS Certificate Managerに ACMEエンドポイントが追加された！ 2026-07-29 髙橋 尚
2. 自己紹介 <名前> 髙橋 尚 (新卒2年目) <業務> Amazon Connectを利用した コンタクトセンターの保守運用 ポータルサイトの保守運用
3. 今日の目的 1. ACMというサービスを理解する 2. 新機能のACME証明書を理解する 3
4. ACM（AWS Certificate Manager）とは ACM とは • Amazon が提供する SSL/TLS証明書の発行・管理サービス • 主な機能：発行 / 管理 / 自動更新 SSL/TLS証明書とは • 「このサーバーはこのドメインの正当な所有者である」と認証局 （CA）が保証する電子的な身分証明書 ACMEとは • 証明書の発行管理を自動化するプロトコル 4
5. 証明書がないとどうなるのか 5
6. ACMが扱える証明書 種類 料金 用途 ACMパブリック証明書 $0 ALB / CloudFront に適用 プライベート証明書 月$400 + 発行課金 社内向け・独自CA 外部インポート 外部CAの料金 外部CAの証明書で AWS サービスを使う AWS サービスに付けるなら $0 で全自動 • • CNAME が DNS に残っている ／ AWSリソースにアタッチされているのが条件 有効期限の 45日前から ACM が自動で再検証して更新する – 有効期間は短縮が続く 約400日 → 約200日 → 2027年3月100日 → 2029年47日 6
7. 従来の構成だと外部CA ＋ Certbot で組むしかなかった AWS アカウント 証明書発行専用サーバー (EC2 or Lambda) ・Certbot ・cron（自動更新） ・DNS APIの認証情報 ④ 証明書を配布 ① 証明書くれ 外部CA（ACMEサーバ） 商用CA / Let‘s EncryptやGoogleとか ② _acme-challenge に TXTレコード配置 ③ TXTを書き込む 確認 ★ DNS APIの認証情報が必要 nginx 証明書を受け取る 外部DNS（お客様 / 情報部門が管理の場合） _acme-challenge TXT "abc123..." → ③ のために Certbot に DNS の書き込み権限を渡すことになる 7
8. 2026年7月にアップデート！ 種類 料金 用途 ACMパブリック証明書 $0 ALB / CloudFront に適用 プライベート証明書 月$400 + 発行課金 社内向け・独自CA 外部インポート 外部CAの料金 外部CAの証明書をAWSで使う ACME発行 FQDN $1 / ワイルドカード $5 ACMEクライアントから直接取得 • • • • 自分の AWS アカウント配下に ACME エンドポイント を作れる ACMEv2 対応クライアントなら何でも使える )Ex. Certbot / acme.sh / cert-manager 発行局(CA)は Amazon Trust Servicesで、全商用リージョンで利用可能 IAM ロールでドメインスコープを制御し、CloudTrail に全発行が記録される 8
9. ACM ACME使った構成 AWS アカウント / オンプレ 証明書発行専用サーバー 外部CA（ACMEサーバ） ・DNS APIの認証情報 ／ 証明書の配布 契約 ACM ACMEエンドポイント ・ドメイン検証 ・EAB ＋ IAMロール 証明書配布 nginx ・Certbot / cron ACM が検証 CNAMEを見る 外部DNS（お客様 / 情報部門が管理の場合） _xxxxxxxx CNAME → acm-validations.aws 9
10. ACMEエンドポイントを使うときの注意点 注意点 中身 CloudFront / ALB / API GW に付けられない 秘密鍵が クライアント 側で生成され、AWSに渡らない ため 自動更新は ACM がやらない certbot renewを自前でACMEクライアントが更新する 有効期間は最大45日 更新頻度が上がる 有料 発行ごとに課金。無料枠なし → AWSサービスに付けるなら、従来の ACMパブリック証明書でよい あくまでACMEが必要なのは ACM非統合のサーバー Ex.) オンプレ、EC2のNginx / Apache、Kubernetesなど 11
11. まとめ 01 ACMの証明書にACME発行という4つ目の選択肢が増えた 02 事前認可なのでDNSの認証情報と発行専用サーバーが構成から不要 03 CloudFront / ALB には付けられないので、ACM非統合のサーバー向け 12