View a markdown version of this page

ACME エンドポイント - AWS Certificate Manager
エンドポイントディレクトリ URLエンドポイント設定エンドポイントステータスのライフサイクルACME エンドポイントの作成ACME エンドポイントの管理ACME エンドポイントのモニタリング

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ACME エンドポイント

ACME エンドポイントは、一意の URL を持つお客様固有のマネージド ACME サーバーです。各エンドポイントは、特定の認証機関から証明書を発行するように設定されています。エンドポイントを作成すると、ACM は、ACME クライアントが接続できる RFC 8555 準拠の ACME サーバーをプロビジョニングします。

エンドポイントディレクトリ URL

ACME エンドポイントを作成すると、ACM は一意の ACME ディレクトリ URL を割り当てます。この URL を ACME クライアントに提供して、クライアントがエンドポイントに接続できるようにします。コンソールのエンドポイントの詳細、または によって返されるEndpointUrlフィールドからディレクトリ URL を取得しますDescribeAcmeEndpoint。ディレクトリ URL の形式は次のとおりです。

https://acm-acme-enroll.region.api.aws/00000000-0000-0000-0000-000000000000/directory

エンドポイント設定

ACME エンドポイントを作成するときは、次の設定を行います。ACME クォータについては、「」を参照してくださいクォータ。

AuthorizationBehavior

PRE_APPROVED: ドメイン検証は、ライブ ACME チャレンジではなく、事前設定されたドメイン検証リソースによって処理されます。

Contact

REQUIRED または NOT_REQUIRED: ACME クライアントがエンドポイントにアカウントを登録するときに連絡先情報を提供する必要があるかどうかを指定します。コンソールでは、この設定はアカウント E メール登録です。

デフォルトでは、ACME アカウントには識別情報は含まれません。連絡先フィールドは、アカウントを ID に関連付けるためにクライアントがアカウント登録時に指定できる E メールアドレスです。Contact を に設定するとREQUIRED、PKI 管理者は、エンドポイントが連絡先情報を含むアカウント登録のみを受け入れ、それを省略する登録を拒否するように強制できます。登録された連絡先情報は純粋に情報であり、PKI 管理者が ACME アカウントを管理するために使用されます。

CertificateAuthority

PublicCertificateAuthority: でエンドポイントを選択して、Amazon Trust Services からパブリックに信頼された (ウェブ PKI) 証明書を発行します。特定の CA を指定しません。このフィールドは、エンドポイントがパブリック証明書の発行に関連付けられていることを宣言します。

AllowedKeyAlgorithms

RSA_2048、EC_prime256v1、EC_secp384r1: エンドポイントに強制レイヤーを追加します。証明書リクエストに、許可されたアルゴリズムの 1 つとアルゴリズムが一致しない埋め込みパブリックキーが含まれている場合、エンドポイントはリクエストを拒否します。を設定しない場合AllowedKeyAlgorithms、エンドポイントはキーアルゴリズムの適用を適用しません。

コンソールでは、これらのアルゴリズムは証明書キータイプとして表示されます。 EC_prime256v1は ECDSA P-256、 RSA_2048は RSA 2048、 EC_secp384r1は ECDSA P-384 です。

CertificateTags

ACM がこのエンドポイントを介して発行されたすべての証明書に自動的にアタッチするタグ。証明書タグを使用して、証明書の整理、コストの追跡、ACME を通じて発行された証明書へのアクセスの制御を行います。コンソールでは、これらはエンドポイントリソース自体に適用されるタグとは別に、証明書タグとして表示されます。

エンドポイントステータスのライフサイクル

ACME エンドポイントは、次のステータスに移行します。

ACTIVE

エンドポイントは動作しており、ACME リクエストを受け入れることができます。

DELETING

エンドポイントは削除中です。

FAILED

エンドポイントの作成に失敗しました。詳細については、 FailureReasonフィールドを確認してください。

ACME エンドポイントの作成

ACME エンドポイントは、ACM コンソールまたは AWS CLI を使用して作成できます。

エンドポイントを作成するには (コンソール)

  1. AWS マネジメントコンソールにサインインし、ACM コンソールを開きます。

  2. 左側のナビゲーションペインの ACME で、エンドポイントを選択します。

  3. ACME エンドポイントの作成を選択します。

  4. エンドポイント名に、エンドポイントの名前を入力します。名前はエンドポイントにタグとして保存され、後で変更できます。

  5. エンドポイントタイプはパブリックであることに注意してください。ACME クライアントは、HTTPS を使用してインターネット経由でエンドポイントに接続します。

  6. (オプション) アカウント E メール登録で、ACME アカウント登録中に連絡先情報を有効にする を選択し、アカウント登録時に ACME クライアントに連絡先 E メールアドレスの提供を要求します。

  7. 証明書タイプはパブリックであることに注意してください。エンドポイントは、Amazon Trust Services からパブリックに信頼された証明書を発行します。

  8. 証明書キータイプでは、少なくとも 1 つのキーアルゴリズムを選択します: ECDSA P-256 (デフォルト）、RSA 2048、または ECDSA P-384。

  9. (オプション) ドメインで、1 つ以上のドメインを追加して、このエンドポイントを検証します。後でエンドポイントの詳細ページからドメインを追加することもできます。詳細については、「ACME ドメインの検証」を参照してください。

  10. (オプション) タグ で、エンドポイントにタグを追加します。

  11. (オプション) 証明書タグに、ACM がこのエンドポイントを介して発行されたすべての証明書に自動的にアタッチするタグを追加します。

  12. ACME エンドポイントの作成を選択します。

エンドポイントのステータスが に変わったらACTIVE、エンドポイントのディレクトリ URL を取得し、ACME クライアントに渡します。

エンドポイントを作成するには (AWS CLI)

次のコマンドを実行して、ACME エンドポイントを作成します。

aws acm create-acme-endpoint \
    --authorization-behavior PRE_APPROVED \
    --contact REQUIRED \
    --certificate-authority '{
        "PublicCertificateAuthority": {
            "AllowedKeyAlgorithms": ["RSA_2048", "EC_prime256v1", "EC_secp384r1"]
        }
    }'

レスポンスには が含まれますAcmeEndpointArn。

{
    "AcmeEndpointArn": "arn:aws:acm:region:111122223333:acme-endpoint/00000000-0000-0000-0000-000000000000"
}

エンドポイント URL と設定を取得するには、次のコマンドを実行します。

aws acm describe-acme-endpoint \
    --acme-endpoint-arn arn:aws:acm:region:111122223333:acme-endpoint/00000000-0000-0000-0000-000000000000

レスポンスの例を次に示します。EndpointUrl は、ACME クライアントに提供する ACME ディレクトリ URL です。

{
    "AcmeEndpoint": {
        "AcmeEndpointArn": "arn:aws:acm:region:111122223333:acme-endpoint/00000000-0000-0000-0000-000000000000",
        "EndpointUrl": "https://acm-acme-enroll.region.api.aws/00000000-0000-0000-0000-000000000000/directory",
        "Status": "ACTIVE",
        "AuthorizationBehavior": "PRE_APPROVED",
        "Contact": "REQUIRED",
        "CertificateAuthority": {
            "PublicCertificateAuthority": {
                "AllowedKeyAlgorithms": [
                    "RSA_2048",
                    "EC_prime256v1",
                    "EC_secp384r1"
                ]
            }
        },
        "CreatedAt": "2026-06-18T20:35:06.331000-04:00",
        "UpdatedAt": "2026-06-18T20:35:06.331000-04:00"
    }
}

ACME エンドポイントの管理

ACME エンドポイントでは、次の管理オペレーションを実行できます。

説明

ステータスと設定を含むエンドポイントの詳細を表示します。

リスト

アカウントのすべての ACME エンドポイントを表示します。

更新

認可動作、問い合わせ要件、または認証機関設定を変更します。

Delete

エンドポイントを削除します。エンドポイントを削除すると、その外部アカウントのバインディングリソースとドメイン検証リソース、およびエンドポイントに登録されている ACME アカウントも削除されます。

ACME エンドポイントのモニタリング

ACM コンソールと Amazon CloudWatch を使用して、ACME エンドポイントのアクティビティと証明書の発行をモニタリングできます。

コンソールのモニタリングタブ

ACM コンソールで、ACME エンドポイントを選択し、モニタリングタブを選択して、そのエンドポイントの発行メトリクスを表示します。モニタリングタブには、時間の経過に伴う CertificateIssuanceSuccessおよび CertificateIssuanceFailedメトリクスのグラフが表示されます。

証明書ダッシュボード

ACM コンソールの Certificates ダッシュボードには、ACME が発行した証明書など、アカウント内のすべての証明書の概要が表示されます。ダッシュボードを使用して、インベントリ全体の証明書数、有効期限タイムライン、更新ステータスを追跡します。

CloudWatch メトリクス

ACM は、各 ACME エンドポイントAWS/CertificateManagerの名前空間に次のメトリクスを発行します。

  • CertificateIssuanceSuccess – エンドポイントを介して正常に発行された証明書の数。

  • CertificateIssuanceFailed – エンドポイントの失敗した発行試行の数。

どちらのメトリクスも AcmeEndpointArnディメンションを使用します。これらのメトリクスに CloudWatch アラームを作成して、発行の失敗を通知することができます。詳細については、「サポートされている CloudWatch メトリクス」を参照してください。