翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ACME 証明書の自動化

AWS Certificate Manager (ACM) は、証明書の発行とライフサイクル管理を自動化するための業界標準の方法である、自動証明書管理環境 (ACME) プロトコルをサポートしています。ACME 証明書の自動化を使用すると、オンプレミスサーバー、Kubernetes クラスター、ハイブリッド環境などのカスタマーマネージドインフラストラクチャで実行されているワークロードに対して、パブリックに信頼された証明書を発行できます。

ACME とは

ACME は RFC 8555 で定義されているインターネットプロトコルで、machine-to-machine通信を通じて証明書の発行を自動化します。手動証明書リクエストの代わりに、ACME クライアントは ACME サーバーと直接通信して、証明書を自動的にリクエストして取得します。

Certbot や cert-manager などの ACME クライアントは広く利用でき、多くのアプリケーションプラットフォームと統合されています。これらのクライアントは、最初の発行や有効期限前の更新など、証明書のライフサイクル全体を処理します。

ACME と ACM の連携方法

ACM は、ACME エンドポイントを介してアクセスするマネージド ACME サーバーを提供します。アーキテクチャは 2 つのプレーンに分かれています。

クライアントが証明書をリクエストするたびにドメインの所有権を証明する一般的なパブリック ACME サービスとは異なり、ACM ACME サーバーは管理者が事前に承認したドメインを使用します。これにより、エンドポイントが発行できるドメインを制御する管理者が、証明書をリクエストするアプリケーション所有者から分離されます。詳細については、「ACME ドメインの検証」を参照してください。

ACME を通じて発行された証明書は、標準の ACM ARNs、ACM 証明書インベントリに表示されます。

ACME 証明書の特性

ACME を通じて発行された証明書は、パブリックに信頼された ACM 証明書です。他の ACM パブリック証明書と同じ信頼チェーン、キーアルゴリズム、証明書の透明性ログ記録を共有します。すべての ACM パブリック証明書に適用される特性については、「」を参照してくださいAWS Certificate Manager パブリック証明書の特性と制限。

以下のセクションでは、ACME 証明書と他の ACM パブリック証明書の違いについて説明します。

失効

取り消されたエンドエンティティ証明書は、OCSP と CRL を使用して失効情報を検証し、発行します。一部のお客様のファイアウォールでは、これらのメカニズムを許可するために追加のルールが必要になる場合があります。

失効トラフィックを特定するには、次の URL ワイルドカードパターンを使用します。

より制限の厳しいルールが必要な場合は、Amazon Trust Services のウェブサイトを参照してください。

証明書の有効期間

ACME が発行した証明書の有効期間は 45 日で、他の ACM パブリック証明書の有効期間よりも短くなります。この短い有効性は、ACME クライアントが証明書を自動的に更新することで相殺されます。有効期間の短い証明書を使用すると、今後の業界の変化にも対応できます。これは、パブリック証明書の最大有効期間は時間の経過とともに短縮することが義務付けられており、2029 年初頭までに 47 日以内になるためです。

ACME が発行した証明書の使用

ACM リソースとして ACME が発行した証明書には、次の運用上の動作と制約が適用されます。

ACME と RequestCertificate を使用するタイミング

次のガイダンスを使用して、ユースケースに適した証明書の発行方法を決定します。

次の場合は RequestCertificate を使用します。

次の場合は ACME を使用します。

ACME ペルソナモデル

ACME 証明書の自動化には、次の 2 つのロールが含まれます。

エンドツーエンドのワークフロー

次の手順では、ACME 証明書の自動化のセットアップと使用フロー全体について説明します。