ACMEとは

詳細な図解

ACMEを読むときの前提

ACME（Automatic Certificate Management Environment）は、証明書の発行、更新、失効を自動化するためのプロトコルです。Let's Encryptなどの公開CAで広く使われ、HTTP-01やDNS-01のチャレンジでドメイン管理権限を確認します。

実務では、発行自動化そのものより、検証チャレンジの到達性、更新ジョブ、秘密鍵の保管、配備先、失敗通知、レート制限を確認します。

証跡には、対象FQDN、チャレンジ方式、ACMEクライアント、CA、更新時刻、配備先、失敗ログ、通知先を残します。

HTTP-01とDNS-01を分ける

HTTP-01は指定URLへCAがアクセスできることを確認します。Web公開経路、リダイレクト、WAF、Basic認証、CDNキャッシュが失敗原因になります。

DNS-01はTXTレコードで所有確認します。ワイルドカード証明書や非公開サービスでも使いやすい一方、DNS API権限、TTL、権威DNS、分割DNSの扱いに注意します。

• チャレンジ方式と検証経路を記録する。
• HTTP公開経路やDNS権威を確認する。
• DNS API権限を最小化する。

更新ジョブと配備先を見る

ACMEで発行できても、証明書が本番のTLS終端点へ配備されなければ利用者には反映されません。Webサーバー、LB、CDN、メールTLS、Kubernetes Secretなど配備先を洗い出します。

自動更新では、更新成功、サービス再読み込み、片系反映、古い証明書残存、通知失敗を確認します。期限監視だけでは、自動更新の失敗に気づくのが遅れます。

• 更新ジョブの実行ログを確認する。
• 更新後にサービスが新証明書を返すか見る。
• 失敗通知と期限監視を両方用意する。

秘密鍵と権限を扱う

ACMEクライアントは秘密鍵やアカウント鍵を扱います。便利な自動化ほど権限が強くなりやすいため、DNS APIトークン、証明書保存先、ファイル権限、バックアップ、失効手順を確認します。

複数環境で同じ鍵を使い回すと、漏えい時の影響範囲が広がります。検証環境、本番、ワイルドカード、個別証明書の境界を分けます。

• DNS APIトークンの権限範囲を確認する。
• 秘密鍵の保存先と権限を確認する。
• 漏えい時の失効手順を用意する。

変更証跡と引き継ぎ

ACME運用では、対象FQDN、チャレンジ方式、CA、クライアント、更新周期、通知先、配備先、戻し条件、レート制限への注意を残します。担当者しか知らない自動更新は障害時に弱くなります。

引き継ぎでは、DNS管理者、Web基盤担当、CDN/LB管理者、関連語として証明書、DNS、秘密鍵、証明書チェーンを残すと確認しやすくなります。

• 更新Runbookと通知先を残す。
• 配備先ごとの反映確認を記録する。
• CAレート制限と緊急更新手順を確認する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能