証明書チェーンとは

詳細な図解

証明書チェーンを読むときの前提

証明書チェーン（Certificate chain）は、サーバー証明書から中間証明書を経由し、信頼済みルートCAまでたどる並びです。TLS接続の信頼性は、単体の証明書ではなく鎖全体で判断されます。

実務では、接続先名、SAN、期限、issuer、提示順序、欠落、失効確認、SNI、クライアント信頼ストアを合わせて確認します。

証跡には、FQDN、接続元、SNI有無、提示チェーン、検証結果、エラー文、確認コマンド、確認時刻を残します。

接続先名と鎖を分けて見る

証明書チェーンが正しくても、接続先FQDNがSANに含まれていなければTLS警告になります。逆にSANが正しくても、中間証明書が欠落していれば信頼できません。

調査では、名前の不一致、期限切れ、チェーン不備、信頼ストア未対応を分けます。ブラウザの警告文やopensslのverify errorを原文で残すと説明しやすくなります。

• SANと接続先FQDNを照合する。
• 提示チェーンを順序付きで保存する。
• verify errorの番号と文言を残す。

終端点ごとの差分を見る

同じFQDNでも、ロードバランサー、CDN、WAF、リバースプロキシ、メールゲートウェイなど複数のTLS終端点が関わることがあります。片系だけ旧証明書を返すと、断続的な警告になります。

証明書更新後は、代表1経路だけでなく、IPv4/IPv6、SNI有無、地域、CDNキャッシュ、LBの全ターゲットを確認します。

• LB片系とCDN経路を分けて確認する。
• IPv4とIPv6の提示証明書を比較する。
• 本番・検証・管理画面の証明書を混同しない。

古いクライアントと信頼ストア

証明書チェーンはクライアント側の信頼ストアにも依存します。古いOS、組み込み機器、古いJavaやOpenSSLでは、新しいルートCAや中間証明書を信頼できないことがあります。

障害対応では、全員が失敗するのか、特定端末や特定ランタイムだけ失敗するのかを分けます。必要なら代替チェーンやクライアント更新の方針を確認します。

• 失敗端末のOS、ランタイム、CAストアを確認する。
• 成功端末とのチェーン検証差分を見る。
• 古い端末向けの暫定対応を判断する。

変更証跡と引き継ぎ

証明書チェーン対応では、対象FQDN、旧新チェーン、配備先、失敗したクライアント、確認コマンド、戻し条件、次回更新日を残します。証明書ファイル名だけでは証跡として不足します。

引き継ぎでは、Web基盤担当、アプリ所有者、CDN/LB管理者、関連語として中間証明書、証明書、CA、SNI、TLSを残すと確認しやすくなります。

• 旧新チェーンと検証結果を保存する。
• 全終端点の反映確認を残す。
• 次回更新Runbookへ反映する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能