証明書とは

詳細な図解

証明書を読むときの前提

証明書（Certificate）は、接続先の名前、公開鍵、発行者、有効期限を結び付け、TLS接続で相手を確認するための材料です。Web、VPN、メール、API、管理画面などで使われます。

実務では、期限だけでなく、SAN、発行者、中間証明書、秘密鍵との対応、SNI、配備先、失効状態、自動更新ジョブを合わせて確認します。

証跡には、対象FQDN、証明書シリアル、フィンガープリント、SAN、発行者、有効期限、チェーン、確認したTLS終端点、確認日時を残します。

名前と発行者を確認する

証明書警告の多くは、接続先名とSANの不一致、期限切れ、中間証明書不足、信頼されないCA、SNIの出し分け差分から起きます。証明書ファイル単体ではなく、実際の接続経路で確認します。

CDNやロードバランサーでは、同じ証明書を配ったつもりでも片系だけ古い証明書を返すことがあります。利用者が接続するFQDNをSNIとして指定して確認します。

• SANに接続先名があるか確認する。
• 発行者と証明書チェーンを確認する。
• 全TLS終端点で同じ結果か比較する。

秘密鍵と配備先を見る

証明書は秘密鍵と対応していなければ使えません。証明書だけ更新しても、秘密鍵が違う、権限で読めない、別ノードへ配られていない場合はTLS終端に失敗します。

秘密鍵は証跡に貼り付けず、保管先、権限、更新手順、漏えい時の失効手順を残します。HSMや証明書管理サービスを使う場合も、どの終端点がどの鍵を使うかを台帳化します。

• 証明書と秘密鍵の対応を確認する。
• 配備先ノードと反映状態を確認する。
• 秘密鍵の保管先と権限を記録する。

自動更新と失効を運用に入れる

証明書更新は、期限前に発行されるだけでは完了しません。配備、リロード、監視、旧証明書の残存確認まで含めて運用にします。

ACMEなどの自動更新では、DNS/HTTPチャレンジ、CAA、レート制限、通知先、ジョブ失敗時のエスカレーションを確認します。漏えい時は失効、再発行、配備、キャッシュ影響まで扱います。

• 更新ジョブの成否を監視する。
• 失効時の連絡先と手順を残す。
• 旧証明書が返る経路を確認する。

変更証跡と引き継ぎ

証明書対応では、対象サービス、FQDN、発行元CA、SAN、秘密鍵保管先、配備先、更新周期、監視項目を残します。期限だけの一覧では、障害時の切り分けに足りません。

引き継ぎでは、Web基盤担当、PKI管理者、DNS管理者、関連語としてTLS、SAN、CSR、SNI、証明書チェーンを残すと確認しやすくなります。

• 期限、SAN、チェーンを同じ証跡に残す。
• 配備先と確認コマンドを記録する。
• 次回更新の責任者を明記する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能