エッジ証明書の管理
エッジ証明書とは、 HTTPS を介してドメインにアクセスする際にユーザーに提示される TLS 証明書である。 これらの証明書は、ブラウザと IBM Cloud® Internet Services エッジネットワーク間の接続を保護します。 CIS は、3種類のエッジ証明書を提供します：Universal、Advanced、Customです。
汎用証明書
デフォルトでは、 CIS は、 CIS で追加されたすべてのドメインに対して、無料で共有されていない、一般に信頼されている SSL 証明書を発行する。 これらのユニバーサル証明書については、 CIS、有効期間と認証局（CA）を管理し、更新が常に行われるようにしている。 Let's Encrypt または Google Trust Services が発行するユニバーサル証明書の有効期間は 90 日間である。
CIS ユニバーサル証明書のCAは事前の通知なしに変更される可能性があり、変更時には通知が行われます。 独自の発行認証局を選択したい場合は、アドバンスド証明書を注文する。
APIからユニバーサル証明書の設定を変更するには、 「ユニバーサル証明書の有効化または無効化」 を参照してください。 この証明書はデフォルトで有効になっており、別の有効な証明書がすでに設定されていない限り、有効のままにしておく必要があることに留意されたい。
拡張証明書
拡張証明書は、証明書を発行および管理するための柔軟でカスタマイズ可能な方法を提供します。 ユニバーサル証明書（ SSL ）よりもカスタマイズ可能なものを希望するが、 SSL 証明書の発行と更新の利便性を求める場合は、アドバンスト証明書を使用する。
両者の違いは、ユニバーサル証明書が、 CIS、90日間の固定有効期限と自動選択された認証局によって自動的に発行されることである。 しかし、高度な証明書では、認証局を選択し、14日、30日、90日、あるいは365日といったさまざまな有効期間を選択し、更新の開始時期を設定することができる。 また、アドバンスト証明書は、ドメインの検証をより詳細に制御でき、コンプライアンス、より厳格なセキュリティ・ポリシー、自動化されたワークフローへの統合を必要とする環境に適している。
拡張証明書は、 CISから直接注文します。
ユニバーサル証明書および上級証明書の有効期間および更新期間
ユニバーサル証明書は常に 90 日間有効で、有効期限が切れる 30 日前に自動的に更新されます。
詳細証明書を使用すると、以下の表に示すように、有効期限と自動更新日を選択できる。
| 証明書の有効期間 | 自動更新期間 | 詳細 |
|---|---|---|
| 3 カ月 | 30 日間 | |
| 1 カ月 | 7 日間 | Let's Encryptではサポートされていません |
| 2 週間 | 3 日 | Let's Encryptではサポートされていません |
更新期間はバックエンドで自動化され、カスタマイズすることはできません。
バックアップ証明書
CIS がお客様のドメインの権威 DNS を提供している場合、 CIS は、発行される標準ユニバーサル証明書ごとにバックアップのユニバーサル証明書 SSL を発行する。
バックアップ証明書は、異なる秘密鍵でラップされ、異なる認証局から発行される。 たとえば、これらの証明書は、ドメインのプライマリUniversal SSL 証明書の代わりに、 Google Trust Services、Let's Encrypt、Sectigo、または SSL.com から発行されます。
これらのバックアップ証明書は通常は配備されないが、証明書が失効した場合や鍵が漏洩した場合に、 CIS によって自動的に配備される。
カスタム証明書
カスタム証明書は、独自の SSL 証明書を使用したいお客様のためのものです。 これらの証明書を CIS にアップロードする。
ユニバーサル証明書やアドバンスト証明書とは異なり、 CIS はカスタム証明書の発行や更新を管理しない。 カスタム証明書のアップロード、更新、および有効期限の追跡は、お客様の責任で行っていただきます。
ご利用いただける証明書の数は、ご契約のプランによって異なります。 詳細については 、 CIS プランの比較 をご覧ください。 さらに必要な場合は、サポートケースを提出してください。 詳しくは、サポート Case の作成を参照してください。
ホスト名に対する証明書の選択
CIS は、定義された順序でいくつかの基準を評価することにより、 TLS 証明書をホスト名に適用します。 このプロセスにより、各リクエストに対して最も具体的かつ適切な証明書が使用されることが保証されます。
証明書選択順序
特定のホスト名に対して、 CIS は以下の優先順位ルールを使用して提示する証明書を決定します：
- ホスト名の特異性: 特定のサブドメイン証明書 (
www.example.com) は、へのリクエストにおいてワイルドカード証明書www.example.com(*.example.com) よりも優先されます。 - ゾーン特異性: ドメインが CIS でゾーンとしてアクティブな場合、特定のサブドメイン証明書(
www.example.com)はカスタムホスト名証明書よりも優先されます。 - 証明書優先度: 複数の証明書が同一のホスト名に一致する場合、 CIS はその優先度レベルに基づいて証明書を選択します。
| 優先順位 | 証明書のタイプ |
|---|---|
| 1 | カスタム証明書 |
| 2 | 上級認定証 |
| 3 | ユニバーサル証明書 |
-
証明書の有効期限: 複数の証明書が依然として有効な場合、 CIS は最も最近発行された証明書を提示します。 証明書が削除された場合、 CIS は有効期限が最も遅い残りの証明書を選択します。
CIS が証明書を更新すると、更新された証明書には新しい有効期限が設定されます。 その結果、 CIS は最新の有効期限を持つため、更新された証明書を提示します。
証明書更新の失敗と交換
CISによって管理される証明書の場合、更新の試行は自動更新期間から始まり、有効期限が切れる 24 時間前まで続きます。 証明書が更新に失敗し、そのホスト名に対して別の有効な証明書が存在する場合、 CIS は過去 24 時間以内に有効な証明書をデプロイします。
CAAレコード
あ 証明機関認証(CAA)DNS レコード ドメインの証明書を発行できる証明機関 (CA) を指定します。 この記録により、不正な証明書の発行の可能性が減り、組織全体の標準化が促進されます。
次の表に、各 CA の CAA レコードの内容を示します。
| 認証局 | CAA レコードの内容 |
|---|---|
| Let's Encrypt | letsencrypt.org |
| Google Trust Services | pki.goog; cansignhttpexchanges=yes |
| SSL.com | ssl.com |
| DigiCert | digicert.com; cansignhttpexchanges=yes |
| セクティゴ | sectigo.com |
証明書のステータス
各証明書ステータスは、発行プロセスにおけるあなたの現在のポジションを表し、証明書の種類によって異なる。
新しい証明書のステータス
新しい証明書を注文すると、それがエッジ証明書であれ、カスタム・ホスト名用の証明書であれ、そのステータスはグローバル・ネットワークに進むにつれて、以下の段階を経る。
- 初期化中
- 検証保留中
- 発行保留
- 配備待ち
- アクティブ
証明書を発行すると、「Pending Validation」に移行し、検証が完了すると「Active」に移行する。 エラーが表示された場合は、証明書を検証するためにさらなるアクションが必要な場合があります。
証明書を非アクティブにすると、「 Deactivating」、「 Inactive」の順にステータスが移行する。
カスタム証明書ステータス
カスタム証明書を使用し、ゾーンのステータスが 「保留中」 または「移動中」の場合、証明書のステータスが「配備を保留中」になることがある。
ゾーンがアクティブになると、カスタム証明書は自動的に配備され、Active ステータスに変更されます。 ただし、カスタム証明書をアップロードした時点でゾーンがすでにアクティブになっている場合は、このステータスは表示されません。