AWS Certificate Manager とは何ですか?

AWS Certificate Manager (ACM) は、AWS のサービスとお客様の内部接続リソースで使用するパブリックとプライベートの Secure Sockets Layer/Transport Layer Security (SSL/TLS) 証明書のプロビジョニング、管理、デプロイを簡単にします。SSL/TLS 証明書は、ネットワーク通信を保護し、プライベートネットワークのリソースと同様にインターネットで W ウェブサイトのアイデンティティを確立するために使用されます。ACM を使用すれば、SSL/TLS 証明書の購入、アップロード、および更新という時間のかかるプロセスを手動で行う必要がなくなります。ACM を使えば、証明書のリクエストや、Elastic Load Balancers、Amazon CloudFront ディストリビューション、Amazon API Gateway の API といった AWS のリソースでの証明書のデプロイを、すばやく簡単に行うことができます。また、証明書は自動的に更新されます。また内部リソースのためのプライベート証明書を作成し、証明書ライフサイクルを集中的に管理することも可能になります。ACM でプロビジョンされたパブリック、プライベート SSL/TLS 証明書で、Elastic Load Balancing、Amazon CloudFront、Amazon API Gateway などの ACM 統合サービスだけで使われるものは無料です。お支払いいただくのは、アプリケーションを実行するために作成した AWS リソースの料金です。各プライベート CA のオペレーションについて (これらが削除されるまで)、および ACM 統合サービスのみで使用されるもの以外のお客様が発行するプライベート証明書について、月額料金をお支払いただきます。

SSL/TLS 証明書とは何ですか?

SSL/TLS 証明書により、Secure Sockets Layer/Transport Layer Security (SSL/TLS) プロトコルを使用した、ウェブブラウザからウェブサイトへの暗号化されたネットワーク接続の特定と確立が可能となります。証明書は、公開鍵基盤 (PKI) と呼ばれる暗号化システム内で使用されます。PKI では、双方が認証機関と呼ばれるサードパーティを信頼している場合に、証明書を使用して一方から他方のアイデンティティを確立する方法となります。その他の情報と定義については、「ACM ユーザーガイド」の「概念」のトピックにアクセスしてください。

プライベート証明書とは何ですか?

プライベート証明書は、アプリケーション、サービス、デバイス、ユーザーなど、組織内のリソースを特定します。セキュアな暗号化通信チャネルを確立する際、各エンドポイントは証明書と暗号技術を使用して、そのアイデンティティを他方のエンドポイントに証明します。内部 API エンドポイント、ウェブサーバー、VPN ユーザー、IoT デバイス、その他多くのアプリケーションは、プライベート証明書を使って、安全なオペレーションに必要な暗号化された通信チャネルを確立します。

パブリック証明書とプライベート証明書はどのように異なりますか?

パブリック、プライベート両方の証明書は、ネットワークでリソースを特定し、これらのリソース間での通信を安全にするのに役立ちます。パブリック証明書はパブリックインターネットでリソースを特定し、プライベート証明書はこれをプライベートネットワークで行います。重要な違いは、アプリケーションとブラウザはデフォルトで自動的にパブリック証明書を信頼するのに対し、プライベート証明書を信頼するには管理者がアプリケーションを明示的に設定する必要があることです。パブリック証明書を発行するエンティティーであるパブリック CA は、厳格なルールに従い、オペレーションの可視性を提供する必要があります。また、ブラウザとオペレーティングシステムがどの CA を自動的に信頼するかを決める、ブラウザとオペレーティングシステムのベンダーによって課せられるセキュリティ基準を満たす必要があります。プライベート CA はプライベートな組織によって管理され、プライベート CA の管理者はプライベート証明書の発行について自身のルールを決めることができます。これには、証明書を発行する方法や、証明書にどの情報を入れるかなどがあります。

AWS Certificate Manager (ACM) を利用する利点は何ですか?

ACM を使用すると、AWS プラットフォームで運用されているウェブサイトやアプリケーションに対して、SSL/TLS を簡単に有効にできます。ACM では、SSL/TLS 証明書の使用と管理に関連する多くのプロセスを手動で実行する必要がなくなります。また ACM は、更新を管理することで、証明書の設定ミス、失効、期限切れによるダウンタイムをなくすのにも役立ちます。ウェブサイトやアプリケーションが SSL/TLS で保護されるようになり、証明書の管理も簡単になります。インターネット向けのサイトに SSL/TLS を有効にすることは、サイトの検索ランキングを向上させ、転送中のデータの暗号化に関する規制やコンプライアンスの要件を満たすのにも役立ちます。 ACM を使用して証明書を管理する場合、証明書のプライベートキーは、強力な暗号化とキー管理に関するベストプラクティスによって安全に保護され、保存されます。ACM では、AWS マネジメントコンソール、AWS CLI、ACM API を使って、AWS リージョンでの SSL/TLS ACM 証明書すべてを集中管理できます。ACM は AWS の他のサービスと統合されているため、AWS マネジメントコンソール、AWS CLI コマンド、または API 呼び出しを使って、SSL/TLS 証明書をリクエストし、Elastic Load Balancing のロードバランサーや Amazon CloudFront ディストリビューションでプロビジョニングできます。

ACM ではどのタイプの証明書を管理できますか?

ACM では、パブリック証明書とプライベート証明書のライフサイクルを管理できます。ACM の機能は、証明書がパブリックかプライベートか、どのようにして得たか、どこでデプロイされたかによって異なります。パブリック証明書 – Amazon 発行のパブリック証明書は、ACM にて申請することができます。ACM は、Amazon CloudFront、Elastic Load Balancing、Amazon API Gateway などの ACM 統合サービスで使われている、パブリック証明書の更新とデプロイを管理します。プライベート証明書 – プライベート証明書の管理を ACM に委任するよう選択できます。この方法を使うと、ACM は、Amazon CloudFront、Elastic Load Balancing、Amazon API Gateway などの ACM 統合サービスで使われているプライベート証明書を、自動的に更新しデプロイします。これらの証明書は、AWS マネジメントコンソール、API、コマンドラインインターフェース (CLI) を使用して、簡単にデプロイできます。プライベート証明書を ACM からエクスポートして、EC2 インスタンス、コンテナ、オンプレミスサーバー、IoT デバイスで使用します。AWS プライベート CA は、これらの証明書を自動的に更新し、更新完了時に Amazon CloudWatch 通知を送信します。クライアント側コードを書いて、更新された証明書とプライベートキーをダウンロードし、お使いのアプリケーションでデプロイできます。インポートされた証明書 – Amazon CloudFront、Elastic Load Balancing、Amazon API Gateway でサードパーティーの証明書を使用する必要がある場合は、AWS マネジメントコンソール、AWS CLI、ACM API を使って証明書を ACM にインポートできます。ACM は、インポートされた証明書を更新することはできませんが、更新プロセスの管理をサポートします。インポートした証明書について、有効期限の監視と期限切れ前の更新は、ご自身で行ってください。 ACM CloudWatch メトリクスを使用して、インポートされた証明書の有効期限をモニタリングし、期限切れが近い証明書を置き換えるために新しいサードパーティーの証明書をインポートできます。

ACM の使用を開始するにはどうすればよいですか?

ACM の使用を開始するには、AWS マネジメントコンソールの [Certificate Manager] を開いてウィザードを実行し、SSL/TLS 証明書をリクエストします。プライベート CA が作成済みの場合は、パブリックとプライベートのどちらの証明書が必要かを選択し、サイト名を入力します。証明書リクエストに AWS CLI や AWS API を使用することもできます。証明書発行後、ACM に統合された他の AWS のサービスで使用できます。各統合サービスについて、AWS マネジメントコンソールのドロップダウンリストから、必要な SSL/TLS 証明書を選択するだけです。または、AWS CLI コマンドを実行するか AWS API を呼び出して、リソースに証明書を関連付けることもできます。その後、統合サービスが、選択したリソースに証明書をデプロイします。 ACM が提供する証明書のリクエストと使用に関する詳細については、「 ACM ユーザーガイド」をご覧ください。プライベート証明書は、ACM 統合サービスのほか、EC2 インスタンス、ECS コンテナ、または任意の場所で使用できるようにエクスポートすることができます。

ACM 証明書は、どの AWS サービスで使用できますか?

• Elastic Load Balancing – Elastic Load Balancing ドキュメントをご覧ください。 • Amazon CloudFront – CloudFront ドキュメントをご覧ください。 • Amazon API Gateway – API Gateway ドキュメントをご覧ください。 • AWS CloudFormation – 現時点では、ACM 発行のパブリック証明書およびプライベート証明書のみをサポートしています。 AWS CloudFormation ドキュメントをご覧ください。 • AWS Elastic Beanstalk – AWS Elastic Beanstalk ドキュメントをご覧ください。 • AWS Nitro Enclaves – AWS Nitro Enclaves ドキュメントをご覧ください。

ACM はどのリージョンで利用できますか?

現在 AWS サービスを利用できるリージョンについては、 AWS グローバルインフラストラクチャのページにアクセスしてください。Amazon CloudFront で ACM 証明書を使用するには、米国東部 (バージニア北部) リージョンでリクエストまたはインポートする必要があります。CloudFront ディストリビューションに関連付けられたこのリージョンでの ACM の証明書は、お客様のディストリビューションに設定されたすべての地理的場所に配信されます。

ACM が管理する証明書のタイプにはどのようなものがありますか?

ACM は、パブリック証明書、プライベート証明書、インポートされた証明書を管理します。ACM の機能については、証明書の発行と管理のドキュメントを参照してください。

ACM は複数のドメイン名を含む証明書を提供できますか?

はい。各証明書には少なくとも 1 つのドメイン名が含まれている必要がありますが、必要な場合はさらにドメイン名を追加できます。例えば、両方のドメイン名でサイトにアクセスできるなら、"www.example.com" の証明書に "www.example.net" というドメイン名を追加できます。証明書リクエストに含まれるドメイン名すべてを所有または制御している必要があります。

ワイルドカードドメイン名とは何ですか?

ワイルドカードドメイン名のワイルドカードは、ファーストレベルサブドメインまたはドメインのホスト名に一致します。ファーストレベルサブドメインは単一のドメイン名ラベルで、ピリオド (ドット) は含みません。例えば、*.example.com というドメイン名を使用すると、www.example.com、images.example.com、また .example.com で終わるその他あらゆるホスト名またはファーストレベルサブドメインを保護できます。詳細については、「 ACM ユーザーガイド」をご覧ください。

ACM 証明書の有効期間はどれ程度ですか?

ACM で発行された証明書は 13 か月間 (395 日間) 有効です。プライベート CA から直接プライベート証明書を発行し、証明書管理に ACM を使わずにキーと証明書を管理した場合は、任意の有効期間を選択できます。これは絶対終了日でも、日、月、年で指定する現時点からの相対時間でも構いません。

ACM 発行証明書はどのアルゴリズムを使用しますか?

ACM で発行されるアルゴリズムは、デフォルトで RSA キーを 2048 ビットモジュールと SHA-256 で使用します。さらに、楕円曲線デジタル署名アルゴリズム (ECDSA) 証明書は、P-256 または P-384 のいずれかをリクエストすることができます。アルゴリズムの詳細については、「 ACM ユーザーガイド」をご覧ください。

証明書を取り消すにはどうすればよいですか?

AWS サポートセンターにアクセスしてサポートケースを作成することで、パブリック証明書の取り消しを ACM にリクエストできます。AWS プライベート CA で発行したプライベート証明書を取り消すには、 AWS プライベート CA ユーザーガイドをご覧ください。

複数の AWS リージョンで同じ ACM 証明書を使用できますか?

いいえ。ACM 証明書は、使用するリソースと同じリージョンにある必要があります。グローバルサービスである Amazon CloudFront は唯一の例外で、米国東部 (バージニア北部) 地域の証明書を必要とします。CloudFront ディストリビューションに関連付けられたこのリージョンでの ACM の証明書は、お客様のディストリビューションに設定されたすべての地理的場所に配信されます。

Amazon EC2 インスタンスや自分のサーバーで証明書を使用できますか?

プライベート CA で発行されたプライベート証明書は、EC2 インスタンス、コンテナ、ご自身のサーバーでお使いいただけます。現時点では、パブリック証明書は特定の AWS のサービス (AWS Nitro Enclaves など) に限り、お使いいただけます。 ACM のサービスの統合をご覧ください。

ACM では、ドメイン名に各地の言語の文字 (国際化ドメイン名 (IDN)) を使用できますか?

ACM では、ドメイン名に Unicode でエンコードされた各地の言語の文字を使用することができませんが、ASCII でエンコードされた各地の言語の文字を使用することはできます。

ACM で使用できるドメイン名ラベル形式はどれですか?

ACM でドメイン名に使用できる文字形式は、UTF-8 でエンコードされた ASCII のみです。一般に Punycode と呼ばれる "xn–" が付くラベルも使用できます。ACM では、ドメイン名に Unicode 入力 (U ラベル) を使用することはできません。

サードパーティーの証明書をインポートして、AWS サービスで使用できますか?

はい。Amazon CloudFront や Elastic Load Balancing、Amazon API Gateway でサードパーティの証明書を使用する必要がある場合は、AWS マネジメントコンソール、AWS CLI、ACM API を使って証明書を ACM にインポートできます。インポートされた証明書の更新プロセスは、ACM で管理されません。AWS マネジメントコンソールを使ってインポートされた証明書の有効期限をモニタリングし、新しいサードパーティーの証明書をインポートして、期限が切れるものと置き換えられます。

パブリック証明書とは何ですか?

パブリック、プライベート両方の証明書は、ネットワークでリソースを特定し、これらのリソース間での通信を安全にするのに役立ちます。パブリック証明書はインターネット上のリソースを特定します。

ACM はどのような種類のパブリック証明書を提供しますか?

ACM で提供されるのは、SSL/TLS の終端となるウェブサイトやアプリケーションで使用する、ドメイン検証済み (DV) パブリック証明書です。ACM 証明書の詳細については、「 Certificate Characteristics 」をご覧ください。

ACM パブリック証明書は、ブラウザ、オペレーティングシステム、モバイルデバイスによって信頼されますか?

ACM パブリック証明書は、最新のブラウザ、オペレーティングシステム、モバイルデバイスのほとんどで信頼されています。ACM により提供される証明書は、Windows XP SP3 以降、Java 6 以降を含む、99% のブラウザとオペレーティングシステムで利用されています。

私のブラウザが ACM パブリック証明書を信頼していることを確認するにはどうすればよいですか?

ACM 証明書を使用して SSL/TLS 経由で (例えば HTTPS を使用して) サイトに接続した場合、ACM 証明書を信頼するのブラウザの中にはロックアイコンが表示され、証明書の警告は表示されないものがあります。 ACM のパブリック証明書は、Amazon の認証機関 (CA) で検証されます。Amazon Root CA 1、Amazon Root CA 2、Amazon Root CA 3、Amazon Root CA 4、Starfield サービスルート認証機関証明書 - G2 を含むブラウザ、アプリケーション、OS では、ACM 証明書が信頼されます。ルート CA の詳細については、 Amazon Trust Services Repository にアクセスしてください。

Amazon のパブリック証明書の発行に関するポリシーと慣行はどこに記載されていますか?

Amazon Trust Services Certificate Policies と Amazon Trust Services Certification Practices のドキュメントで説明されています。最新バージョンについては、 Amazon Trust Services リポジトリをご覧ください。

www.example.com 向けの証明書は、example.com でも機能しますか?

いいえ。www.example.com と example.com の両方のドメイン名によってサイトが参照されるようにするには、両方のドメイン名が含まれる証明書をリクエストする必要があります。

ACM は組織がコンプライアンスの要件を満たすのにどのように役立ちますか?

ACM を使用すると、PCI、FedRAMP、HIPAA といった多くのコンプライアンスプログラムで一般的な要件である安全な接続を促進しやすくなり、企業が規制要件に準拠するのに役立ちます。コンプライアンスに関する具体的な情報については、http://aws.amazon.com/compliance を参照してください。

ACM ではサービスレベルアグリーメント (SLA) はありますか?

いいえ。ACM には SLA はありません。

ACM はウェブサイトで表示できるセキュアサイトシールやトラストロゴを提供しますか?

いいえ。サイトシールが必要な場合は、サードパーティベンダーから入手できます。サイトのセキュリティやビジネス慣行またはその両方を評価し、それについて証言してくれるベンダーを選択するようお勧めします。

Amazon は、自社の商標やロゴが、証明書バッジ、サイトシール、またはトラストロゴとして使用されることを許可していますか?

いいえ。このようなシールやバッジは、ACM サービスを使用していないサイトにコピーされたり、虚偽の信頼を確立するため不当に使用されたりするおそれがあります。Amazon のお客様と評価を保護するため、このような方法でロゴを使用することは禁止されています。

ACM からパブリック証明書をプロビジョニングするにはどうすればよいですか?

AWS マネジメントコンソール、AWS CLI、ACM API/SDK を使用できます。AWS マネジメントコンソールを使用するには、[Certificate Manager] を開いて [証明書のリクエスト] を選択し、[パブリック証明書のリクエスト] を選択し、サイトのドメイン名を入力してから、画面の指示に沿ってリクエストを実行します。サイトにアクセスする際に使用できる別のドメイン名がある場合は、リクエストにそのドメイン名を追加できます。リクエストされた証明書のドメイン名を所有または管理していることが確認されると、ACM で証明書を発行できます。証明書をリクエストするとき、DNS 検証か、E メール検証を選択できます。DNS 検証では、ドメインのパブリック DNS 設定にレコードを書き込み、そのドメインを所有または管理していることを立証します。DNS 検証を使用してドメインの管理を立証した後、レコードがあって証明書が使用中である限り、さらに証明書を得て ACM で既存の証明書を更新できます。ドメインの管理を再度検証する必要はありません。DNS 検証の代わりに E メール検証を選択する場合は、証明書発行の承認をリクエストするドメイン所有者に E メールが送信されます。リクエストした各ドメインを所有または管理していることが検証された後、証明書が発行され、Elastic Load Balancing や Amazon CloudFront といった他の AWS のサービスでプロビジョニングできるようになります。詳細については、 ACM のドキュメントをご覧ください。

ACM がパブリック証明書についてドメインの所有権を検証するのはなぜですか?

証明書は、サイトのアイデンティティ、ブラウザやアプリケーションとサイトとの間の接続を確立するのに使用します。公的に信頼できる証明書を発行するため、Amazon では証明書をリクエストする人が、リクエストしている証明書のドメイン名を管理していることを検証する必要があります。

ACM はドメインについてのパブリック証明書を発行する前に、どのようにドメインの所有権を検証しますか?

証明書発行の前に、ACM はリクエストされた証明書のドメイン名が所有または管理されているかを検証します。証明書をリクエストするとき、DNS 検証か、E メール検証を選択できます。DNS 検証では、ドメインの所有権は CNAME レコードを DNS 設定に追加することで検証できます。詳細については、「 DNS での検証」をご覧ください。ドメインに対してパブリック DNS 設定にレコードを書き込めない場合は、DNS 検証に代わって E メール検証を使用できます。E メール検証では、ACM は登録されたドメインの所有者に E メールを送り、所有者または権限を受けた代理人が、証明書のリクエスト内にある各ドメインの発行を承認します。詳細については、「 E メールでの検証」をご覧ください。

自分のパブリック証明書には、DNS と E メールのいずれの検証方法を使用すべきですか?

ドメインに対して DNS 設定の変更ができる場合は、DNS 検証をお勧めします。ACM からの検証 E メールを受け取れないお客様と、WHOIS でドメイン所有者のメールアドレスを公開していないドメインレジストラーを使用しているお客様は、DNS 検証を使用してください。DNS 設定を変更できない場合、E メールでの検証を使ってください。

既存のパブリック証明書を E メール検証から DNS 検証に変更できますか?

できません。しかし、無料の証明書を新たに ACM からリクエストして、この新しいものに対して DNS での検証を選択できます。

パブリック証明書の発行にはどの程度の時間がかかりますか?

証明書のリクエスト中にあるすべてのドメイン名が検証された後に証明書を発行する時間は、数時間以上になることがあります。

パブリック証明書をリクエストすると、どうなりますか?

ACM では、リクエストの際に選ばれた DNS または E メール検証方法に従って、証明書のリクエストにある各ドメイン名の所有権や管理していることの検証を試みます。ACM がドメインの所有または管理を検証している間、証明書リクエストのステータスは Pending validation となります。検証プロセスの詳細については、以下の「 DNS での検証」と「 E メールでの検証」のセクションをご覧ください。証明書のリクエスト内にあるすべてのドメイン名が検証された後、証明書を発行する時間は、数時間以上になることがあります。証明書が発行されると、証明書リクエストのステータスは Issued に変わり、ACM に統合されている他の AWS サービスで使用開始できます。

ACM はパブリック証明書を発行する前に、DNS Certificate Authority Authorization (CAA) レコードを確認しますか?

はい。DNS Certificate Authority Authorization (CAA) レコードによって、ドメイン所有者は、ドメインに証明書を発行する権限を持つ認証機関を特定できます。ACM 証明書をリクエストすると、AWS Certificate Manager によってドメインの DNS ゾーン設定内の CAA レコードが検索されます。CAA レコードが存在しない場合は、Amazon がドメインに証明書を発行できます。ほとんどのお客様はこのカテゴリに属しています。お客様の DNS 設定に CAA レコードが存在する場合、Amazon でドメインに証明書を発行する前に、そのレコードが amazon.com、amazontrust.com、awstrust.com、または amazonaws.com のいずれかの CA を指定している必要があります。詳細については、「AWS Certificate Manager ユーザーガイド」の「 Configure a CAA Record 」または「 Troubleshooting CAA Problems 」をご覧ください。

ACM はドメインの検証について他の方法をサポートしていますか?

現時点では使用できません。

DNS 検証とは何ですか?

DNS 検証では、ドメインの所有権は CNAME レコードを DNS 設定に追加することで検証できます。DNS 検証によって、ACM からパブリック SSL/TLS 証明書をリクエストする際にドメインの所有を立証しやすくなります。

DNS 検証の利点は何ですか?

DNS 検証は、ドメインの所有または管理の検証を簡単にすることで、SSL/TLS 証明書を得られるようにします。DNS 検証では、DNS 設定に CNAME レコードを書き込むだけで、ドメイン名の管理を立証できます。DNS 検証プロセスを簡単にするため、Amazon Route 53 で DNS レコードを管理している場合には、ACM 管理コンソールで DNS レコードを設定できます。この場合は、マウスを数回クリックするだけでお使いのドメイン名の管理を立証できます。CNAME レコードの設定後、DNS 検証レコードがある限り、ACM は自動的に使用中の (AWS リソースに関連付けられている) 証明書を更新します。更新は完全に自動化されており、何も触る必要はありません。

どのようなユーザーが DNS 検証を使用すべきですか?

ACM に証明書をリクエストし、リクエストしているドメインに対して DNS 設定の変更ができる人は DNS での検証を検討してください。

ACM は引き続き E メール検証をサポートしていますか?

はい。ACM では、DNS 設定の変更ができないお客様のために E メールでの検証にも対応しています。

ドメインを検証するために、DNS 設定にどのレコードを追加する必要がありますか?

検証したいドメインに CNAME レコードを追加してください。例えば、www.example.com の名前を検証するには、example.com に対するゾーンに CNAME レコードを追加します。追加するレコードは、ドメインと AWS アカウントに対して特別に ACM が生成した、ユニークなトークンを含みます。CNAME レコードの 2 箇所 (名前とラベル) は ACM から得られます。詳細については、「 ACM ユーザーガイド」をご覧ください。

セキュリティ、アイデンティティ、コンプライアンス›
AWS Certificate Manager›
よくある質問

AWS Certificate Manager よくある質問

次のステップ

AWS ソリューション

AWS Private Certificate Authority の詳細はこちら

ページにアクセス

Console

AWS マネジメントコンソールで AWS Certificate Manager を利用した構築を開始する

コンソールで構築を開始する

AWS Certificate Manager よくある質問

ページトピック

次のステップ

AWS Private Certificate Authority の詳細はこちら

AWS マネジメントコンソールで AWS Certificate Manager を利用した構築を開始する

Internet Explorer のサポートの終了