メインコンテンツへスキップ

Rapid-SSL.jp ACMEクレデンシャル等について

更新

Rapid-SSL.JPでは、SSL/TLSサーバー証明書の有効期限短縮化への対応として、ACME V2プロトコルによる証明書発行自動化を進めています。　ここでは、お客様ご利用のACMEクライアントへ設定する必要があるACMEクレデンシャルについて注意事項を含め解説します。（ご利用が一番多いと思われるcertbotを中心に解説します）

お客様のACMEアカウント及び製品（OV,EVの場合はさらに組織）の組み合わせによって EAB KIDとEAB HMAC Keyペアがアサインされます。
これらの情報は、ACMEユーザーホームページ内オーダー詳細ページにて取得可能です。
お客様のACMEクライアントソフトへはEAB KIDとEAB HMAC Keyペア、SERVER URLやCN, SAN等を設定する必要があります。


＊＊注意＊＊

  1. Certbot等、複数のアカウントの使用を想定していないクライアントでは、「--config-dir」等のオプションを使用して使用するアカウント（EAB KID）を分離する必要があります。
     RapidSSL STANDARD ACME用に発行されたアカウント（EAB KID）ではRapidSSL WILDCARD ACMEの発行はできません（エラー例：Unable to process new order request.）。
     Certbotでは、--config-dir ABC --eab-kid 123 で一度設定ファイルができると、以降、--config-dir ABC --eab-kid 987 としてもEAB KIDは無視され EAB KID=123 として扱われます。
     これを回避するため、--config-dir ABC --eab-kid 123　（RapidSSL STANDARD用）、--config-dir XYZ --eab-kid 987　（RapidSSL WILDCARD用）等と設定ディレクトリーを分離するようにして下さい。
     同一Certbot上で他社のACMEクレデンシャルを使用する場合も同様です。
     また、同時に --work-dir や --logs-dir も合わせて変更・指定することをお勧めいたします。
     新規発行以外更新時にも指定が必要です。

    例：certbot renew --config-dir /path/to/config
     
  2. EAB KIDを初めて使用する際は、規約同意が必要です。
     TOSが表示されますので以下のオプションは付加しないでください。（２回目以降は当該オプションの使用は任意です）
     　-n, --non-interactive, --noninteractive

＊＊＊＊＊＊


オーダー詳細ページには、オーダーの状況に応じて以下の４通りのクレデンシャルが表示されます。
（表示される物は、オーダーの状況に応じて異なります）

  • 初回発行用
  • オーダー更新用
  • 再発行用
  • 全自動用

EAB KIDとEAB HMAC Keyペアは４通りとも同じです。
異なるのはSERVER URLのみで、この指定方法により挙動を選択することができます。

  1.  SERVER URLに「?action=****」と付加し、Digicertサーバーへ証明書の発行に関して特定の動作を指示する方法

    　上記の、全自動用以外の物が該当します。
    　同製品、同CN, SANで複数の証明書を発行したい場合やオーダーするために社内稟議が必要な場合など証明書発行の挙動を制御したいときに便利です。
    　
    1. 初回発行用
       URLの最後に「?action=enroll」が付くことにより、同内容の既存オーダーの有無にかかわらず必ず新規発行されます。
      　
    2. 再発行用
       URLの最後に「?action=reissue&orderId={オーダーID}」が付くことにより、指定のオーダー分の再発行が行われます。
       この場合、オーダーの有効期限が間近でも自動的にオーダー更新はされません。 
       
    3. オーダー更新用
       URLの最後に「?action=renew&orderId={オーダーID}」が付くことにより、指定のオーダー分の更新が行われます。
       既存オーダーをACMEユーザーホームページより更新していただくと更新オーダーが新しいオーダーとして登録されます。
       更新オーダーの詳細ページには「初回発行用」ではなく「オーダー更新用」のクレデンシャルが表示されます。

      　注意事項：

       初回発行後、オーダー更新前、オーダー更新後のタイミングでACMEクライアントの設定ファイル内のserver部分を書き換えるか、更新コマンド（例：certbot renew ）投入時にオプションとして指定するなどの処理が必要です。
       

  2.  SERVER URLに「?action=****」を付加しない方法

    上記の、全自動用が該当します。
    Digicert側で証明書発行リクエストを自動的に判定します。
     

    1. 自動判定新規オーダー（enroll）
      条件：同じEAB KID、同じ製品、同じCN、同じSANで既存オーダーがない 
       
    2. 自動判定再発行（reissue）
      条件：同じEAB KID、同じ製品、同じCN、同じSANで既存オーダーが有りオーダー更新期間前（オーダー有効期限の91日前以前）
      注意：certbotの場合、-d 等で指定するFQDNの順序が一致する必要があります。最初の物がCN, 二つ目以降がSANとなります。順序が一致しない場合は新規として扱われます。
       
    3. 自動判定オーダー更新（renew, 更新による新規オーダー作成）
      条件：同じEAB KID、同じ製品、同じCN、同じSANで既存オーダーが有りオーダー更新期間中（オーダー有効期限の0～90日前）
      注意：更新で新しいオーダーが作成され「【Rapid-SSL ACME】ご注文の控えと対応依頼」というメールがアカウント所有者様宛送られます。
          指定された期限までにACMEユーザーホームページよりお支払い等の対応をお願いいたします。
          お支払いには従来と同じくクレジットカード・銀行振込がご利用頂けます。

　簡単にまとめると以下の様になります。

  • 初回の発行要求：新規オーダー
  • オーダー更新期間外：既存オーダーからの再発行

  • オーダー有効期限の90日前以降：更新による新規オーダー

    　複数のオーダーが検出された場合は、有効期限残が一番長い物が対象として扱われます。
    　

＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊
ACMEクライアントご使用時の注意
＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊

  • DCVにはHTTP-01（Port:80）, DNS-01共にMPIC（Multi-Perspective Issuance Corroboration：複数視点発行確認）が行われます。
    世界中の複数IPアドレスからアクセスするため、アクセス制限はかけないでください。
    https://knowledge.digicert.com/jp/solution/using-mpic-to-verify-domain-control
  • CAA（Certification Authority Authorization）を設定されている場合は、証明書発行要求開始前に「digicert.com」がCAAレコードに登録済みである事をご確認ください。
  • Certbot等、複数のアカウントの使用を想定していないクライアントの場合、上記の＊＊注意＊＊をご参照ください。
  • 何らかの理由でエラーが表示され証明書が発行されなかった場合は、Digicert側では処理保留となり再受付ができない状態になっています。
    この場合はお手数ですが弊社へ「保留解除」をご依頼下さい。（再発行中のエラーに関しては、ACMEユーザーホームページ内オーダー詳細ページから「発行エラーリセット」で保留解除することができます）
    エラー例：
    　All authorizations were not finalized by the CA.（主にDCV認証失敗）
    　Unable to process new order request.（STANDARD用のEAB KIDでワイルドカードを発行しようとした等）
  • 再発行・更新とも、Digicert社から自動的に行う物ではなく、お客様管理下のACMEクライアント（certbot等）からDigicert社に対して証明書発行要求を行って実施します。
  • ACME ARI（ACME Renewal Information）に対応しています。（現在30日）

 

Powered by Zendesk