こんにちは、技術4課の多田です。

時期は梅雨ですが、もう夏のような暑い日々が続いていますね。。こう言う気温差にやられて体調を崩さないように気をつけたいものです。

さて、今回はAWS Certificate Manager(以下、ACM)の更新の話題です。

ACMのメリットの一つに証明書の有効期限を自動更新する機能がありますが、高橋のブログにもありますように自動更新ができない条件があります。

AWS Certificate Manager(ACM)の証明書更新の注意ポイント

私が担当しているお客様にて手動更新を行う機会がありましたので、その時の対応を今回の記事にしたいと思います。

はじめに

ACMでは、以下のように証明書の有効期限の更新を行っているのですが、このプロセスに合致しない場合に手動更新が必要となります。

証明書内のドメインはそれぞれ対応する検証ドメインを持つ
ACM は自動更新時に検証ドメインに HTTPS リクエストを送信する
HTTPS リクエストに対し、更新対象の証明書が 1 つ以上返された場合にはドメインの検証を完了する
証明書に含まれる全てのドメインの検証が完了すると、自動更新が行われる

今回この要件に当てはまらなかったため手動更新となったのですが、プロセス1にある「証明書内のドメインが対応する検証ドメイン」に合致していませんでした。

というのもACMの自動更新の対象である検証用ドメインは既に決まっており、以下のような対応表となります。
この対応表についてはドキュメントにも解説がありますので、合わせてご覧ください。
手動更新となったのは、下記でいう「*.example.com」というワイルドカードで取得したACMで、この証明書ドメインは、「example.com」や「www.example.com」といったドメインを使用していなかったため、手動更新が必要になりました。

証明書のドメイン	検証用ドメイン
example.com	example.com,www.example.com
www.example.com	www.example.com,example.com
*.example.com	example.com,www.example.com
subdomain.example.com	subdomain.example.com,www.subdomain.example.com
www.subdomain.example.com	www.subdomain.example.com,subdomain.example.com
*.subdomain.example.com	subdomain.example.com,www.subdomain.example.com

手動更新の通知

手動更新の有無については、AWS Personal Health Dashboard(以下、PHD)による通知とメール通知の2つの手段で知ることが可能ですが、今回はPHDで知ることができました。

PHDのページは、AWSマネジメントコンソールにログイン後、画面上部の鈴マークを押すと3つの通知が表示されます。この中でいう、「予定された変更」にて通知がありました。