SSLサブスクリプションに関するFAQ
Ｑ. SSLサブスクリプションとはなんですか？
SSLサブスクリプションを使用すると、必要な証明書に使用できる一意のSANを多数購入できます。
これは、開発目的やIOTデバイス向けに多くの一意の証明書を発行する可能性のある企業に最適です。見積もられた数までの一意のSANを、アクティブな(期限切れまたは失効していない)証明書に含めることができます。
Ｑ. なぜSSLサブスクリプションが必要なのですか?
TLSのお客様は、負荷分散、再発行、およびその他のアプリケーションのために同じFQDNに複数の証明書を発行したいと考えていますが、1つのSANに対してのみ課金されることを望んでいます。 1つのSSLサブスクリプションに複数のTLS製品(サービス)を含めることを許可します。
このモデルは、開発環境内で SANの入れ替わりが大きいお客様や、お客様のデモや試用目的 (サーバーを立ち上げて破棄し、同じSANまたは異なるSANで再度実行する) に適しています。
Ｑ. SSLサブスクリプションの購入方法を教えてください。
営業担当にお問い合わせください。
Ｑ. 一意のSANとしてカウントされるものは何ですか?
SSLサブスクリプションで指定されたすべてのサービスについて、有効期限が切れていない証明書と失効していない証明書内の一意の SAN の合計数がカウントされます。
・SAN：DnsName (英語)
・SAN：IPアドレス
・SAN：RFC822 (メールアドレス)
通常、クライアント証明書にのみ存在
・SAN：OtherName:UPN
通常、クライアント証明書にのみ存在
Ｑ. ワイルドカードSANライセンスとは何ですか？
ワイルドカードSANは、個別のSANとしてカウントされます。 通常、5つとしてカウントされますが、これはSSLサブスクリプションの見積もりの一部としてカスタマイズできます。
Ｑ. 一意のSANとしてカウントされるものは何ですか？
example.com と www.example.com は、2つの一意のSANとしてカウントされます。一意のSANの数を計算する際には、大文字と小文字を区別しないマッチングを行います。
例：WWW.example.com と www.example.com は1つのSANとしてカウントされます)。
Ｑ. SSLサブスクリプションに関して留意すべき点はありますか？
- 一意の各SANは、SSLサブスクリプションの1SANとしてカウントされます。
- 証明書の有効期限が切れるか失効すると、その証明書のSANはSSLサブスクリプションに戻されます。
- ワイルドカードSANは通常5つのSANとしてカウントされますが、これは見積もりごとに構成できます。
- 1つのライセンスを利用できる製品が複数ある場合があります。
- SSLサブスクリプションに含まれるSANの数が多いほど、割引額も大きくなるため、製品をバンドルするとコスト効率が高く、最大限の柔軟性が得られる可能性があります。
- アクティブなライセンス期間中に、より多くのSANが必要であることがわかった場合、ライセンスクォータが増加する可能性があります。
- SSLサブスクリプションの増額の価格は、アクティブなライセンスの価格に合わせて日割り計算されます。
- SSLサブスクリプションは、初期ライセンスの有効期限が切れる30日前 (または、一部の例外では、有効期限が切れた後) に更新できます。
- SSLサブスクリプションは、更新時に制限を増減できます。
- お客様の要件が変化したり、新しいTLS製品が発売されたりすると、既存のライセンスに新しい製品が追加される場合があります (同じまたはそれより低い階層または価格であると仮定します)。
Ｑ. どの製品にSSLサブスクリプションを付与できますか?
次の製品は、SSLサブスクリプションを通じて購入できます。
・TLS DV/OV
・イントラネットSSL DV/OV
・ACME DV/OV
Ｑ. SANをSSLサブスクリプション数に戻すために、証明書を取り消すにはどうすればよいですか?
SANライセンスの確認方法の【この証明書を失効させる】の項目を確認してください。
Ｑ. SSLサブスクリプションを作成する際の製品オプションについて教えてください。
SSLサブスクリプションの購入時に、次のオプションをカスタマイズできます。
・ワイルドカード対応
・ワイルドカード乗数 (デフォルトは5)
・ライセンスの最大有効期間
・キーの種類 (RSAとECCがデフォルトで含まれています)
Ｑ. 使用状況はどこで確認できますか?
SSLサブスクリプションの確認方法を確認してください。
Ｑ. SSLサブスクリプションの更新方法を教えてください。
アカウントマネージャーに連絡して、ニーズに応じて更新されたクォータを作成してください。 SSLサブスクリプションは、初期ライセンスの有効期限が切れる最大30日前(または一部の例外では有効期限後)に更新できます。更新時にライセンス制限を増減できます。
Ｑ. 証明書の有効期限が近づいているにもかかわらず、SSLサブスクリプションがまだアクティブまたは有効である場合はどうなりますか?
失効の場合と同様に、証明書の有効期限が切れると、証明書のすべてのSANが自動的にSSLサブスクリプション数に戻されます。
Q. SAN ライセンスの有効期間が切れた場合、証明書の発行はできなくなりますか？
現在の仕様上、SAN ライセンスの有効期限が切れた後も、証明書の新規発行はブロックされません。
ただし、以下の点にご注意ください。
| タイミング | 動作 |
|---|---|
| 有効期限切れ後 | 証明書の発行・利用は継続可能 |
| 有効期限の30日前 | 営業チームへ通知 |
| 有効期限切れから90日後 | GlobalSign がライセンス配下の全証明書を失効させる権利を有します（※現状実行実績はありません） |
注意：発行がブロックされない仕様は、お客様や営業担当が更新手続きを進める際の猶予を考慮したものです。なお、契約上は有効期限内でのご利用が前提となりますので、余裕をもって更新のお手続きをいただくようお願いいたします。
Q. ACME（Certbot）で証明書を発行する場合、複数の SSL サブスクリプション（SAN ライセンス）はどのように使い分けられますか？
ACME 利用時には、アカウント登録時に使用する EAB（External Account Binding）情報（KeyID / HMAC Key）が特定のサービスID（SRV-XXXX）に紐づいて発行されます。そのため、ACME アカウント登録時点で使用する SSL サブスクリプションが確定します。
Atlas における各要素の紐づきは以下の通りです。
サービスID（SRV-XXXX）
├── API Credential（API Key / HMAC Key）
├── ACME EAB（KeyID / HMAC Key）
└── SSL サブスクリプション（SAN ライセンス）
重要な注意事項
- 証明書発行・自動更新のたびに「空いているライセンス」へ自動的に振り分けられる仕組みではありません。
- 複数の SSL サブスクリプションを契約している場合でも、同一の EAB を使用している限り、常に同一の SSL サブスクリプションの SAN が消費されます。
- 10 ライセンスをまとめて購入した場合も、1 ライセンスずつ購入した場合も、同一サービスID として提供されている限り、ACME 利用上は 1 つのサブスクリプションとして扱われます。
複数サブスクリプションを使い分けたい場合
Atlasポータル（CSR 方式）での証明書申請では、申請時にサービスIDを選択できるため、複数のサブスクリプションを使い分けることが可能です。
ACME 利用時において SSL サブスクリプションをお客様単位・用途単位で分けて運用したい場合は、以下の構成をご検討ください。
- （前提条件）サービスIDがそれぞれ独立した形で SSL サブスクリプションを契約
- 1で取得したサービスIDごとに API Credential および EAB を発行
- 2で取得したEAB（サービスID）ごとにACME アカウントへ登録・運用
参考： 本 FAQ における「ライセンスID」は、個々の SAN ライセンスに割り振られる ID ではなく、紐づくサービスID（SRV-XXXX）を指しています。