ACMEに関するFAQ

GlobalSign ACMEサービスはサブドメインをサポートしていますか？ 

はい、DNS認証またはメール認証を使用することで、GlobalSign ACMEサーバーはサブドメインの証明書を発行できます。サブドメインの証明書をリクエストし、親ドメインが別の証明書リクエストですでに認証されている場合は、サブドメインのドメイン認証をせずにサブドメイン証明書が発行されます

例：example.com を認証することで、www.example.com等の異なるサブドメインの証明書が発行可能です。

DNS認証は、ACMEクライアントからも直接ご利用いただけます。また、AtlasポータルからDNS認証またはメール認証を使用して親ドメインを認証することもできます。その結果作成されたドメインクレームは、ACMEサーバーによって承認されます。 

GlobalSign ACME サービスはワイルドカード証明書をサポートしていますか? 

はい、DNSまたは メール認証を使用することで、GlobalSign ACME サーバーはワイルドカードの証明書を発行できます。

DNS認証は、ACMEクライアントからも直接ご利用いただけます。また、AtlasポータルからDNSまたはメール認証を使用して親ドメインを認証することもできます。その結果作成されたドメインクレームは、ACMEサーバーによって承認されます。

ドメインの検証期間はどのくらいですか?

ドメイン認証後は、そのSANで最大199日間、証明書を発行し続けることができます。この期間は、CA/ブラウザフォーラムの要件により変更される可能性がありますのでご注意ください。

GlobalSign ACME サービスと連携する ACME クライアントは何ですか?

以下の ACME クライアントは、クライアント構成をほとんど変更せずに、GlobalSign ACME サービスとシームレスに連携できることを確認しております。

 

ACME MACとは何ですか?

ACME MACは、ACMEクライアントとGlobalSign ACMEサーバー間の共有秘密鍵です。これにより、特定のACMEクライアント公開鍵をAtlasアカウント（より正確には、Atlasアカウント内のAPI認証情報）にバインドできます。この操作は外部アカウントバインディング（EAB）と呼ばれます。ACME MACはこの目的でのみ使用され、他のACMEクライアントリクエストには必要ありません。 

AtlasポータルでACME MACを生成したら、安全な場所にコピーして保存してください。当社でキーを保存することはなく、Atlasポータルで再度確認することもできないため、この操作を行えるのはこれが唯一の機会となります。

ACME MACの不正使用や漏洩のリスクを軽減するため、各ACME MACは最大30日間、または最大1000回まで使用できます。有効期限と残り使用回数は、AtlasポータルのAPI認証情報カードに表示されます。 

ACME MACが誤って開示または侵害された場合、または有効期限が切れたり使用回数が上限に達したりした場合は、Atlas ポータルから新しい ACME MACを生成できます。これにより元のACME MACは上書きされますが、元の ACME MACを使用していた ACME クライアントは通常どおりリクエストを送信し続けます。元の ACME MACが侵害された場合は、そのACME MACを使用していた ACME クライアントに対して、新しい ACME MACで EAB を再度実行することを検討してください。  

影響を受けた​​​​​​​クライアントを無効にするには、Atlas ポータルから新しい API認証情報 とACME MACを取得し、新しい認証情報で ACME クライアントを再バインドした後、Atlas ポータルで元の認証情報を失効させる必要があります。 

どのようなドメイン認証方法がサポートされていますか?

現在、ページ認証(http-01) と DNS認証(dns-01) 、メール認証がサポートされています。

ACME クライアントで発行している証明書を最も効果的に表示および管理するにはどうすればよいですか?

ACMEは、パブリックなTLS証明書を自動的に更新・展開するように設計されています。これは、パブリックなTLS証明書の有効期間​​​​​​​が短縮される中で特に重要です。ACMEクライアントから、基本的なライフサイクル管理機能をすべて実行できます。

GlobalSign Atlasポータルでは、発行済みの証明書やACME経由で認証済みのドメインの確認と管理も可能です。Atlasは、証明書とドメイン、そしてACME認証情報やその他の重要なアカウント情報を一元管理します。

トラブルシューティング

API認証情報を紛失しました。どうすればよいですか？

Atlasポータルで「アクセス認証情報」>「API認証情報」に移動し、認証情報カードでAPI認証情報を見つけます。ACME MACは保存されませんので、紛失した場合はAtlasポータルで新しいACME MACをリクエストする必要があります

証明書を発行したりドメインを認証しようとするとエラーが発生します。どうすればいいですか？

問題の解決をお手伝いできるよう、 GlobalSignサポートに受信したエラー メッセージとデバッグ ログとあわせてお問い合わせください。

証明書リクエストのCSRに関するエラーが発生しました。どうすればいいですか？

GlobalSignは、SHA-256以上の署名アルゴリズムで署名されたCSRのみを受け入れます。証明書のリクエスト時に、署名アルゴリズムに問題があると思われるエラーが発生した場合は、ACMEクライアントの設定ファイルを変更してSHA-256以上の署名アルゴリズムを使用するように指定するか、独自のCSRを生成してクライアントにそれを使用するように指示する必要がある可能性があります。

メールアドレスの認証

GlobalSignは、AtlasポータルとAPIを介したメールドメインの認証方法をサポートしています。この方法は、ACME自動化ワークフローに依存できないエンドポイントのドメインの認証に使用できます。このように認証されたドメインは、ACMEクライアントを介して証明書を発行するために使用できます。

APIを使用してメール経由でドメインを認証するには、  Atlas API （英語のみ）ドキュメントを参照してください。
 
ポータルを使用する： 

1. Atlasポータルにログインし、  左側のナビゲーションメニューから 「証明書」＞「ドメイン​​​​​​」を選択してください。
2. 「+ 新規ドメイン」をクリックしてください。 
3. TLSサービスに関連付けられているプロファイルを選択してください。 
4. FQDN（完全修飾ドメイン名）を入力し、  「保存する」をクリックしてください。 
5. すぐにドメインを認証するか、後で認証するかを選択できます。すぐに認証する場合は​​​​​​​「ドメインの認証」をクリックし、表示されるウィンドウで「メール認証」を選択し、画面の指示に従って認証を完了してください。