翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ACME ドメインの検証

ACME ドメイン検証リソースは、ACME エンドポイントが証明書を発行できるドメインを事前に承認します。標準の ACM ドメイン検証 (証明書リクエストの一部として設定) とは異なり、ACME ドメイン検証は PKI 管理者が事前に設定する永続的リソースです。この分離により、アプリケーション所有者はドメイン検証を自分で実行しなくても証明書をリクエストできます。

各ドメイン検証には、DNS の CNAME レコードが必要です。これは、標準の ACM DNS 検証に使用されるのと同じタイプの CNAME レコードです。ただし、ACME ドメインの検証は個々のエンドポイントに固有です。同じドメインであっても、エンドポイントごとに個別の CNAME レコードが必要です。

ACME ドメイン検証と標準 ACM 検証の関係

どちらのメカニズムも同じ CNAME レコード形式と目的を使用します。つまり、「」で説明されているように、DNS に特定のレコードを配置してドメインの所有権を証明しますAWS Certificate Manager DNS 検証。いずれの場合も、CNAME は継続的なドメイン検証を ACM に委任します。レコードは ACM が管理するターゲットを指すため、ACM はユーザーからの追加のアクションなしで、時間の経過とともにドメインの所有権を再検証できます。これにより、ACM は証明書を自動的に更新できます。次のリストでは、主な違いについて説明します。

ドメイン検証スコープ

ドメイン検証を作成するときは、この検証を使用して発行できる証明書を制御するスコープを設定します。スコープには 3 つの独立した設定があります。apex ドメインとサブドメインの定義については、「」を参照してくださいドメイン名。

これらの設定を組み合わせることができます。次の表は、スコープの組み合わせの例を示しています。

ステータスライフサイクル

ドメイン検証を作成すると、ACM は最大 72 時間 CNAME レコードの検証を試みます。この期間内にレコードが検出されない場合、ドメイン検証は INVALIDステータスに移行します。ドメイン検証を作成したら、CNAME レコードをすぐにプロビジョニングしてください。

ACME ドメイン検証は、次のステータスに移行します。

失敗の理由

ドメイン検証の作成

ACME ドメイン検証を作成するには、ACM コンソールまたは AWS CLI を使用します。

ドメイン検証を作成するには (コンソール)

ドメイン検証を作成するには (AWS CLI)

次のコマンドを実行して、ACME ドメイン検証を作成します。

aws acm create-acme-domain-validation \
    --acme-endpoint-arn arn:aws:acm:region:111122223333:acme-endpoint/00000000-0000-0000-0000-000000000000 \
    --domain-name example.com \
    --prevalidation-options '{
        "DnsPrevalidation": {
            "DomainScope": {
                "ExactDomain": "ENABLED",
                "Subdomains": "ENABLED",
                "Wildcards": "DISABLED"
            },
            "HostedZoneId": "Z1234567890"
        }
    }'

ステータスを確認して CNAME の詳細を取得するには、次のコマンドを実行します。

aws acm describe-acme-domain-validation \
    --acme-domain-validation-arn arn:aws:acm:region:111122223333:acme-endpoint/00000000-0000-0000-0000-000000000000/acme-domain-validation/11111111-1111-1111-1111-111111111111

ドメイン検証の管理

ACME ドメインの検証では、次の管理オペレーションを実行できます。