21-domain.com ACME対応SSL 導入ガイド
ACME対応SSLの導入に必要な確認事項と参考手順をご案内します。

HOME / ACME対応SSL 申込 / 導入ガイド

はじめての方向け

ACME対応SSL 導入ガイド

ACMEは、証明書の取得・設置・更新を自動化する仕組みです。このページでは、申込後に届く接続情報を使って証明書を導入する際の確認事項と参考手順を整理しています。実際のインストール・設定作業は、お客様ご自身にてお願いいたします。

サポート範囲について

当社では、商品・お申し込みに関するご案内と、申込後に発行されるACME接続情報をご提供しております。サーバー環境ごとの導入作業につきましては、サポート対象外とさせていただいております。

当社からご案内する内容

商品・申込とACME接続情報

  • 商品内容とお申し込み方法
  • ACMEサーバーURL
  • EAB ID（KID）・EAB Key（HMAC Key）
お客様にお願いする作業

サーバー・DNSへの導入と運用

  • ACMEクライアントの選定・インストール・更新
  • サーバー、Webサーバー、DNS、権限の設定
  • 環境に合わせたコマンドの作成・実行・動作確認
  • 発行・自動更新に関する個別の原因調査

ご確認事項： このページのコマンドや手順は一般的な参考例であり、すべての環境での動作を保証するものではございません。作業前にバックアップをご用意のうえ、必要に応じてサーバー管理者または保守事業者へご相談ください。ACMEクライアントや証明書の個別インストール代行・設定サポートにつきましては、サポート対象外とさせていただいております。

まずは全体の流れを確認

  1. 申込・情報受領ACMEサーバーURLとEAB情報などを受け取ります。
  2. 認証方式を決定HTTP-01またはDNS-01を環境に合わせて選びます。
  3. クライアント導入Certbot、acme.shなどの対象サーバーへの導入は、お客様ご自身にてお願いいたします。
  4. 発行・設置ドメイン認証後、証明書をWebサーバへ反映します。
  5. 自動更新を確認更新処理とWebサーバの再読込まで動作確認します。

最初に決めること： ワイルドカード証明書を利用する場合はDNS-01を選びます。通常のFQDNで80番ポートを公開できる場合はHTTP-01も選択できます。

ACMEクライアントが認証局へ証明書を要求し、ドメイン認証、証明書発行、自動インストール、自動更新を行う仕組み
ACMEクライアントと認証局の間で、ドメイン認証から証明書の発行・更新までを自動化します。

認証方式を選ぶ

HTTP-01

Webサーバ上のファイルで認証

認証局が所定のURLへアクセスし、ACMEクライアントが配置したファイルを確認します。

  • 外部からTCP 80番ポートへアクセスできること
  • 対象FQDNがWebサーバへ到達すること
  • ワイルドカード証明書には利用不可
DNS-01

DNSのTXTレコードで認証

_acme-challenge のTXTレコードを作成し、ドメインの管理権限を確認します。

  • ワイルドカード証明書に必須
  • DNS APIがあれば更新まで自動化しやすい
  • APIキーは必要最小限の権限で安全に保管

ご注意： 利用できる認証方式は商品・認証局・ACMEクライアントにより異なりますので、各ブランドの公式手順に沿ったご対応をお願いいたします。

参考：ACMEの認証方式（Let's Encrypt公式・英語）

作業前チェックリスト

  • 対象ドメインとFQDNを確認した
  • サーバの管理権限がある
  • ACMEサーバーURLを受領した
  • EAB ID・EAB Keyを安全に保管した
  • HTTP-01なら80番ポートを確認した
  • DNS-01ならDNS更新方法を確認した
  • 証明書・秘密鍵の保存先を決めた
  • Webサーバの再読込方法を確認した

EABとは： External Account Bindingの略で、申込済みの契約とACMEアカウントを結び付けるための情報です。IDとKeyは機密情報のため、安全な管理をお願いいたします。第三者への公開や、ソースコード・作業ログへの記録はお控えください。

ACMEクライアントを選ぶ

クライアント 主な環境 向いているケース 公式情報
Certbot Linux Apache／nginxと組み合わせて使いたい 導入手順
acme.sh Linux／macOS 軽量なシェル環境でEABやDNS APIを使いたい 公式リポジトリ
Posh-ACME PowerShell Windows環境でDNS認証を自動化したい 公式ドキュメント
win-acme Windows／IIS IISへの導入・更新をまとめて行いたい 公式マニュアル
lego Linux／macOS／Windows 単一バイナリで複数環境へ展開したい 公式ドキュメント

認証局側で動作確認済みのクライアントが指定されている場合は、そのクライアントのご利用をお願いいたします。

ブランド別の案内

GeoTrust DV Plan + Automate

GeoTrustブランドのDV証明書をACMEで発行・更新する商品です。通常版とワイルドカード版を取り扱っています。申込後にご案内する契約固有のACMEサーバーURL、EAB ID（KID）、EAB Key（HMAC Key）については、お客様にてご用意いただいたACMEクライアントへの設定をお願いいたします。

JPRS利用時： JPRSはテスト発行用の認証局を提供していないため、Certbotの --dry-run などテスト環境向けのオプションは正常に動作しません。

acme.shによる参考設定例

以下はSectigo／GeoTrust／RapidSSLなど、EAB情報を利用する場合の一般的な記述例です。当社が個別のサポート手順としてご案内するものではございません。実際の値とDNSプラグイン名は、申込後の案内、acme.shの公式情報、お客様の利用環境に合わせてご調整をお願いいたします。

1. acme.shをインストール

curl https://get.acme.sh | sh -s email=[email protected]

2. ACMEアカウントを登録

~/.acme.sh/acme.sh --register-account \
  --server 'ACME_DIRECTORY_URL' \
  --eab-kid 'EAB_ID' \
  --eab-hmac-key 'EAB_KEY'

3. DNS-01で証明書を発行

~/.acme.sh/acme.sh --issue \
  --server 'ACME_DIRECTORY_URL' \
  --dns dns_your_provider \
  -d example.jp \
  -d '*.example.jp'

4. 証明書を配置し、Webサーバを再読込

~/.acme.sh/acme.sh --install-cert -d example.jp \
  --key-file /etc/ssl/private/example.jp.key \
  --fullchain-file /etc/ssl/certs/example.jp.crt \
  --reloadcmd 'systemctl reload nginx'

実行前にご確認ください： 保存先、ドメイン名、DNSプラグイン、Webサーバの再読込コマンドは環境ごとに異なります。お客様の環境に合わせて調整のうえ、実行をお願いいたします。DNS APIの認証情報は、acme.sh公式のDNS API説明をご参照のうえ、ご設定をお願いいたします。

参考：acme.sh DNS API一覧

自動更新の確認

  • 更新ジョブ（cron／タスク）が登録されている
  • 更新後に所定のパスへ証明書が配置される
  • Webサーバの再読込が成功する
  • 証明書チェーンが正しく配信される
  • 更新失敗時の通知先を設定している
  • EAB情報やDNS APIキーの権限を絞っている

証明書の取得後は、更新後の配置とWebサーバ再読込まで、一連の動作確認をお願いいたします。

困ったときの確認ポイント

アカウント登録に失敗する

ACMEサーバーURL、EAB ID、EAB Keyの余分な空白や取り違えを確認します。

HTTP-01認証に失敗する

80番ポート、DNSの向き先、認証ファイルの公開パス、CDNやリダイレクト設定を確認します。

DNS-01認証に失敗する

TXTレコードの反映待ち、API権限、プラグイン設定、古いTXTレコードの残存を確認します。

更新したのに証明書が変わらない

配置先とWebサーバ設定が一致しているか、更新後の再読込コマンドが成功しているか確認します。

お問い合わせについて： 接続情報そのものに関するご不明点は、当社へお問い合わせいただけます。ACMEクライアントのインストール、権限設定、DNS・Webサーバー固有の設定、エラーの個別調査につきましては、サポート対象外とさせていただいております。恐れ入りますが、各ソフトウェアの公式資料をご確認いただき、必要に応じてサーバー管理者へご相談ください。

準備ができたら申し込みへ

商品と認証方式を決め、対象ドメインを確認してからお申し込みください。

商品・申込ページへ 導入の流れをもう一度確認