概要

DigiCert ACME とは

RapidSSL・GeoTrust DV の各証明書は、業界標準の ACMEプロトコル を使って取得・自動更新できます。お使いのサーバにACMEエージェントをを導入し、認証局から指定された認証情報（EAB）を設定するだけで、以降の更新が自動化されます。

対象となるSSLサーバ証明書

AutomateInstallSSL（エージェント版）との違い

同じ証明書を、エージェント版（AutomateInstallSSL） と ACME版（本ガイド） のどちらでも運用できます。お好みの方をお選びください。

設定手順

本ドキュメントでは、ACMEエージェントとしてcertbotおよびacme.shを導入した例を説明します。

コマンドや設定画面の表示内容で、太字・山括弧（< >）の部分はお客様のお申込み内容・環境に合わせて読み替えてください。

STEP 1お申し込み

SSLセキュアの申し込みフォームから、ドメイン名とお客様情報を入力してお申込みください。ワイルドカード証明書をご希望の場合は、Wildcard 対応商品をお選びください。

STEP 2SSOリンクの確認

お支払い確認後、設定画面へのSSOリンクが発行されます。
SSOリンクはSSLセキュアの管理ページでご確認いただけます。

STEP 3設定画面で「ACME」を選択

SSOリンクからブラウザで設定画面にアクセスし、利用する環境として ACME を選択してください。

STEP 4認証方法の選択

STEP 5ACME認証情報の取得

設定画面の 「ACME Credentials」 に、ACMEクライアントで使用する以下の3つの情報が表示されます。コピーして手元に控えてください。

STEP 6ACMEクライアントの導入と証明書の取得（通常証明書 / HTTP-01）

お使いのクライアントに合わせて、いずれかの手順を実行してください。下記コマンドの <KID> / <HMAC> / <ドメイン名> / <メールアドレス> は、STEP 5 とお客様の情報に置き換えてください。

Certbot を使う場合

Certbot のインストール手順は Certbot 設定手順書 をご参照ください。インストール済みであれば、以下のコマンドで取得できます。

コピー# Apache の場合（証明書の取得とWebサーバへの設定を自動で行います）
sudo certbot --apache \
  --server https://one.digicert.com/mpki/api/v1/acme/v2/directory \
  --eab-kid "<KID>" \
  --eab-hmac-key "<HMAC>" \
  --domain <ドメイン名> \
  --agree-tos --non-interactive \
  --email <メールアドレス>

コピー# Nginx の場合は --apache を --nginx に置き換えてください
sudo certbot --nginx \
  --server https://one.digicert.com/mpki/api/v1/acme/v2/directory \
  --eab-kid "<KID>" \
  --eab-hmac-key "<HMAC>" \
  --domain <ドメイン名> \
  --agree-tos --non-interactive \
  --email <メールアドレス>

acme.sh を使う場合

acme.sh のインストール手順は acme.sh 設定手順書 をご参照ください。インストール済みであれば、以下のコマンドで取得できます。

コピー# アカウント登録（EAB）→ webrootモードで証明書を取得
~/.acme.sh/acme.sh --register-account \
  --server https://one.digicert.com/mpki/api/v1/acme/v2/directory \
  --eab-kid "<KID>" \
  --eab-hmac-key "<HMAC>"

~/.acme.sh/acme.sh --issue \
  --webroot /var/www/html \
  --domain <ドメイン名> \
  --server https://one.digicert.com/mpki/api/v1/acme/v2/directory \
  --eab-kid "<KID>" \
  --eab-hmac-key "<HMAC>"

ワイルドカード証明書（DNS-01）の設定

RapidSSL Wildcard Automate / GeoTrust DV Wildcard Automate でワイルドカード証明書（*.example.com）を取得する場合は、DNS-01認証（DNS validation）が必須です。HTTP-01（File validation）ではワイルドカードは取得できません。

STEP A：DNSプロバイダのAPI設定

お使いのDNSプロバイダに合わせて、APIの認証情報（APIキー等）を取得し、対応するプラグインを設定します。プロバイダごとの具体的な設定方法は、各クライアントの公式ドキュメントをご参照ください。

STEP B：ワイルドカード証明書の取得

DNSプロバイダの設定後、以下のコマンドで取得します。--dns 以降のプラグイン名とパラメータは、STEP A で確認したお使いのプロバイダの値に置き換えてください（下記は Cloudflare を使う場合の例です）。

Certbot の場合

コピー# 例：Cloudflare（certbot-dns-cloudflare プラグイン使用）
sudo certbot certonly \
  --dns-cloudflare \
  --dns-cloudflare-credentials /etc/letsencrypt/cloudflare.ini \
  --server https://one.digicert.com/mpki/api/v1/acme/v2/directory \
  --eab-kid "<KID>" \
  --eab-hmac-key "<HMAC>" \
  --domain "<ドメイン名>" \
  --domain "*.<ドメイン名>" \
  --agree-tos --non-interactive \
  --email <メールアドレス>

acme.sh の場合

コピー# 例：Cloudflare（環境変数にAPIトークンを設定してから実行）
export CF_Token="<CloudflareのAPIトークン>"

~/.acme.sh/acme.sh --register-account \
  --server https://one.digicert.com/mpki/api/v1/acme/v2/directory \
  --eab-kid "<KID>" \
  --eab-hmac-key "<HMAC>"

~/.acme.sh/acme.sh --issue --dns dns_cf \
  --domain "<ドメイン名>" \
  --domain "*.<ドメイン名>" \
  --server https://one.digicert.com/mpki/api/v1/acme/v2/directory \
  --eab-kid "<KID>" \
  --eab-hmac-key "<HMAC>"

自動更新の確認

Certbot・acme.sh とも、初回取得時に自動更新のスケジュールが登録されます。設定が有効になっているかを確認してください。

コピー# Certbot：更新のテスト（実際には更新せず動作のみ確認）
sudo certbot renew --dry-run

# acme.sh：登録済み証明書と次回更新日の確認
~/.acme.sh/acme.sh --list

トラブルシューティング