お客様が管理する証明書を使用して HTTPS で配信する
最終更新日 2021-09-22
このガイドでは、Fastly TLS を使用して、Fastly コントロールパネル経由でお客様所有の TLS 証明書と秘密鍵をアップロードし、デプロイする方法についてご説明します。
HTTPS を使用して Fastly から安全なトラフィックを配信するため、Web サイトやアプリケーションは、信頼できる認証局 (CA) によって署名された有効な TLS 証明書をクライアントに提供する必要があります。TLS (トランスポートレベルセキュリティ) とその前身である SSL (セキュアソケットレイヤー) は、クライアントがサーバーとセキュアな接続を確立し、トラフィックを HTTPS で配信することを可能にするプロトコルです。
Fastly は、Fastly 上のドメインの TLS を有効にするために使用される秘密鍵や証明書をアップロードおよび管理するための API を提供しています。
作業を始める前に
コントロールパネル経由でアップロードし、デプロイした証明書と秘密鍵で Fastly TLS を使用する前に、以下の条件が満たされていることをご確認ください。
- スーパーユーザーのロールが割り当てられている、またはTLS 管理権限を持つ有料の Fastly ユーザーアカウント (無料の開発者アカウントでは本機能は利用できません)
- 信頼できる認証局によって発行された有効な X.509 TLS 証明書と対応する 2048-bit RSA 秘密鍵
- TLS 証明書に SAN (サブジェクト代替名) エントリーとして表示される関連ドメインの DNS レコードを変更する権限を有すること
- 関連するドメインが適切に設定された Fastly サービスに追加されている
Fastly TLS のコントロールパネルは、お客様 TLS 証明書のホスティングサービスでアップロードされた証明書においてもご利用いただけますが以下の制約にご注意下さい。
- 以前にアップロードされた証明書を置き換えた場合でも、引き続きお客様 TLS 証明書ホスティングサービスをご利用でき、請求に変更はありません。
- 以前にアップロードされた証明書をお客様 TLS 証明書ホスティングサービスから削除し、Fastly TLS のコントロールパネルを使用して新しい証明書をアップロードした場合、新しい証明書は Fastly TLS の請求対象となります。削除された証明書については、お客様 TLS 証明書ホスティングサービスのご契約内容に応じてご契約期間が完了するまで課金が発生します。
お客様 TLS 証明書ホスティングサービスから Fastly TLS への証明書の移行については、support@fastly.com までお問い合わせください。
これらの利用条件に加えて以下の制約事項についてもご了承下さい。
- Fastly TLS で利用可能な証明書の数は50までに制限されています。上限を超えた証明書のご利用をご希望の場合は、sales@fastly.com までお問い合わせください。
- デフォルトの設定ではアップロードされた証明書を利用するクライアントが TLSv1.2 と Server Name Indication (SNI) をサポートする必要があります。これらのデフォルト以外の設定を使用する方法については、sales@fastly.com までお問い合わせください。カスタム設定を使用する場合は、専用の Fastly IP アドレスプールを別途ご購入頂く必要があります。
- Fastly TLS は、Triple DES (3des) 暗号スイートをサポートしていません。
- DigiCert をご利用の場合、証明書を変更すると、DigiCert は再発行の72時間後に元の証明書を無効化しますのでご注意ください。速やかに新しい証明書をアップロードし、すべてのホスト名を切り替えてください。
秘密鍵と証明書をアップロードする
TLS 証明書とそれに対応する (証明書の生成に使用された) 秘密鍵をアップロードするには、以下の手順に従ってください。
現在、本ツールでアップロード可能な鍵は 2048-bit RSA 鍵のみです。より長い鍵長の鍵をアップロードする必要がある場合は、support@fastly.com までご連絡ください。
- Fastly コントロールパネルにログインし、Configure をクリックします。
- HTTPS and network タブをクリックします。TLS domains ページが表示され、TLS が有効化されている、または TLS を有効化することができるドメインが表示されます。まだどのドメインにも TLS を設定していない場合、このページには何も表示されません。
- Secure another domain ボタンをクリックします。Enter domain ウィンドウが表示されます。
- I want to bring my own certificate and private key をクリックします。TLS certificates タブに移動すると、セキュアなアップロード機能が表示されます。
-
秘密鍵を指定エリアにドラッグアンドドロップしてアップロードします。または、Browse for key file をクリックし、ファイルを選択してアップロードすることもできます。
アップロード機能の下に秘密鍵が表示され、左には Unmatched key ラベルが表示されます。
ヒントUnmatched keys ラベルは、対応する TLS 証明書が存在しない秘密鍵に表示されます。複数の秘密鍵が存在する場合、固有の SHA1 ハッシュでそれぞれを識別できます。Unmatched ステータスの秘密鍵のみ削除できます。
- 秘密鍵の場合と同様に、TLS 証明書をドラッグアンドドロップするか、またはファイル選択機能でアップロードして下さい。正しくアップロードするとメッセージが表示されます。
ドメインで TLS を有効化する
有効な証明書と秘密鍵がアップロードされると、SAN エントリーとして表示されるすべてのドメインが、TLS ready のステータスで TLS domains ページに表示されます。この証明書を使用して HTTPS での配信を行うためには、以下の手順でドメインの TLS を有効にし、DNS レコードを証明書の場所に向けるように設定します。
-
TLS domains タブをクリックします。SAN エントリーとして表示されるすべてのドメインのリストが表示されます。無効化されている状態のドメインは、TLS status が「Ready」と表示されます。
- 有効化したいドメインの右側にある Enable TLS ボタンをクリックします。お客様の TLS 証明書が Fastly のエッジネットワーク全体に展開されます。証明書が世界中で利用可能になるには、最大1時間かかる場合があります。
-
ドメインに関連する TLS 設定を確認するには、More details をクリックします。ドメインの TLS 設定の詳細が表示されます。
-
証明書を使用して TLS 接続を確立できるよう、このセクションで表示される DNS の詳細に基づいて DNS レコードを設定します。
- Apex ドメイン (例：
example.com) に TLS を使用する場合、ご利用の DNS プロバイダーで一連の A レコードを作成する必要があります。 - サブドメインやワイルドカードドメイン (例：
www.example.comまたは*.example.com) の場合は、関連する CNAME レコードを作成する必要があります。
- Apex ドメイン (例：
新しい DNS レコードがインターネット全体に伝搬するには、最大48時間かかる場合があります。
TLS 設定をドメインに適用する
TLS 設定には、サポートする TLS と HTTP のバージョンに加え、クライアントが使用するネットワークやハンドシェイクのオプションに関する一連の情報が含まれます。アカウントに複数の TLS 設定がある場合、デフォルトの設定表示エリアの右上に「Default」と表示されます。
TLS設定の名前は、名前の横にあるペンのアイコンをクリックして編集できます。
ドメインに適用されているデフォルトの TLS 設定を上書きしたり、ドメインが別の設定を利用できるようにするには、以下の手順に従ってください。
- TLS domains タブをクリックします。
- 変更を行うドメインの More details をクリックします。
-
ドメイン設定の下部にある Add TLS configuration メニューに利用可能な設定オプションが表示されるので、適用したい TLS 設定を選択します。
TLS 設定を選択すると選択した設定がドメインに適用されます。各 TLS 設定は有効化され、それぞれ の IP アドレスと DNS レコード経由でアクセスできます。
- ご希望の TLS 設定のエリアに表示される DNS details を使用して、DNS レコードを更新します。
- 新しい DNS レコードがインターネット上に伝播されたことを確認した後、 古い TLS 設定のゴミ箱アイコンをクリックして削除します。DNS レコードの反映には最大48時間かかる場合があります。
HTTP/1.1 の場合は、Web アプリケーションの各ドメインで TLS を必ず有効にしてください。複数の SAN を持つ証明書をアップロードし、これらのドメインを Fastly で保護する場合、各ドメインに対して明示的に TLS を有効化する必要があります。
HTTP/2 の場合、ブラウザがセキュアな接続を統合し、以前のハンドシェイクで TLS 証明書を受け取っていた場合は、例外が適用されることがあります。この場合、証明書に一致する SAN エントリーがあれば、ブラウザによっては Fastly への既存のセキュアな接続を再利用することができます。
証明書の置き換え
TLS certificates ページでは、証明書の有効期限が近づくと警告が表示されます。
証明書が有効期限を過ぎた場合も以下のように警告が表示されます。
また、置き換えられる必要がある証明書を Fastly が特定する場合があります。これらの証明書には、置き換えを推奨するメッセージと「Replace」ボタンが表示されます。
Fastly では、いつでも証明書を新しいものと置き換えることができます。
削除されるドメインがない場合の証明書の置き換え
既存の証明書と同じドメインをすべて含む (スーパーセットまたは一致するリストとして) 証明書に置き換える場合は、以下の手順に従ってください。
- 新しい証明書を任意の認証局から調達します。
- 新しい証明書のために新しい秘密鍵も生成された場合は、秘密鍵をアップロードします。
-
コントロールパネルの TLS certificates タブで、置き換える証明書を探します。
- 置き換える証明書の右上に表示される Update ボタンをクリックします。
- 表示されたファイル選択ウィンドウで、既存の証明書を置き換える新しい証明書を探します。選択した新しい証明書は PEM 形式で、既存の証明書のすべての SAN エントリーが含まれている (完全に一致するリスト、またはスーパーセットが含まれている) 必要があります。
-
証明書の更新処理が完了するのを待ちます。証明書が正常に更新されたことを示すメッセージが表示されます。
古い証明書を使用して配信していたすべてのドメインの TLS トラフィックが自動的に数分以内に更新した新しい証明書を使用して配信されるようになります。新しく追加されたドメインは、ドメインで TLS を有効にする手順に従って、手動で TLS を有効にする必要があります。
ドメインに変更がある場合の証明書の置き換え
ドメインの削除を必要とする証明書を更新する場合は、SAN エントリーのリストを更新した新しい証明書を入手する必要があります。以下の手順に従って、この証明書を新しい証明書としてアップロードします。
- 新しい証明書をアップロードします。
- TLS domains タブをクリックし、変更したい証明書ですでに有効になっている既存のドメインを確認します。
-
ドメインの More details をクリックすると、有効化されている TLS 設定が表示されます。
- Certificate being used メニューから新しい証明書を選択します。確認メッセージが表示されます。
- 確認メッセージの Use this certificate ボタンをクリックします。
- ドメインで TLS を有効にするを参照して、更新された証明書に追加された新しいドメインに対して TSL を手動で有効化します。新たに TLS が有効化されたドメインの証明書が Fastly のグローバルネットワーク全体に展開されるまで、20分から1時間かかります。1時間経過しても新しい証明書で TLS トラフィックが配信されない場合は、support@fastly.com までご連絡ください。
証明書の表示名は、名前の横にあるペンのアイコンをクリックすると編集できます。
TLS の無効化および証明書と秘密鍵の削除
TLS が有効化されているドメインは、TLS domains ページに表示される Disable TLS リンクで TLS を無効にすることができます。TLS が無効化されたドメインでは、Fastly は TLS トラフィックを配信しません。
TLS certificates ページから証明書を削除する場合は、必ずその証明書に含まれるすべてのドメインの TLS 設定を無効にします。また、秘密鍵を削除する場合は、対応するすべての証明書がすでに削除されている必要があります。
証明書の有効期限
証明書の有効期限が残り30日になると、コントロールパネルに期限切れ間近の証明書に関する警告が表示されます。また、TLS 管理権限を持つアカウントのすべてのユーザーに対して、定期的に有効期限を通知するメールが自動的に送信されます。証明書を置き換える、または削除しない限り、証明書の期限が切れるまで繰り返しメールが送信されます。証明書の有効期限が切れると、Fastly は期限切れに関する自動通知メールを送信しません。