同一RegionのALBでHTTPSを提供する。対象の公開ドメインは管理可能で、必要なDNSレコードを公開DNSへ追加・維持できる。CAを外部事業者に限定する要件はない。
ACMが発行する公開証明書を使い、利用者が毎回検証メールへ応答する運用を避けたい。初回発行だけでなく、期限切れを防ぐ更新条件と監視も用意する。
要件に合う証明書の管理方法はどれか。
ACM発行のDNS検証公開証明書をALBで使用し、必要な公開CNAMEを維持する。適格性だけで更新成功とせず、更新状態と期限を監視する。
詳細解説
インポート証明書はACMのmanaged renewalの対象外である。ALBで使用できることと、ACMが更新することは別であり、期限監視と更新・再インポートが必要になる。
VPC内での名前解決とACMが行う公開DNSの検証は同じではない。private hosted zoneだけにレコードを置いても、必要な公開DNSでの到達性を満たさない。
ACM発行・DNS検証・対応サービスでの使用と検証用CNAMEの維持を組み合わせる。更新の適格性と処理結果を確認し、条件不足や失敗を見逃さない運用にする。
初回発行の完了後も、将来の更新では公開DNSによる検証が必要になる。不要なレコードとして検証用CNAMEを削除せず、ALBでの使用と合わせて維持する。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
公式資料を確認する。読み取り可能な検証環境ではaws acm describe-certificateで対象ARNのType、DomainValidationOptions、InUseBy、RenewalEligibility、NotAfterを確認し、必要なCNAMEを公開DNSで照合する。更新処理後にはRenewalSummary.RenewalStatusと延長された期限、同じARNの関連付け、対象ホストへ提示される証明書を確認する。
参考にした公式資料
確認できる内容
ACM発行・DNS検証・ALBでの使用と公開CNAMEの維持を確認できる。ELIGIBLEだけや更新開始前のRenewalSummary欠落から成功を断定しない。実際の更新後は成功状態と新しい期限・提示証明書を照合し、条件不足や失敗には対応する。
理解のポイント
- DNS検証
- RenewalEligibility
- RenewalStatus
確認時の注意
- 確認環境: AWS公式SOA-C03試験ガイドとAWS公式ドキュメントの確認
- AWS公式SOA-C03試験ガイドと各サービスの公式ドキュメントを確認する。
基礎のおさらい
発行元と更新の適格性を分ける
本問はACMが発行するDNS検証の公開証明書をALBで使用する。外部CAからインポートした証明書は、ALBに関連付けてもACMのmanaged renewalの対象にはならない。インポート証明書の期限監視と更新・再インポートは利用者の責任である。
初回検証後も公開CNAMEを維持する
ACMが示す必要な検証用CNAMEをすべて公開DNSで維持する。Route 53以外のDNS事業者でも構成できるが、初回発行後の削除やprivate hosted zoneだけへの移動では将来の公開DNS検証を満たせない。ALBで現在HTTPSが使えることは、将来の更新成功の証明ではない。
適格・更新処理・実配信を確認する
describe-certificateのType、検証方式、InUseBy、RenewalEligibilityと期限を確認する。ELIGIBLEは更新済みを意味しない。更新処理が始まる前にはRenewalSummaryがない場合もある。処理後はRenewalStatus、延長されたNotAfter、同じARNの関連付けと実際に提示される証明書を確認する。