基本情報

証明書の発行方法には，次の2通りがあります．

手動発行・更新: 手作業による発行方法です．証明書の有効期限が切れる前に，ご自身で更新作業を行う方法です．「手動発行・更新手順」に沿って発行してください．
自動発行・更新: Automatic Certificate Management Environment (ACME) による自動発行・更新による発行方法です．証明書を利用するサーバ上でACMEクライアントをインストール・設定していただき，証明書の発行・更新を自動で行う方法です．サーバの設置状況によって利用できない場合があります．要件は自動発行・更新の要件でご確認ください．

自動発行・更新の要件 

自動発行・更新は，学外のサーバへのアクセスが必要であるため, 証明書を利用するサーバから学外へアクセスが可能な場合のみ 利用可能です．

Note

学外へアクセスできないサーバで自動発行をする方法は, 現在検討中です．

さらに，サーバの設置状況によって利用方法が異なります．下の表で，ご自身のサーバに当てはまる欄を確認してください．

自動発行・更新を利用できる条件 (学外へアクセスできる場合)
学外から HTTP（80番ポート）へのアクセス	利用方法
可能	HTTP-01 方式
不可能	DNS-01 方式 (準備中)

HTTP-01 方式 

証明書を発行する学外の認証局サーバが，インターネット経由で証明書を利用するサーバにアクセスし，サーバの存在確認をします．そのため，次の条件をすべて満たしている必要があります．

学外から，証明書を利用するサーバの 80 番ポートに HTTP でアクセスできること．
サーバ名（FQDN）が, 学外からも名前解決できること（学外から DNS で IP アドレスが引けること）
サーバ上で ACME クライアント (certbot) を動かせること．

Note

80 番ポートへのアクセスを 443 番ポート（HTTPS）へ自動的に転送（リダイレクト）している場合も，利用できます．
証明書の発行・更新のときだけ 80 番ポートにアクセスできれば問題ありません．
利用者向けのサービス自体は HTTPS（443 番ポート）のみで提供していても問題ありません．
443 番ポートだけを開けていて 80 番ポートが閉じている場合は利用できません．

DNS-01 方式 

サーバ名（FQDN）を登録している DNS サーバが，DNS レコードの自動更新（API などの仕組み）に対応している必要があります．

DNS サーバの種類ごとの対応状況
利用している DNS サービス	自動更新	説明
情報基盤センターの全学 DNS レコード管理システム	可能	API による自動更新ができます．
情報基盤センターのバーチャルドメインサーバ DNS サービス	不可	API に対応していません．全学 DNS レコード管理システムへの移行をご検討ください．
独自の DNS サーバ	要確認	DNS サーバの管理者に，自動更新への対応状況をご確認ください．

どの方法を使えばよいかの判断フロー 

どの発行方法が使えるか分からない場合は，次の図を上から順にたどってください．

        %%{init: {'theme': 'base', 'themeVariables': {'background': '#ffffff', 'primaryColor': '#e3f0fb', 'primaryTextColor': '#000000', 'primaryBorderColor': '#1f4e79', 'lineColor': '#444444', 'edgeLabelBackground': '#ffffff', 'fontSize': '20px'}}}%%
flowchart LR
  START([スタート]) --> Q1{"証明書を利用するサーバ<br>から学外にアクセスできますか？"}
  Q1 -- いいえ --> MANUAL["手動発行・更新<br>(自動発行は現在検討中)"]
  Q1 -- はい --> Q2{"学外から, サーバの<br>80番ポート (HTTP) に<br>アクセスできますか？"}
  Q2 -- はい --> HTTP["自動発行・更新<br>HTTP-01 方式"]
  Q2 -- いいえ --> Q3{"サーバ名を登録している<br>DNSサーバは, 自動更新<br>(API) に対応していますか？"}
  Q3 -- "はい<br>(全学DNSレコード管理システム)" --> DNS["自動発行・更新<br>DNS-01 方式 (準備中)"]
  Q3 -- "いいえ・分からない<br>(バーチャルドメインサーバ<br>DNSサービスを利用している．<br>または，独自DNSサービスの<br>対応状況が不明)" --> MANUAL

  classDef start fill:#e3f0fb,stroke:#1f4e79,color:#000
  classDef question fill:#fff9c4,stroke:#9e8600,color:#000
  classDef auto fill:#d5f0dc,stroke:#2e7d32,color:#000
  classDef manual fill:#fde7c8,stroke:#c77700,color:#000
  class HTTP,DNS auto
  class MANUAL manual
  class START start
  class Q1,Q2,Q3 question

Tip

「学外へアクセスできるか」「80番ポートで学外からアクセスできるか」が分からない場合は，サーバやネットワークの管理者にご確認ください．

申請に必要な役割 

申請にあたり，次の役割の方を決めてください．自動発行・更新，手動発行・更新のどちらでも共通です．

証明書利用責任者 (利用責任者):: 申請および証明書の利用に関してすべての責任を負う 常勤の教職員
証明書管理者 (管理者, 任意):: 作業を実施または監督する方．非常勤の教職員，学生も可．3名まで指名可． 証明書利用責任者が証明書管理者を兼ねる場合は不要．

利用責任者および管理者以外の方が作業（データ作成やサーバへのインストールなど）を行うことは問題ありません．ただし，利用責任者あるいは管理者が作業内容を確認・監督してください．

注意事項 

証明書の更新について 

証明書の更新時にも，新規申請同様にFQDNの存在やドメイン管理者の確認が義務付けられています．手動発行・更新手順に沿って，申請書の提出をお願いいたします．

更新した証明書をサーバなどに設定した後は，古い証明書の失効が必要です．証明書の入れ替え作業完了後に情報基盤センターまでご連絡ください． TSV ファイルの作成は不要です．

Note

サーバ証明書を更新もしくは失効する際に入力する 失効対象証明書シリアル番号 は， 10進数の値 にしてください．16進数の値となっているとエラーとなります．

証明書の入れ替え作業について 

情報基盤センターでは鍵ペアの生成やサーバ証明書のインストール等への支援は行ないません．国立情報学研究所のウェブページやインターネット上にある文章を参考に，各自で作業を行ってください．特に UPKI電子証明書発行サービス（国立情報学研究所）を必ずご確認ください．

バーチャルドメインサーバで SSL サーバ証明書を利用する場合は，

今回発行された SSL サーバ証明書
TSV ファイルの作成時に使用した 私有鍵（サーバ秘密鍵）
中間証明書

Warning

私有鍵 のパスフレーズは必ず削除（解除）してください．

の 3 点を UEC Disk2 のチケットリンクまたは，電通大 Google Workspaceの Google ドライブにて共有し， URL を support@cc.uec.ac.jp にご連絡ください．

証明書の有効期限について 

サーバ証明書の有効期限等は国立情報学研究所の UPKI 電子証明書発行サービスにて決められております．情報基盤センターで期限の調整等はできませんので，あらかじめご了承ください．

証明書の発行遅延または不許可について 

CSR 作成の際に， CN もしくは SAN の値として，フィッシング等に不正利用される恐れのあるサーバ名を設定すると，正当性確認のため証明書発行が遅延するか，場合によっては不許可となります．

審査は第三者の認証局で行われます．遅延や不許可の理由は，情報基盤センターではお答えできませんのでご了承ください．

認証局は判定の基準を非公開としておりますが，Google, Microsoft, Amazon など，広く一般に普及しているサービスと混同される恐れのあるものは，遅延や不許可の対象となる可能性があります．