• はじめに
• 事前準備
• ACME認証を作成する
• ACME認証を削除する
• Certbotによる自動化
• よくあるご質問
  　請求・支払について
  　契約期間と有効期間
  　ACME全般
  　certbotについて
  
• 参考資料

(1)　注意事項

1. セクティゴCaaSはACME専用サービスです。弊社会員ページからの証明書発行はできません。
   CertbotなどのACMEクライアントをご利用環境に導入して、ACMEクライアントから証明書の発行をリクエストして下さい。
2. セクティゴCaaSで発行のサーバ証明書の最大有効期間は90日です。(2029 年 3 月 15 日以降は47日に短縮予定です)
3. 特定のドメインのサーバ証明書を契約期間中、何度でも無制限に取得することができます。
4. ValueSSLにてご利用中のコモンネームであっても、初めて「セクティゴCaaS」をご利用の場合は「新規契約」となります。更新としてのお取り扱いはできません。
   

(2)　証明書発行

サーバー証明書を発行する場合、Sectigo から発行されたACME情報(KID,HMAC鍵)を付与して、発行対象 FQDN を指定の上で、Certbot コマンドを実行します。

FQDNは該当のACME情報に登録済のドメインでなければいけません。

(1) Certbot コマンド例：

certbot certonly --standalone --register-unsafely-without-email --non-interactive --config-dir /etc/sectigo/certificate --key-type rsa --server https://acme.sectigo.com/v2/DV --eab-kid AAAAAAAAAAA --eab-hmac-key AAAAAAAAAA -d example.com,www.example.com

(2) ワイルドカード証明書の場合のCertbot コマンド例：

certbot certonly --register-unsafely-without-email --manual --preferred-challenges dns --config-dir /etc/sectigo/certificate --key-type rsa --server https://acme.sectigo.com/v2/DV --eab-kid AAAAAAAAAAA --eab-hmac-key AAAAAAAAAA -d example.com,www.example.com

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

Before continuing, verify the record is deployed.

Press Enter to Continue

いったん画面はそのままにして上記で表示されたDNS認証情報をDNSサーバに設定します。

_acme-challenge.example.com TXT xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

DNSにTXTレコードを登録してもすぐに伝幡はされないので、しばらく待って可能であれば nslookup などのコマンドで登録したトークンの応答があることを確認します。 DNSがトークンの応答を返すことを確認したら、certbotの画面に戻り、Enterを押します。

Successfully received certificate.

表示されれば成功です。失敗の場合は、何故失敗したのかメッセージに表示されています。

(3) certonly サブコマンド・オプション

サブコマンド	説明
certonly	証明書を発行します。

必須	オプション	規定値	説明
〇	--standalone	なし	スタンドアロン Web サーバーを使用してサーバー証明書を取得します。 --standalone に代えて --webroot でも可。 ワイルドカード証明書の場合で「manual」を指定した場合は--standaloneは不要。
×	--register-unsafelywithout-email	なし	メールアドレスの登録を不要にします。
×	--non-interactive	なし	ユーザー入力を一切求めずに非対話で実行します。 ※初回起動は、本オプションを指定せずに動作させて ください。もしくは -agree-tos を指定して下さい。
〇	--domain	FQDN	証明書を取得する FQDN を指定します。 「-domain」オプションを複数指定するか、FQDN のカン マ区切りのリストを指定することでマルチドメイン証 明書が発行できます。
〇	--eab-kid	EAB_KID	外部アカウントバインディングのキー識別子を指定し ます
〇	--eab-hmac-key	EAB_HMAC_KEY	外部アカウントバインディングの HMAC 鍵を指定します
〇	--server	ACME Directory Resource URI	申請先の ACME Directory Resource URI を指定しま す。
×	--force-renewal	なし	要求されたドメインにすでに証明書が存在する場合、 有効期限が近いかどうかに関わらず、すぐに更新しま す。--expand も暗黙的に指定されます。
×	--config-dir	ファイルパス	certbot が使用する設定ディレクトリを指定します。
×	--key-type	アルゴリズム名	「rsa」、「ecdsa」を指定できます。（既定：ecdsa）
×	--preferred-challenges	認証方式の指定	ワイルドカード証明書の場合は「dns」を指定します。（既定：http）
×	--agree-tos		ACMEサーバーの利用規約に同意したの意味
×	--manual		ドメイン認証を手動で行います。

※本資料に掲載しているオプションは、一部であり、一例です。certbot コマンドには、他のオプション による方法もあります。詳細は certbot 公式ドキュメントを参照ください。

(4)　複数の FQDN を指定する方法

複数の FQDN を指定する場合、FQDN ごとに「--domain」オプションを指定するか、１つの「--domain」オ プションにカンマ区切りで指定します。

例）FQDN ごとに「--domain」オプションを指定する場合：

--domain example.com --domain www.example.com

例）１つの「--domain」オプションにカンマ区切りで指定する場合：

--domain example.com,www.example.com

(5)　発行完了時

下記メッセージが表示されれば、サーバー証明書の発行は完了です。

Successfully received certificate.

(6)　Certbot 初回利用時の規約同意について

Certbot で初めて証明書を発行させる際は、規約に同意する手続きが必要です。 Service Agreement（https://secure.trust-provider.com/repository/docs/Legacy/20250618_CertificateSubscriberAgreement_v_2_8_click.pdf)をご確 認いただき、内容に同意いただける場合は、「Y」を入力してください。

# certbot certonly --standalone --register-unsafely-without-email --force-renewal --config-dir /etc/sectigo/certificate --key-type rsa --server https://acme.sectigo.com/v2/DV--eab-kid AAAAAAAAAAA --eab-hmac-key AAAAAAAAAA -d example.com,www.example.com
Saving debug log to /var/log/letsencrypt/letsencrypt.log
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please read the Terms of Service at
https://secure.trust-provider.com/repository/docs/Legacy/20250618_CertificateSubscriberAgreement_v_2_8_click.pdf.
You must agree in order to register with the ACME server. Do you agree?
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(Y)es/(N)o:

(6)　Certbot 規約同意手続きの省略

コマンドに--agree-tos　を追加しますと自動的に規約に同意したことになり、手続きを省略できます。

# certbot certonly --standalone --register-unsafely-without-email --agree-tos --force-renewal --config-dir /etc/sectigo/certificate --key-type rsa --server https://one.digicert.com/mpki/api/v1/a cme/v2/directory--eab-kid AAAAAAAAAAA --eab-hmac-key AAAAAAAAAA -d example.com,www.example.com

(6)　サーバ証明書の失効

必要に応じて、発行したサーバー証明書を失効させます。 サーバー証明書を失効させるケースは、「サーバー証明書が必要ではなくなった」、「サーバー証明書 の秘密鍵の危殆化が判明した」などがあります。 Certbot では、失効用のコマンドを発行することで発行されたサーバー証明書を失効させることができま す。

(1)　Certbot コマンド例：

certbot revoke --config-dir /etc/sectigo/certificate --server https://acme.sectigo.com/v2/DV --eab-kid AAAAAAAAAAA --eab-hmac-key AAAAAAAAAA -cert-path /etc/sectigo/certificate/test.example.com --reason cessationofoperation

(2)　revoke サブコマンド・オプション

サブコマンド	説明
revoke	証明書を失効します。

必須	オプション	規定値	説明
〇	--server	ACME Directory Resource URI	申請先の ACME Directory Resource URI を指定しま す。
〇	--eab-kid	EAB_KID	外部アカウントバインディングのキー識別子を指定し ます
〇	--eab-hmac-key	EAB_HMAC_KEY	外部アカウントバインディングの HMAC 鍵を指定します
〇	--cert-name	証明書コモンネーム	失効させるサーバー証明書のコモンネームを指定しま す。「--cert-path」と排他利用
〇	--cert-path	証明書ファイルパス	失効させるサーバー証明書のファイルパスを指定しま す。「--cert-name」と排他利用
×	----reason	失効理由	任意（既定：unspecified） 失効理由を指定します。 unspecified keycompromise affiliationchanged supersededs cessationofoperation
×	--config-dir	ファイルパス	certbot が使用する設定ディレクトリを指定します。

※本資料に掲載しているオプションは、一部であり、一例です。certbot コマンドには、他のオプション による方法もあります。詳細は certbot 公式ドキュメントを参照ください。

(3)　失効完了時

下記メッセージが表示されれば、サーバー証明書の失効は完了です。

You have successfully revoked the certificate that was located at ファイルパス.

(7)　ジョブ管理システムを利用した運用例

Linux cron を利用した自動運用

Linux 標準で利用可能な cron を利用した自動運用について説明します。

(1)　cron 編集コマンド呼び出し：

crontab -e

(2)　cron 編集内容：

[minute] [hour] [day] [month] [day of week] [command]

(3)　cron 設定例

■証明書発行の設定例

毎月１日午前２時３０分頃に実行する。

# [minute] [hour] [day] [month] [day of week] [command]
30 2 1 * * /cert-reissue.sh > /dev/null

cert-reissue.sh：

#!/bin/sh

/usr/bin/certbot certonly --standalone --register-unsafely-without-email --non-interactive --force-renewal --config-dir /etc/sectigo/certificate --key-type rsa --server https://acme.sectigo.com/v2/DV --eab-kid AAAAAAAAAAA --eab-hmac-key AAAAAAAAAA -d example.com,www.example.com