ACME SSL 導入ガイド

パッケージリストを更新

sudo apt update

Certbot とWebサーバープラグインをインストール

Apache:sudo apt install certbot python3-certbot-apache

NGINX:sudo apt install certbot python3-certbot-nginx

snapd を最新に更新

sudo snap install core
sudo snap refresh core

Certbot をインストール

sudo snap install --classic certbot

シンボリックリンクを作成

sudo ln -s /snap/bin/certbot /usr/bin/certbot

EPEL リポジトリを有効化

sudo dnf install epel-release
# または
sudo yum install epel-release

リポジトリを更新

sudo dnf clean all && sudo dnf update
# または
sudo yum clean all && sudo yum update

Certbot とWebサーバープラグインをインストール

Apache:sudo dnf install certbot python3-certbot-apache

NGINX:sudo dnf install certbot python3-certbot-nginx

自動インストール（証明書の取得 + Webサーバー自動設定）

sudo certbot --nginx --non-interactive --agree-tos \
  --server <ACME_DIRECTORY_URL> \
  --email <your-email> \
  --eab-kid <EAB_KID> \
  --eab-hmac-key <EAB_HMAC_KEY> \
  --domain example.com \
  --domain www.example.com \
  --cert-name my-certificate

初回発行時に deploy-hook を設定する場合

NGINX:sudo certbot --nginx --non-interactive --agree-tos \
  --server <ACME_DIRECTORY_URL> \
  --email <your-email> \
  --eab-kid <EAB_KID> \
  --eab-hmac-key <EAB_HMAC_KEY> \
  --domain example.com \
  --cert-name my-certificate \
  --deploy-hook "systemctl reload nginx"

Apache:sudo certbot --apache --non-interactive --agree-tos \
  --server <ACME_DIRECTORY_URL> \
  --email <your-email> \
  --eab-kid <EAB_KID> \
  --eab-hmac-key <EAB_HMAC_KEY> \
  --domain example.com \
  --cert-name my-certificate \
  --deploy-hook "systemctl reload apache2"

RHEL系では apache2 の代わりに httpd を使用してください。

既存の証明書に後から deploy-hook を追加する場合

sudo certbot renew --cert-name my-certificate \
  --deploy-hook "systemctl reload nginx"

一度設定した deploy-hook は、以降の自動更新時にも自動的に実行されます。設定は /etc/letsencrypt/renewal/ に保存されます。

acme.sh のインストール

curl https://get.acme.sh | sh -s email=your-email@example.com

インストール後、シェルを再起動するか source ~/.bashrc を実行してください。

EABアカウント登録

acme.sh --register-account \
  --server <ACME_DIRECTORY_URL> \
  --eab-kid <EAB_KID> \
  --eab-hmac-key <EAB_HMAC_KEY>

証明書の発行

NGINX (webroot モード):acme.sh --issue \
  --server <ACME_DIRECTORY_URL> \
  -d example.com -d www.example.com \
  --keylength 2048 \
  -w /var/www/html

Apache (webroot モード):acme.sh --issue \
  --server <ACME_DIRECTORY_URL> \
  -d example.com -d www.example.com \
  --keylength 2048 \
  -w /var/www/html

スタンドアロンモード (ポート80を一時使用):acme.sh --issue \
  --server <ACME_DIRECTORY_URL> \
  -d example.com \
  --keylength 2048 \
  --standalone

証明書のインストールと自動リロード設定

NGINX:acme.sh --install-cert -d example.com \
  --key-file       /etc/nginx/ssl/example.com.key \
  --fullchain-file /etc/nginx/ssl/example.com.crt \
  --reloadcmd      "systemctl reload nginx"

Apache:acme.sh --install-cert -d example.com \
  --key-file       /etc/apache2/ssl/example.com.key \
  --fullchain-file /etc/apache2/ssl/example.com.crt \
  --reloadcmd      "systemctl reload apache2"

Certbot の確認

sudo certbot renew --dry-run

deploy-hook の設定を確認するには：cat /etc/letsencrypt/renewal/my-certificate.conf

acme.sh の確認

# 登録済み証明書の一覧と設定確認
acme.sh --list

# cron エントリの確認（自動更新スケジュール）
crontab -l | grep acme

acme.sh はインストール時に cron ジョブを自動登録し、毎日チェックを行います。期限が近い証明書のみ更新されます。

Win-ACME のセットアップ

1. win-acme.com から最新版をダウンロード
2. ZIPを C:\Program Files\Win-ACME に展開
3. 展開先の wacs.exe を実行して動作確認

SSL証明書のインストール

PowerShell を管理者として開き、以下を実行：

& "C:\Program Files\Win-ACME\wacs.exe" `
  --source iis `
  --host yourdomain.com `
  --store certificatestore `
  --installation iis `
  --baseuri <ACME_DIRECTORY_URL> `
  --eab-key-identifier <EAB_KID> `
  --eab-key <EAB_HMAC_KEY> `
  --accepttos

インストールの確認

1. https:// でサイトにアクセスして証明書を確認
2. IIS Manager → サイト → バインド で、HTTPS（443）バインディングが追加されたことを確認
3. スケジュールされた自動更新を確認：

& "C:\Program Files\Win-ACME\wacs.exe" --list --baseuri https://acme.sectigo.com/v2/DV/

注意：Win-ACME は ACMEサーバーごとに証明書を管理します。--baseuri を省略すると、インストール済みの証明書情報が表示されません。

EAB アカウント登録

契約詳細に表示される値をそのまま使用します。

acme.sh --register-account \
  --server <ACME Directory（契約詳細に表示）> \
  --eab-kid <EAB KID> \
  --eab-hmac-key <EAB HMAC Key>

証明書の発行（鍵の再利用が必須）

acme.sh:acme.sh --issue \
  --server <ACME Directory> \
  -d example.com \
  -w /var/www/html

Certbot:certbot certonly --webroot -w /var/www/html \
  --server <ACME Directory> \
  --reuse-key \
  -d example.com

DNS 委任レコードの設定（初回のみ）

初回発行を開始すると、契約詳細に「DNS 設定（初回のみ）」として NS レコードが表示されます。 ドメインの DNS に一度だけ委任設定すれば、以降の更新時の認証（証明書ごとに変わる検証値の差し替え）は すべて当社側で自動処理されるため、再設定は不要です。

_<ハッシュ値>.example.com  NS  ns1.dcv.ssl-shop.jp
_<ハッシュ値>.example.com  NS  ns2.dcv.ssl-shop.jp

OV 証明書の更新について

OV 証明書は発行に日数がかかるため、期限が近づくと当社側で更新分を先行発行します。 鍵を再利用していれば、クライアントの更新実行時には発行済みの証明書が即座に取得されます。 企業認証情報の再確認が必要な場合は、当社からご連絡します。