無料証明書を使用したEdgeOneドメインへのデプロイ
ダウンロード
フォーカスモード
フォントサイズ
使用シナリオ
現在のサイトでまだHTTPS証明書を購入していない場合は、無料証明書を申請してHTTPSアクセスのサポートをテストできます。
説明：
1. 無料証明書はTrustAsiaおよびLet's Encrypt機関によって発行され、ダウンロードはサポートされておらず、SLA保証も提供されません。より信頼性の高い証明書保証が必要な場合は、SSL Certificatesの購入に進んでください。
2. 証明書の有効期間は90日です。有効期限の15日前にプラットフォームが自動的に更新を申請するため、手動で更新する必要はありません。現在NS接続をご利用の場合、CNAME接続に切り替えた後、申請したワイルドカード証明書は有効期限が切れると自動更新できなくなります。更新失敗が発生した後は、証明書を再申請してください。
3. Let's Encryptによって発行された無料証明書はOCSPステープリングをサポートしていません。
サポートされる検証方式
無料証明書は3種類の検証方式をサポートしています：
自動検証：自動検証は、NSサーバーの有効化後またはドメインのCNAME有効化後に、無料証明書の申請とデプロイを自動的に完了できます。サイトの接続方式に応じて、自動検証は異なる検証方式を使用してCA機関に無料証明書を申請します。
現在のサイトがNS接続/DNSPodホスティング接続を使用している場合、EdgeOneは現在のDNSサーバーに証明書申請に必要な検証レコードを自動的に追加します。現在のDNSサーバーのステータスが正常に有効になっていることを確認してください。EdgeOneは1時間以内に証明書申請検証を開始します。
現在のサイトがCNAME接続を使用している場合、EdgeOneはエッジノード内にCA証明書検証用の検証ファイルを自動的に生成します。1時間以内に現在のドメインにCNAMEを設定してEdgeOneを指すようにし、かつ回線別/地域別解析を使用しないようにしてください。これによりCA検証を完了できます。
説明：
CNAME接続モードでは、自動検証を使用して無料証明書を申請します。無料証明書の申請が完了するまで、該当ドメインのHTTPSアクセスは一時的に利用できません。
DNS委譲検証： CNAME接続モードでのみ使用されます。現在のCA機関が検証を要求するサブドメインの解析レコードを、CNAMEレコードを使用してEdgeOneの指定ドメインに委譲できます。EdgeOneは該当ドメイン上でCA機関が要求するDNS検証レコードを維持します。この方式は、ユーザーが加速を有効にする前に無料証明書の申請を完了したい場合、またはCNAME接続モードでワイルドカード証明書を申請したい場合に適しています。
ファイル検証：CNAME接続モードでのみ使用されます。この検証方式では、現在のドメイン配下の指定パスに、指定されたファイルとファイルに含まれる検証値を作成し、そのファイルにアクセスできる状態を保つ必要があります。この検証方式は、初回申請が承認された後も、無料証明書の自動更新を保証するために、後続のドメインのCNAME解析をEdgeOneに正しく向ける必要があります。この方式は主に、CNAME接続モードで無料証明書を申請する必要があるが、DNS委譲検証を使用できない場合に、ファイル検証を選択して使用する場合に適しています。
サンプルシナリオ1：自動検証を使用した無料証明書の申請
例えば、現在のドメイン
example.comがCNAME方式でEdgeOneに接続されており、現在のドメインにはまだHTTPS証明書がありません。EOの無料証明書を使用してユーザーにHTTPSアクセスの暗号化保護を提供したい場合、ドメインのアクセス量が少ないため、短時間ユーザーのHTTPSアクセスがサポートされないことを許容できる場合は、自動検証の方式で無料証明書を申請できます。参考操作手順は以下の通りです：1. EdgeOneコンソールにログインし、左側のメニューバーで「サービス概要」に入り、「Webサイト安全な加速」内で設定が必要なサイトをクリックします。
2. 左側のナビゲーションバーで、ドメインサービス＞ドメイン管理をクリックします。
3. ドメイン名管理ページで、証明書を設定するドメイン名を選択し、HTTPS列で設定をクリックします。
4. HTTPS設定で、エッジHTTPS証明書カードを見つけ、設定をクリックします。
5. 設定方式として無料証明書の申請を選択し、検証方式として自動検証を選択して、保存をクリックしてください。
6. ドメイン管理画面に戻り、CNAME解析の変更を参照して、現在のドメインにCNAMEレコードを設定してください。回線別/地域別解析の使用は避けてください。
7. ドメイン名のCNAMEが有効になるのを待ちます。無料証明書は、CA機関が証明書を発行した後、自動的にデプロイが完了します。デプロイ完了後、HTTPS設定画面に再度入ると、現在の証明書ステータスが「設定済み」であることを確認できます。
サンプルシナリオ2：DNS委任検証を使用した無料証明書の申請
例えば、現在のドメイン
example.comがCNAME方式でEdgeOneに接続されており、ドメインの解析はすでにTencent Cloud DNSにホスティングされています。現在のドメインにはまだHTTPS証明書がありません。EOの無料証明書を使用してユーザーにHTTPSアクセスの暗号化保護を提供したい場合、このドメインはユーザーがHTTPSを使用しないとアクセスできないため、事前にHTTPS証明書のデプロイを完了する必要があります。そのため、DNS委譲検証の方式で無料証明書を申請することを選択します。参考操作手順は以下の通りです：1. EdgeOneコンソールにログインし、左側のメニューバーで「サービス概要」に入り、「Webサイト安全な加速」内で設定が必要なサイトをクリックします。
2. 左側のナビゲーションバーで、ドメインサービス＞ドメイン管理をクリックします。
3. ドメイン名管理ページで、証明書を設定するドメイン名を選択し、HTTPS列で設定をクリックします。
4. HTTPS設定で、エッジHTTPS証明書カードを見つけ、設定をクリックします。
5. 設定方式として無料証明書の申請を選択し、検証方式としてDNS委譲検証を選択して、検証内容の取得をクリックします。
6. 設定が必要な検証内容を確認し、現在のドメイン解析サービスプロバイダー内で、指定されたDNSレコードを設定し、検証ドメインのレコード解決をEdgeOne指定ドメインに委任します。例えば、現在の例では、ドメインの解決はTencent DNSにホスティングされています。以下の手順を参照して設定できます。ドメイン解決が他のサービスプロバイダー内にある場合は、対応する解析サービスプロバイダーの操作ドキュメントを参照して設定してください：
6.1 Tencent CloudのDNSコンソールにログインし、権威解析で、設定が必要なドメイン名をクリックして解析設定に入ります。
6.2 レコード管理で、レコードを追加をクリックし、CNAMEレコードを1件追加します。ホストレコードとレコード値は、取得した検証内容に記載されている設定が必要なレコード情報です。
6.3 確認をクリックすると、追加が完了します。
7. 対応する検証レコードを追加した後、検証レコードは通常10～30分で有効になります。ツールを使用してレコードの有効化状態を確認することをお勧めします（例：DNS診断ツールまたはその他のmdigツール）。現在のレコード設定が正しく有効になっていることを確認してください。本機のみでの検証では、このDNSレコードが世界中で有効になっていることを示すことはできません。CA機関は対応するDNSレコード値を検出できないために証明書の発行を拒否する可能性があります。完全に有効になってから次の手順に進むことをお勧めします。
8. 検証をクリックし、検証が通過した後、無料証明書の申請が完了します。
9. 保存をクリックし、この証明書を現在のドメインに配布します。ドメインのデプロイが完了すると、このドメインはHTTPSでアクセスできるようになります。
サンプルシナリオ3：ファイル検証を使用した無料証明書の申請
例えば、現在のドメイン
example.comがCNAME方式でEdgeOneに接続されており、現在のドメインにはまだHTTPS証明書がありません。EOの無料証明書を使用してユーザーにHTTPSアクセスの暗号化保護を提供したい場合、このドメインのユーザーはHTTPSを使用しないとアクセスできないため、事前にHTTPS証明書のデプロイを完了する必要があります。そのため、ファイル検証方式で無料証明書を申請します。参考操作手順は以下の通りです：1. EdgeOneコンソールにログインし、左側のメニューバーで「サービス概要」に入り、「Webサイト安全な加速」内で設定が必要なサイトをクリックします。
2. 左側のナビゲーションバーで、ドメインサービス＞ドメイン管理をクリックします。
3. ドメイン名管理ページで、証明書を設定するドメイン名を選択し、HTTPS列で設定をクリックします。
4. HTTPS設定で、エッジHTTPS証明書カードを見つけ、設定をクリックします。
5. 設定方式として無料証明書の申請を選択し、検証方式としてファイル検証を選択し、検証内容の取得をクリックします。
6. 確認が必要な検証内容を確認します。ファイル検証では、現在のドメインサイトの指定ディレクトリに検証に必要なTXTファイルをアップロードする必要があります。Linuxサーバーを例にすると、設定方法は以下の通りです：
6.1 オリジンサーバーで、Webサイトのルートディレクトリに移動します。ルートディレクトリとは、現在のWebサイトを格納しているフォルダを指し、システムのルートディレクトリではありません。
6.2 シェルコマンドをコピーし、サーバー内に検証に必要なファイルを作成します。
7. 対応する検証レコードを追加した後、下の検証アドレスをクリックして検証ファイルに正常にアクセスできるかどうかを確認できます。アクセスでき、検証ファイルの内容が正しいことを確認してから、次の手順に進みます。
8. 検証をクリックします。検証が完了すると、無料証明書の申請が完了します。その後、保存をクリックし、この証明書を現在のドメインに配布します。ドメインのデプロイが完了すると、このドメインはHTTPSでアクセスできるようになります。
関連参考
無料証明書の申請に失敗する一般的な原因
無料証明書の申請が失敗した場合、失敗のメッセージに従って、以下の原因と解決策に基づいてトラブルシューティングを行います：
説明：
以下の一般的な失敗原因に加えて、以下の2つの考えられる原因も同時に確認することをお勧めします。これらの2つの原因も無料証明書の発行に影響します：
ドメインにDNSSECが設定されている場合は、DNSSECの設定が正しいことを確認してください。正しくない場合、現在のドメインが正常に解決されず、無料証明書の申請が失敗する原因となります。
現在のドメインにCAAレコードが設定されているかどうかを確認します。CAAレコードが設定されている場合は、TrustAsiaおよびLet's Encryptによる無料証明書の発行が許可されていることを確認してください。例えば、現在のドメインでTrustAsiaおよびLet's Encryptによる証明書の発行のみが許可されている場合、以下の2つのCAAレコードを追加できます：
0 issue "digicert.com"または0 issue "letsencrypt.org"。失敗プロンプト | 想定される失敗原因 | ソリューション |
現在のサイトはDNS委派検証方式によるワイルドカード証明書の申請のみをサポートしています。無料証明書の検証方式を再選択してください。 | ワイルドカードドメインの無料証明書はDNS検証方式での申請のみをサポートしています。サイトをNS接続モードからCNAME接続に切り替える場合、DNS委派検証方式で申請する必要があります。DNS委派レコードが設定されていない場合、証明書の申請が失敗します。 | 無料証明書を再申請し、DNS委派検証方式を選択して、対応するDNS委派レコードの設定を完了してください。 |
DNS委派レコードの検証に失敗しました。DNS委派レコードが追加されていることを確認してください。追加が完了している場合は、レコードが有効になるまで待ってから再試行してください。 | DNS委派検証レコードが未設定、または削除されたため、証明書の申請に失敗しました。 | 無料証明書を再申請し、DNS委派検証方式を選択して、対応するDNS委派レコードの設定を完了してください。 |
| 以前にTrustAsiaまたはLet's Encryptから発行された無料証明書を申請したことがある場合、自行で追加したTXTレコードが存在すると、解析されるTXTレコードが正しくない可能性があります。 | 現在のドメインのホストレコード_dnsauthまたは_acme-challengeに、追加済みのTXTレコードが存在するかどうかを確認してください。存在する場合は、元々追加したTXTレコードを削除し、しばらく待ってから再試行してください。 |
| DNSレコードはまだ有効になっていません。DNSレコードの設定が有効になるまでには一定の時間がかかります。通常は5～10分で、最長でも48時間を超えません。 | DNSレコードが有効になるのを待ってから、検証を行ってください。 |
CAによる証明書の発行をお待ちください。後ほど再試行してください。 | CA検証を送信済みで、CA機関による証明書の発行を待っています。 | しばらく待ってから再試行してください。 |
CA検証が完全に失敗したか、または時間制限を超えました。証明書を再申請してください。 | CA機関への検証提出時に、CA機関が検証値を確認できないため、証明書の発行を拒否し、現在の証明書申請注文をクローズしました。その結果、今回の証明書申請が失敗しました。 | 証明書を再申請してください。 |
自動検証に失敗しました。ドメインのCNAMEが設定されていることを確認し、分割ライン解析の使用を避けてください。追加が完了している場合は、CNAMEが有効になるまで待ってから再試行してください。 | CA機関の検証サーバーは主に中国本土以外の地域に配置されています。現在のドメインで分割ライン/分割地域解析が設定されている場合、検証機関が指定された検証ファイルにアクセスできなくなり、検証が失敗します。 | 方案一：すべての地域のドメイン名解決をEOに向けてください。特に北米です。 方案二：DNS委派検証方式で無料証明書を申請します。 |
| CNAMEがガイドに従って正しく設定されていません。 | |
| CNAMEは正しく設定されています。DNS解析レコードの設定後、通常は5～10分の反映時間が必要です。完全に反映されてからでないと検証に合格しません。 | 設定が正しいことを確認できた場合は、DNS設定が完全に有効になるまでお待ちください。 |
| 現在のドメインにはセキュリティポリシーが設定されており、指定された地域からのリクエストのみを許可しています。そのため、CA機関が指定された検証値にアクセスできず、申請が失敗しました。 | 方案一：現在のドメインのセキュリティポリシーを確認し、CA検証リクエストをブロックするポリシーを無効にしてください。 方案二：DNS委派検証方式で無料証明書を申請します。 |
DNSサーバーが正しくEdgeOneを向いていません。 | 主にNS接続モードで発生します。現在のドメインのNSサーバーがまだEdgeOneに正しく向けられていないため、DNSレコードが正常に有効にならず、その結果証明書の検証が失敗します。 | NSサーバーの設定をEdgeOneに向けて変更してください。 |
DNSサーバーが正しくDNSPodを向いていません。 | 主にDNSPodホスティング接続モードで発生します。現在のドメインのNSサーバーがDNSPodに正しく向けられていないため、DNSレコードが正常に有効にならず、その結果証明書の検証が失敗します。 | NSサーバーの設定をDNSPodに向けて変更してください。 |
DNS検証が失敗しました。しばらくしてから再試行してください。 | 現在のDNSレコードがまだ有効になっていないことが原因である可能性があります。NSサーバーを切り替えた後、NSサーバーが完全に有効になるまでには通常0～48時間かかります。有効になった後、対応するDNSレコードが有効になります。 | NSサーバーが完全に有効になるまでお待ちいただき、その後、無料証明書を再申請してください。 |
ファイル検証が失敗しました。 | ファイル検証方式を使用する際、指定されたファイルアドレスにアクセスできないか、アクセスしたファイルの内容が正しくありません。 | ファイル検証を使用する際は、指定された検証ファイルにアクセスできることを確認してください。 |
TXT検証レコードの作成に失敗しました。 | NS/DNSPodホスティング接続モードで無料証明書を申請する際、EdgeOneはDNSPod内に証明書検証に必要なTXTレコードを自動的に作成します。レコードの競合やTXTレコードの長さが上限を超えるなどの理由で作成が失敗する可能性があります。 | 1.現在作成が必要なTXT検証レコードと競合するレコードが存在するかどうかを確認し、競合するレコードを削除してください。 2.現在作成が必要なホストレコードに既に存在するTXTレコードの数を確認してください。DNSPod内ではTXTレコードの合計長は4096バイトを超えることはできません。不要なTXTレコードを削除してから再試行してください。 3.DNSPod管理アクセスモードの場合、現在プリセットロールTEO_QCSLinkedRoleInDnspodAccessEOが存在するかどうかを確認できます。EOはこのロールを通じて検証に必要なTXTレコードを自動的に作成します。 |
申請に失敗しました。再試行してください。 | その他の未知のエラーです。 | |
フィードバック