既存の手動運用からACME自動更新へ切り替えるにはどうしたらよいですか？

既存の手動運用から ACME 自動更新への切替えは、4 ステップで完了します。多くの場合、半日〜1 日程度の作業で、以降は完全自動運用に移行できます。本ページでは、具体的なコマンド例・設定例を交えながら手順を解説します。

📊 切替えの全体像

既存の手動運用証明書は有効期限まで継続使用可能です。ACME 移行による即時切替えではなく、自然な世代交代が可能です。

🛠 STEP 1：ACME クライアントの選定・インストール

サーバ環境に合わせて ACME クライアントを選びます。

環境別のおすすめクライアント

インストール例：Ubuntu + Nginx

# certbot 本体と Nginx プラグインをインストール
sudo apt update
sudo apt install certbot python3-certbot-nginx

# バージョン確認
certbot --version

📝 STEP 2：FujiSSL で ACME 契約・EAB 情報取得

当グループ運営の FujiSSL.jp から ACME 対応プランをお申込みいただきます。

申込時に決めること

• ブランド：FujiSSL（同社運営）または Sectigo（旧 Comodo）
• 認証レベル：DV（個人・小規模）/ OV（企業）/ ワイルドカード / EV
• 有効期間：1 年（47 日ルール開始まで）
• ドメイン数：1 契約あたり 1 ドメインから

取得する情報（EAB 認証情報）

申込完了後、マイページから以下の EAB（External Account Binding）情報を取得します。

# 取得する 3 つの情報
ACME ディレクトリ URL：https://acme.fujissl.jp/acme/directory
KID（Key ID）：XXXXXXXXXXXXXXXXXXXX
HMAC キー：YYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYY

🧪 STEP 3：クライアント設定・テスト発行

ACME クライアントに FujiSSL の認証情報を登録し、テスト用ドメインで動作確認を行います。

certbot の場合

# EAB 情報を登録してアカウント作成
sudo certbot register \
  --server https://acme.fujissl.jp/acme/directory \
  --eab-kid XXXXXXXXXXXXXXXXXXXX \
  --eab-hmac-key YYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYY \
  --email admin@example.com \
  --agree-tos

# テストドメインで証明書取得
sudo certbot certonly \
  --server https://acme.fujissl.jp/acme/directory \
  --webroot -w /var/www/html \
  -d test.example.com

acme.sh の場合

# デフォルトの CA を FujiSSL に設定
acme.sh --set-default-ca --server https://acme.fujissl.jp/acme/directory

# EAB 情報を登録
acme.sh --register-account \
  --server https://acme.fujissl.jp/acme/directory \
  --eab-kid XXXXXXXXXXXXXXXXXXXX \
  --eab-hmac-key YYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYY

# テストドメインで証明書取得
acme.sh --issue -d test.example.com -w /var/www/html

動作確認のポイント

• 証明書の発行者が FujiSSL CA または Sectigo になっているか
• コモンネーム・SAN が想定通りか
• 有効期限が想定通りか
• 中間証明書（フルチェーン）が正しく取得できているか

# 取得した証明書の確認
openssl x509 -in /etc/letsencrypt/live/test.example.com/cert.pem -text -noout | head -30

🚀 STEP 4：本番ドメインへの切替え

テスト発行が成功したら、本番ドメインで証明書を取得します。

切替えの推奨手順

1. 本番ドメインで証明書を取得

   STEP 3 と同じコマンドで、本番ドメインを指定して証明書を取得します。

   sudo certbot certonly \
     --server https://acme.fujissl.jp/acme/directory \
     --webroot -w /var/www/html \
     -d www.example.com -d example.com

2. サーバ設定を新しい証明書のパスに変更

   Nginx / Apache の設定ファイルで、ssl_certificate のパスを ACME が出力する場所に変更します。

   # Nginx の場合
   ssl_certificate     /etc/letsencrypt/live/www.example.com/fullchain.pem;
   ssl_certificate_key /etc/letsencrypt/live/www.example.com/privkey.pem;

3. 設定テスト・リロード

   設定エラーがないことを確認してからリロードします。

   sudo nginx -t  # 設定構文チェック
   sudo systemctl reload nginx  # ダウンタイムなしリロード

4. 自動更新の有効化

   certbot は標準で systemd timer / cron が登録されますが、念のため確認します。

   # 自動更新のドライラン（実際には更新しない）
   sudo certbot renew --dry-run
   
   # systemd timer の確認
   systemctl list-timers | grep certbot

📋 切替え後のチェックリスト

• ✅ SSL Labs SSL Test で A 以上の評価
• ✅ ブラウザで「保護された通信」マークが表示される
• ✅ 中間証明書チェーンが完全（フルチェーン）
• ✅ certbot renew --dry-run が成功
• ✅ 監視システム（Mackerel / Datadog / Zabbix 等）で証明書の更新を検知できる
• ✅ 担当者の引き継ぎドキュメントを更新

🆘 トラブル時のチェックポイント

🤝 導入支援

ACME への切替えに関するご相談を承っています。

• 技術的なご質問：本サイトの お問い合わせフォーム
• ACME クライアントの選定相談：環境をお知らせいただければ最適な構成をご提案
• 導入代行：当社の インストール代行サービスで初期設定までお任せいただけます

詳しい技術仕様は ACME 自動更新ガイド、対応ブランドの一覧は 対応証明書一覧 もご参照ください。

FujiSSL.jp で ACME 対応版を申し込む →