はじめに
目的
本資料はSSL証明書の更新に関する実務的な情報を分かりやすくまとめたものです。更新手順や有効期限の管理、自動更新の活用方法、クラウドサービスでの操作まで、日常の運用で役立つノウハウを提供します。
対象読者
システム管理者やウェブ担当者の方を主な対象としますが、初めてSSLを扱う方や担当が変わった方にも役立つ内容です。専門用語は最小限に抑え、具体例で補足します。
本資料の構成と読み方
全6章で構成します。第2章では背景と重要性、第3章で具体的な更新手順、第4章で有効期限切れを防ぐ対策、第5章で自動更新ツール（TLM）の活用例、第6章でクラウドサービスごとの更新手順を解説します。まずは第2章以降を順に読むと全体の流れがつかみやすいです。
注意点
運用環境によって手順や画面が異なる場合があります。各章では代表的な手順を示しますので、実際の操作は自社の環境に合わせて確認してください。
SSL証明書更新の背景と重要性
はじめに
SSL証明書は、Webサイトと利用者の間の通信を暗号化し、なりすましを防ぎます。証明書の有効期限が切れると、ブラウザが警告を表示し、利用者がサイトを離れる原因になります。
なぜ更新が必要か
証明書は時間とともに安全性が低下する可能性があります。例えば秘密鍵が漏えいすると第三者に通信を復号される恐れがあります。更新により新しい鍵や設定に切り替え、リスクを減らします。
背景（有効期間短縮の決定）
2023年3月のCA/Browserフォーラムの決定により、SSL証明書の最大有効期間が90日に短縮されました。このため証明書の更新頻度が増え、管理の手間が増加します。同時に鍵の使い回しを減らせるため、全体の安全性は向上します。
更新増加の影響と具体例
更新頻度が上がると作業ミスや見落としのリスクが増えます。たとえばECサイトの証明書が期限切れになると決済が止まり、売上に直結します。社内システムでもログイン不能やメール配信の障害が起こります。
結論（導入の意義）
証明書更新は単なる期限管理ではなく、利用者とサービスを守る重要な作業です。次章では具体的な更新タイミングと手順をわかりやすく説明します。
SSL証明書の更新タイミングと手順
更新タイミング
一般に、有効期限の約90日前から30日前の間に更新手続きを始めるのが安心です。早めに準備すれば、認証局（CA）側の確認や再発行に時間がかかっても間に合います。各認証局で手続きの開始時期や必要書類が異なるため、利用中のCAの仕様は必ず確認してください。
更新手順（ステップごと）
- 期限確認と事前準備
- まず有効期限を確認します。管理画面や証明書の情報で確認できます。
-
サーバー情報やドメイン所有者情報が最新かをチェックします。
-
CSRの作成
- CSR（証明書署名要求）は公開鍵と所有者情報を含むファイルです。サーバー上で秘密鍵を作成し、対応するCSRを生成します。
-
例：サーバー管理ツールやコマンドでCSRを作成します。秘密鍵は厳重に保管してください。
-
認証局への申請
-
CSRをCAの管理画面にアップロードして申請します。申請時に連絡先や組織情報を求められます。
-
認証作業（ドメイン確認など）
- CAはドメイン所有の確認を行います。一般的な方法はメール認証、DNSレコード追加、指定ファイルのアップロードなどです。
-
指示に従って速やかに対応します。応答が遅れると発行が遅延します。
-
証明書の受領とインストール
- CAから発行された証明書をダウンロードしてサーバーにインストールします。
-
中間証明書も忘れずに設定し、接続確認ツールで正しくチェーンが構築されているか確認します。
-
動作確認と秘密鍵の管理
- HTTPS接続やブラウザ表示、API通信などを実際にチェックします。
- 秘密鍵のバックアップとアクセス権管理を行い、漏洩対策を整えます。
注意点
- 証明書を期限近くまで更新しないと、更新作業中のトラブルでサービスに影響が出る恐れがあります。
- サーバー構成や複数のエンドポイントがある場合は、全てに新しい証明書を適用するタイミングを揃えると安全です。
有効期限切れを防ぐための対策
リマインダーと余裕あるスケジュール
有効期限管理にはカレンダーやチケットのリマインダーを並行して使います。目安は「30日・14日・7日・1日」の通知を設定すると安心です。早めの対応余地が生まれ、万一のトラブルにも対応できます。
早期更新の活用
認証局によっては早期更新が可能で、新しい証明書の有効期間を正しく引き継げます。申請前に認証局のポリシーを確認し、早く更新して有効期限を延ばせるか確認してください。混乱を避けるため、更新時刻や切替手順を記録します。
管理台帳と監視体制
証明書の一覧（ホスト名・有効期限・所有者・発行元）を一元管理します。簡単な例はスプレッドシートやCSVです。監視は自動スクリプトや既存の監視ツールで行い、期限が近づけばメールやSlackで通知します。
自動化とテスト運用
可能な部分は自動化しますが、本番導入前に検証環境で必ずテストしてください。自動更新のログとロールバック手順を定義し、秘密鍵の安全な保管とバックアップを行います。
役割分担と手順書
更新の責任者、連絡先、手順書を明確にします。定期的に更新作業のドライラン（模擬更新）を実施し、手順が現状に合っているか確認してください。
実践チェックリスト（例）
- 証明書一覧を最新にする
- 30/14/7/1日のリマインダーを設定
- 認証局の早期更新ポリシーを確認
- 検証環境で更新を試す
- ログとロールバック手順を用意
- 定期的にドライランを行う
これらを実行すると、有効期限切れのリスクを大きく下げられます。
自動更新ツール（TLM）による効率化
概要
TLMは証明書の取得・更新・配布を自動化するツールです。情報入力は5分以内で済み、【Submit】を押すと1〜2分で処理が終わります。スケジュール実行に設定すれば入力作業を省略できます。
TLMでできること（具体例つき）
- 自動申請と取得：CSRや鍵を自動生成して申請を行います。例：社内ポータルの証明書をワンクリックで申請。
- 配布と再起動：更新後にサーバーへ配布し、必要であればサービスを再起動します。Webサーバーの手動操作を省けます。
- 通知とログ：更新結果をメールやチャットで通知し、履歴を保存します。問題が起きた時に原因をたどれます。
操作の流れ（簡単）
- 初期情報を入力（ドメイン、認証情報、配布先）。2. 【Submit】を押す。3. 自動で申請・取得・配布が進む。完了通知を受け取ります。
スケジュール実行の利点
定期実行にすると手動作業を完全に省けます。更新忘れやヒューマンエラーを大幅に減らし、運用負荷を軽くします。
運用上の注意点
- 初回設定でAPIキーや配布先権限を正しく登録してください。- ロールバック手順とテスト環境での検証をあらかじめ用意してください。- 通知設定を確実にして、失敗時に即対応できる体制を整えてください。
クラウドベースの証明書管理サービスでの更新手順
概要
クラウド型の証明書管理サービスでは、更新作業を大幅に簡素化できます。多くのサービスは元の証明書の残り有効期間を自動で新しい証明書に繰り越しますので、手続きは短時間で終わります。
ステップバイステップ
- サービスにサインインして「証明書一覧」を開きます。対象の証明書をクリックします。
- 「更新」ボタンを選び、更新オプションを確認します。通常は同じパラメーター（ドメイン名、SAN、鍵長）を自動指定します。
- 支払い情報を確認して決済を行います。即時更新を選べば新しい証明書が発行されます。
- 発行後、システムは新旧証明書の関係（どちらが置き換わったか）を表示します。
- 必要であればサーバやロードバランサに新証明書を配布し、接続確認を行います。テスト環境での検証をおすすめします。
注意点
- 残り有効期間の繰越は便利ですが、別途キーを再生成（rekey）した場合や、異なる認証方式を選んだ場合は再発行が必要です。
- ワイルドカードや複数ドメインの扱いは事前に設定を確認してください。自動指定と異なると手動対応が発生します。
- ロール管理やログを確認し、誰が更新したか記録を残してください。運用ミスを防げます。
実例（簡単）
残り30日の証明書を更新すると、サービスはその30日を新証明書に繰り越し、期限が延長されます。ユーザーはほとんど操作せずに完了します。
