ACMが既存証明書のドメイン検証をEメールからDNSへ切り替え可能に

AWS Certificate Manager (ACM) が、既存のパブリックTLS証明書のドメイン検証方法をEメール検証からDNS検証へ切り替える機能をサポートしました。

• 証明書の再発行やARNの変更は不要で、既存のCI/CDパイプラインやロードバランサー設定への影響はありません。
• CA/B Forumの規定により、Eメール検証は2028年3月15日に完全廃止されるため、ACMは2027年3月31日に新規発行を、2027年9月30日に更新を停止します。
• DNS検証への切り替えにより、自動更新が可能となり、移行期限前に対応できます。
• 切り替えはACMコンソールまたはUpdateCertificateOptions APIで実行し、提供されたCNAMEレコードを72時間以内にDNS設定に追加する必要があります。
• 全てのACM利用可能リージョンで提供されています。

エンジニア視点での考察・アドバイス

解決された技術的課題

• 手動更新の負担解消: Eメール検証では更新時に手動承認が必要でしたが、DNS検証に切り替えることで完全自動化が可能になります。
• ARNの不変性: 既存のARNを維持できるため、設定変更や再デプロイの手間がなく、運用リスクを最小化できます。

日本のリージョン状況（東京・大阪）

• 東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) で本機能は利用可能です。
• AWS公式RSSで「ACM証明書が利用可能な全リージョンで提供」と明記されており、両リージョンはこの条件を満たしています。

実務上の注意点

• 移行期限の厳守: 2027年9月30日以降はEメール検証の証明書が更新できなくなるため、早期の移行を推奨します。
• DNS設定の確認: CNAMEレコードの追加後、72時間以内に反映されない場合はACMコンソールやListCertificateDomainValidations APIでステータスを確認してください。
• CloudFront利用時の例外: CloudFrontディストリビューションではHTTP検証が推奨されています。DNS検証との使い分けに注意しましょう。

次のアクション

1. 既存証明書の棚卸し: Eメール検証を使用している証明書を洗い出し、優先度の高いものからDNS検証へ切り替えます。
2. テスト環境での検証: 非本番環境で切り替えプロセスを試し、DNS設定や更新フローを確認します。
3. 自動更新の設定: DNS検証に切り替えた証明書は、ACMの自動更新機能を有効化してください。

参考ドキュメント

• Migrating from email to DNS validation (AWS Certificate Manager User Guide)
• AWS Security Blog: ACMのEメール検証廃止に関する詳細