【緊急】証明書有効期限が「45日」に激変！？ACMがACMEプロトコルをサポート！自動化しないと死ぬ時代の到来！

AWS Certificate Manager (ACM) が ACME (Automated Certificate Management Environment) プロトコルをサポートしました。これにより、Certbot や Kubernetes の cert-manager などの標準的な ACMEv2 クライアントを使用して、Amazon Trust Services 発行のパブリック TLS 証明書を自動発行・更新することが可能になります。証明書の有効期間は45日間と短いため、完全自動化が前提の機能となります。

🚨 ついに「手動管理」が不可能になる時代へ

これまでは ACM で発行した証明書を ALB や CloudFront に貼るのが定石でしたが、これからは**「証明書有効期間の短縮化」**という業界全体の荒波がやってきます。2029年までに有効期間が47日程度にまで短縮される動きがあり、これまでの「1年ごとに更新して終わり」という運用は通用しなくなります。

🛠️ ACM × ACME が解決する現場の課題

今回のアップデートの真の価値は、単に自動化できることだけではありません。

1. 非 AWS インフラへの展開: これまで ACM のパブリック証明書は「秘密鍵のエクスポート不可」がネックで、オンプレミスや EC2 上の Nginx、Kubernetes 等の外部環境で使えませんでした。ACME 対応により、クライアント側で秘密鍵を生成できるため、外部環境でも ACM の証明書が利用可能になります。
2. セキュアな権限委譲: DNS 権限を開発チームに渡さずに、ACM エンドポイント経由で証明書発行を安全に制御しながら、チームに発行権限を委譲できます。

🇯🇵 日本国内の利用状況

リサーチの結果、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) で既に利用可能であることが確認できました。国内のインフラエンジニアもすぐに導入検討が可能です。

⚠️ 注意点：使い分けが超重要！

ここが一番のハマりポイントです。ACME で発行した証明書は、ALB や CloudFront などの AWS サービスに直接適用することはできません。 これらは従来通り RequestCertificate API を使用する標準的な ACM 証明書を使い続けてください。

🚀 次のアクション：まずはこれをチェック！

1. cert-manager の構成変更: Kubernetes 環境を使っているなら、cert-manager との連携を真っ先に検討してください。
2. 自動更新のテスト: 45日という短期間での運用になるため、更新の失敗が致命的です。CloudWatch Metrics で発行状況を監視する設定をセットアップしましょう。

参考資料: AWS Certificate Manager の ACME サポートに関する公式ドキュメント AWS News Blog post