安全な証明書自動更新のやり方 - Cybozu Inside Out | サイボウズエンジニアのブログ

cybozu.com Cloud Platformチームのhsnとtomoです。今回はサイボウズで証明書更新の自動化を安全に行うための工夫をご紹介します。 背景 サイボウズではcybozu.comのサービスを提供するために数多くの証明書を取得し、管理しています。 今まではそれらをすべて手動で取得し、入れ替えを行っていました。 しかし、元来の運用ではいくつかの問題が浮上してきました。 手動更新の際は認証局によって更新手順が異なります。 具体的にはドメインの所有確認(DCV: Domain Control Validation)と証明書のダウンロード手順を、それぞれの認証局が独自に提供しています。 そのため、ドメインの更新手順書は複雑に長くなってしまいます。結果として更新の準備に時間がかかり、実施の際にミスも発生しやすくなっていました。 サイボウズでは証明書の有効期限が切れる1か月前に管理用の

[teppeis]

ACMEプロトコルのDNS-01で過剰な権限を渡さないために代理ゾーン, CAA, ct-monitorを利用する話

[k1LoW]

代理ゾーンしらなかった。便利そうだ

[mapk0y]

CNAME で別のゾーンに渡せるのしらなかった。丁寧な説明でとても参考になる

[tmatsuu]

わいわい