Web アプリの App Service 証明書を作成して管理する

この記事では、App Service 証明書を作成し、証明書の更新、同期、削除などの管理タスクを実行する方法について説明します。 App Service 証明書を作成したら、App Service アプリにそれらをインポートできます。 App Service 証明書は、Azure によって管理されるプライベート証明書です。 自動証明書管理のシンプルさと、更新オプションとエクスポート オプションの柔軟性が組み合わされています。

Azure から App Service 証明書を購入する場合、Azure で次のタスクが管理されます。

• GoDaddy から購入プロセスを処理する。
• 証明書のドメイン検証を実行する。
• 証明書を Azure Key Vault に保持する。
• 証明書の更新を管理する。
• App Service アプリでインポートしたコピーと証明書を自動的に同期する。

前提条件

• App Service アプリを作成します。 アプリの App Service プランは、Basic、Standard、Premium、または Isolated レベルである必要があります。 レベルを更新するには、アプリのスケールアップに関する記事を参照してください。

App Service 証明書を購入して構成する

証明書を購入する

1. [App Service 証明書の作成] ページに移動し、購入を開始します。

   Note

   Azure から購入した App Service 証明書は、GoDaddy によって発行されます。 一部のドメインでは、値 0 issue godaddy.com を使用して CAA ドメイン レコードを作成し、GoDaddy を証明書の発行者として明示的に許可する必要があります。

   

2. 証明書を構成するには、次の表を参考にしてください。 完了したら、[確認と作成]、[作成] の順に選択します。

   設定	説明
   サブスクリプション	証明書に関連付ける Azure サブスクリプション。
   リソース グループ	証明書が格納されるリソース グループ。 新しいリソース グループを作成するか、App Service アプリと同じリソース グループを選択できます。
   SKU	作成する証明書の種類 (標準証明書またはワイルドカード証明書) を決定します。
   ネイキッド ドメインのホスト名	ルート ドメインを指定します。 発行された証明書によって、ルート ドメインと www サブドメインの "両方" が保護されます。 発行される証明書において、[共通名] フィールドはルート ドメインを指定し、[サブジェクトの別名] フィールドは www ドメインを指定します。 サブドメインのみをセキュリティ保護するには、そのサブドメインの完全修飾ドメイン名 (例: mysubdomain.contoso.com) を指定します。
   証明書名	App Service 証明書のフレンドリ名。
   自動更新の有効化	有効期限が切れる前に証明書を自動的に更新するかどうかを選びます。 更新するたびに証明書の有効期限が 1 年間延長されます。 料金はサブスクリプションに課金されます。

3. デプロイが完了したら、[リソースに移動] を選択します。

証明書を Azure Key Vault に格納する

Key Vault は、クラウド アプリケーションやサービスで使用される暗号化キーとシークレットを保護するための Azure サービスです。 App Service 証明書の場合は、Key Vault を使用することをお勧めします。 証明書購入プロセスを完了したら、証明書を使い始める前に、さらにいくつかの手順を完了する必要があります。

1. App Service 証明書のページで証明書を選びます。 証明書のメニューで、[証明書の構成]>[手順 1: 格納] を選びます。

   

2. [キー コンテナーの状態] ページで、[キー コンテナーから選ぶ] を選択します。

3. 新しいコンテナーを作成する場合は、次の表に基づいてコンテナーを設定します。App Service アプリと同じサブスクリプションとリソース グループを必ず使ってください。

   設定	説明
   リソース グループ	推奨: App Service 証明書と同じリソース グループ。
   キー コンテナー名	英数字とダッシュだけを使用する一意の名前。
   リージョン	App Service アプリと同じ場所。
   価格レベル	詳しくは、Azure Key Vault の価格の詳細に関するページをご覧ください。
   削除されたボールトを保持する日数	削除後、オブジェクトが復旧可能な状態に維持される日数 (「Azure Key Vault の論理的な削除の概要」を参照)。7 から 90 までの値を設定します。
   消去保護	このオプションを有効にすると、すべての削除済みオブジェクトが、保持期間全体にわたって論理的に削除された状態に維持されます。

4. [次へ] を選択し、[コンテナー アクセス ポリシー] を選択します。 現在、App Service 証明書でサポートされているのは Key Vault のアクセス ポリシーのみであり、RBAC モデルはサポートされていません。

5. [確認と作成] を選択し、次に [作成] を選択します。

6. キー コンテナーが作成された後は、[リソースに移動] を選択しないでください。 [Azure Key Vault からキー コンテナーを選択する] ページが再読み込みされるまで待ちます。

7. [選択] を選択します。

8. コンテナーを選んだ後、[Key Vault リポジトリ] ページを閉じます。 [手順 1: 格納] オプションに、成功を示す緑色のチェック マークが表示されます。 次の手順のためにページは開いたままにしておきます。

ドメインの所有権を確認する

1. 前のセクションと同じ [証明書の構成] ページで、[手順 2: 確認] を選択します。

   

2. [App Service の確認] を選択します。 このセクションで先ほどドメインを Web アプリにマップしたため、ドメインは既に検証されています。 このステップを完了するには、[確認] を選び、[証明書はドメイン確認済みです] というメッセージが表示されるまで [最新の情報に更新] を選びます。

次のドメイン検証方法がサポートされています。

証明書がドメイン検証されたら、App Service アプリにインポートできます。

App Service 証明書を更新する

既定では、App Service 証明書の有効期間は 1 年です。 有効期限前であれば、App Service 証明書を 1 年単位で自動または手動で更新できます。 実質的に、証明書更新プロセスによって新しい App Service 証明書が提供され、有効期限が既存の証明書の有効期限から 1 年間延長されます。

1. App Service 証明書の自動更新設定を変更するには、App Service 証明書のページで証明書を選びます。

2. 左側のメニューで、[自動更新の設定] を選びます。

3. [オン] または [オフ] を選択し、[保存] を選択します。

   自動更新をオンにすると、証明書は有効期限の 32 日前に自動更新を開始できます。

   

4. 証明書を手動で更新するには、[手動更新] を選びます。 有効期限の 60 日前に、証明書の手動更新を要求できますが、証明書は 397 日を超えて発行することはできません。

5. 更新操作が完了したら、[同期] を選びます。

   同期操作によって、アプリにダウンタイムを発生させることなく、App Service 内の証明書に対するホスト名のバインドが自動的に更新されます。

   注意

   [同期] を選ばないと、証明書は 24 時間以内に App Service によって自動的に同期されます。

App Service 証明書をキー更新する

証明書の秘密キーが侵害されたと思われる場合は、証明書のキー更新を実行できます。 この処置により、証明書と証明機関から発行された新しい証明書がローテーションされます。

1. App Service 証明書のページで証明書を選びます。 左側のメニューから [キー更新と同期] を選びます。

2. プロセスを始めるには、[キー更新] を選びます。 処理が完了するまでに 1 ～ 10 分かかることがあります。

   

3. ドメインの所有権の再確認が必要になる場合もあります。

4. キー更新操作が完了したら、[同期] を選びます。

   同期操作によって、アプリにダウンタイムを発生させることなく、App Service 内の証明書に対するホスト名のバインドが自動的に更新されます。

   注意

   [同期] を選ばないと、証明書は 24 時間以内に App Service によって自動的に同期されます。

App Service 証明書をエクスポートする

App Service 証明書は Key Vault シークレットであるため、コピーを PFX ファイルとしてエクスポートし、他の Azure サービスまたは Azure の外部で使うことができます。

secretname=$(az resource show \
    --resource-group <group-name> \
    --resource-type "Microsoft.CertificateRegistration/certificateOrders" \
    --name <app-service-cert-name> \
    --query "properties.certificates.<app-service-cert-name>.keyVaultSecretName" \
    --output tsv)

az keyvault secret download \
    --file appservicecertificate.pfx \
    --vault-name <key-vault-name> \
    --name $secretname \
    --encoding base64

$ascName = <app-service-cert-name>
$ascResource = Get-AzResource -ResourceType "Microsoft.CertificateRegistration/certificateOrders" -Name $ascName -ResourceGroupName <group-name> -ExpandProperties
$keyVaultSecretName = $ascResource.Properties.certificates[0].$ascName.KeyVaultSecretName
$CertBase64 = Get-AzKeyVaultSecret -VaultName <key-vault-name> -Name $keyVaultSecretName -AsPlainText
$CertBytes = [Convert]::FromBase64String($CertBase64)
Set-Content -Path appservicecertificate.pfx -Value $CertBytes -AsByteStream

ダウンロードした PFX ファイルは、公開証明書とプライベート証明書の両方を含む未加工の PKCS12 ファイルであり、インポート パスワードは空の文字列です。 パスワード フィールドを空のままにすることで、ファイルをローカル環境にインストールできます。 ファイルはパスワードで保護されていないため、ファイルをそのまま App Service にアップロードすることはできません。

App Service 証明書を削除する

App Service 証明書を削除する場合、削除操作を元に戻すことはできません。 その結果、証明書は取り消され、その証明書を使用する App Service 内のすべてのバインドが無効になります。

1. App Service 証明書のページで証明書を選びます。

2. 左側のメニューから、[概要]>[削除] を選びます。

3. 確認ボックスが開いたら、証明書名を入力し、[OK] を選択します。

よく寄せられる質問

App Service 証明書の値が Key Vault にありません

App Service 証明書がまだドメイン検証されていない可能性があります。 ドメインの所有権が確認されるまで、App Service 証明書は使用できません。 Key Vault シークレットとしてタグ Initialize が保持され、その値とコンテンツの種類は空のままになります。 ドメインの所有権が確認されると、キー コンテナー シークレットに値とコンテンツの種類が表示され、タグが Ready に変わります。

PowerShell で App Service 証明書をエクスポートできません

App Service 証明書がまだドメイン検証されていない可能性があります。 ドメインの所有権が確認されるまで、App Service 証明書は使用できません。

App Service 証明書の作成プロセスによって、既存のキー コンテナーにどのような変更が加えられますか?

作成プロセスにより、以下の変更が生じます。

• コンテナーに、以下 2 つのアクセス ポリシーが追加されます。
  • Microsoft.Azure.WebSites (または Microsoft Azure App Service)
  • Microsoft 証明書リセラー CSM リソース プロバイダー (または Microsoft.Azure.CertificateRegistration)
• キー コンテナーが誤って削除されるのを防ぐために、コンテナーに AppServiceCertificateLock という名前の削除ロックを作成します。

関連するコンテンツ

• Azure App Service で TLS/SSL バインドを使用してカスタム DNS 名をセキュリティで保護する
• HTTPS の適用
• TLS 1.1/1.2 の適用
• Azure App Service のご自分のコードから TLS/SSL 証明書を使用する
• Azure App Service でのリソースの作成または削除に関してよく寄せられる質問