自動証明書管理環境

自動証明書管理環境（ACME ）プロトコルは、証明機関とそのユーザーのサーバー間のやり取りを自動化するための通信プロトコルであり、非常に低コストで公開鍵インフラストラクチャの自動展開を可能にします。 ^{[1] [2]これは}、インターネットセキュリティ研究グループ（ISRG）によってLet's Encryptサービス用に設計されました。^[1]

このプロトコルは、HTTPS経由でJSON形式のメッセージを渡すことに基づいており、^{[2] [3]}独自のIETFワーキンググループによってRFC  8555 ^[4]でインターネット標準として公開されています。^[5]

ISRGはACMEの無料のオープンソースリファレンス実装を提供しています。certbotはACMEプロトコルを使用したPythonベースのサーバー証明書管理ソフトウェアの実装です。 ^{[6] [7] [8]} boulderはGoで書かれた証明機関の実装です。^[9]

2015年以降、あらゆるオペレーティングシステム向けに多種多様なクライアントオプションが登場しています。^[10]

example.comAPI v1仕様は2016年4月12日に公開されました。やなどの完全修飾ドメイン名の証明書発行をサポートしていますがcluster.example.com、などのワイルドカードはサポートしていません*.example.com。Let's Encryptは2021年6月1日にAPI v1のサポートを終了しました。^[11]

API v2 は、数回の延期の後、2018 年 3 月 13 日にリリースされました。ACME v2 は v1 との下位互換性がありません。バージョン 2 は、などのワイルドカード ドメインをサポートしており、単一の共有「ワイルドカード」証明書を使用して、単一ドメインのプライベート ネットワーク上で、、、など*.example.comの多くのサブドメインが信頼できるTLS を持つことが可能になります。 ^[12] v2 での主要な新しい要件は、ワイルドカード証明書の要求には、ドメイン ネーム サービスTXT レコードの変更が必要であり、ドメインの制御を検証することです。 https://cluster01.example.comhttps://cluster02.example.comhttps://example.com

ACME v2プロトコルのv1からの変更点は以下の通りである: ^[13]

• 承認/発行フローが変更されました
• JWSリクエストの認証が変更されました
• JWS リクエスト本体の「リソース」フィールドは、新しい JWS ヘッダー「url」に置き換えられます。
• ディレクトリエンドポイント/リソースの名前変更
• チャレンジリソースの URI → URL の名前変更
• アカウント作成と ToS 同意が 1 つのステップに統合されました。以前は、これらは 2 つのステップでした。
• 新しいチャレンジタイプTLS-ALPN-01が実装されました。以前の2つのチャレンジタイプTLS-SNI-01とTLS-SNI-02はセキュリティ上の問題により削除されました。^{[14] [15]}

• Simple Certificate Enrollment Protocol は、自動化された証明書展開プロトコルの以前の試みです。

• Barnes, Richard、Hoffman-Andrews, Jacob、Kasten, James。「自動証明書管理環境 (ACME)」。IETF。
• Let's Encryptの ACME クライアントのリスト
• よく使用される ACME クライアントのリスト（acmeclients.com 経由）