AWS Certificate Manager が E メール検証から DNS 検証への切り替えをサポート
AWS Certificate Manager (ACM) では、既存の ACM 発行のパブリック TLS 証明書について、証明書を再発行したり、既存の Amazon リソースネーム (ARN) を変更したりすることなく、ドメイン検証方法を E メールから DNS に変更できるようになりました。 認証局ブラウザ (CA/B) フォーラムによって、公的に信頼された証明書に対する E メールベースのドメイン検証を 2028 年 3 月 15 日に廃止することが義務付けられました。これに伴い、ACM では 2027 年中に E メール検証のサポートを段階的に終了します。2027 年 3 月 31 日以降、E メール検証済み証明書の発行を停止し、2027 年 9 月 30 日には、E メール検証済み証明書の更新も停止します。ACM における E メール検証の廃止の詳細については、AWS セキュリティブログをご覧ください。今すぐ DNS 検証に切り替えることで、期限に先立って移行できるほか、DNS 検証済み証明書の更新を完全に自動化できます。
E メール検証から DNS 検証に切り替えた後も証明書の ARN は変わらないため、CI/CD パイプライン、ロードバランサー設定、その他の AWS のサービス統合で使用している既存の ARN 参照は、変更なしで引き続き機能します。検証方法を切り替えるには、ACM コンソールまたは UpdateCertificateOptions API を使用します。ACM は、証明書内の各ドメインに対して CNAME レコードを提供します。これは、DNS 検証を使用して新しい証明書をプロビジョニングする場合と同じ仕組みです。DNS 設定にレコードを追加するまでの猶予は最長 72 時間です。各ドメインの検証ステータスは、コンソールまたは ListCertificateDomainValidations API を使用してモニタリングできます。新しい証明書には DNS 検証を、Amazon CloudFront ディストリビューションには HTTP 検証を推奨します。
この機能は、ACM 証明書が提供されているすべての AWS リージョンで利用できます。利用を開始するには、AWS Certificate Manager ユーザーガイドの Migrating from email to DNS validation を参照してください。