Amazon Web Services ブログ

AWS Certificate Manager が E メールによるドメイン検証を終了、DNS 検証への移行をご案内します

本ブログは 2026 年 8 月 13 日に公開された AWS Blog “AWS Certificate Manager will discontinue email validation to prove domain validation for certificates” を翻訳したものです。

本日 (2026 年 8 月 13 日)、AWS Certificate Manager (ACM) が 2027 年 9 月 30 日までに E メール検証済みパブリック証明書のサポートを終了することを発表します。ACM のパブリック証明書で E メール検証を使用している場合は、この日付より前に DNS 検証への移行が必要です。この変更は、Certification Authority/Browser (CA/B) フォーラムによる E メールベースのドメイン検証の業界全体での廃止に合わせたものであり、フォーラムが定める 2028 年 3 月の期限に先立ち、移行のために丸 1 年の期間を確保できるようにしています。

このブログ記事では、この変更の理由とタイムライン、そして証明書を DNS 検証に移行するための手順を紹介します。

背景

CA/B フォーラムは、パブリックに信頼される証明書についてブラウザと認証機関 (CA) が従うべき標準を定めています。2025 年 11 月、CA/B フォーラムは 2028 年 3 月 15 日をもって E メールベースのドメイン検証のサポートを終了することを決議しました。この日付以降は、どの認証機関が発行したかにかかわらず、E メールで検証された証明書はブラウザから信頼されなくなります。

ACM は CA/B フォーラムの要件に合わせ、2027 年 9 月 30 日までに E メール検証を廃止します。この ACM のタイムラインにより、お客様は CA/B フォーラムの最終期限を迎える前に、1 年間かけて移行を進めることができます。

変更のタイムライン

現在 ACM からリクエストした証明書で E メール検証を使用している場合は、以下の重要な日付に注意してください。

  • 2027 年 1 月 1 日: ACM は新しい AWS リージョンでの E メール検証の提供を終了します。
  • 2027 年 3 月 31 日: ACM はすべてのリージョンで、新規の証明書リクエストに対する E メール検証の提供を終了します。
  • 2027 年 9 月 30 日: ACM はすべてのリージョンで、E メール検証を使用する既存の証明書の更新を終了します。
  • 2028 年 3 月 15 日: CA/B フォーラムの規定により、パブリック認証機関は E メールベースのドメイン検証を使用して、パブリックに信頼される証明書を発行または更新できなくなります。この日付より前に発行された証明書は、有効期限が切れるまで有効です。

既存の E メール検証済み証明書を確認する

ACM が発行したパブリック証明書をお持ちの場合は、ACM の AWS マネジメントコンソールまたは AWS コマンドラインインターフェイス (AWS CLI) を使用して、E メール検証済みの証明書があるかどうかを確認できます。

ACM コンソールを使用して E メール検証済み証明書を特定する

コンソールで以下の手順を実行して、E メール検証済み証明書を見つけます。

  1. ACM コンソールを開きます。
  2. フィルターで [Validation method] = [Email] (検証方法 = E メール) および [Type] = [Amazon Issued] (タイプ = Amazon 発行) を選択すると、E メール検証済み証明書の一覧が表示されます。
  3. ここに表示された証明書は、E メール検証済みのパブリック証明書であり、2027 年 9 月 30 日までに移行する必要があります。

    4. 図 1: すべてのパブリック E メール検証済み証明書の一覧

    図 1: すべてのパブリック E メール検証済み証明書の一覧

AWS CLI を使用して E メール検証済み証明書を特定する

以下のコマンドを使用して、E メール検証済み証明書を見つけます。

# Discover email validated public certificates 
region="${1:-us-east-1}" 

aws acm list-certificates --region "$region" \ 
--query "CertificateSummaryList[?Type=='AMAZON_ISSUED'].CertificateArn" --output text | tr '\t' '\n' | while read -r arn; do aws acm describe-certificate --region "$region" --certificate-arn "$arn" \
--query 'Certificate.[DomainName,Type,DomainValidationOptions[0].ValidationMethod]' \ 
--output text done | awk -F'\t' '$3 == "EMAIL"' | column -t 

Usage: 
chmod +x list-email-validated-certs.sh 
./list-email-validated-certs.sh # default region, us-east-1 
./list-email-validated-certs.sh us-west-2 # another region

既存の E メール検証済み証明書を移行する

この移行を支援するため、ACM は UpdateCertificateOptions API を更新し、証明書を置き換えることなく、検証方法を E メールから DNS に切り替えられるようにします。これにより、証明書の Amazon リソースネーム (ARN) は変わらず、その証明書を参照している AWS リソースへの変更も不要です。

証明書を DNS 検証に更新すると、ACM は DNS 設定に追加する CNAME レコードを提供します。このレコードは 72 時間以内に追加する必要があります。この期間中、証明書は E メール検証のまま通常どおり機能し続けます。72 時間以内に DNS を更新しなかった場合でも、証明書は E メール検証のまま有効な状態を維持するため、準備ができた時点で再試行できます。DNS 検証が完了すると、ACM は有効期限が切れる前に証明書を自動的に更新するようになり、それ以上の手作業は不要です。ACM が中断なく証明書を最新の状態に保てるように、2027 年 9 月 30 日までに移行を完了することをお勧めします。

コンソールを使用して移行するには

  1. 更新が必要な証明書を特定したら、その証明書を開き、ページ上部の [Update validation method] (検証方法を更新) を選択します。
    図 2: E メール検証済みパブリック証明書を表示した際の DNS 検証プロンプト

    図 2: E メール検証済みパブリック証明書を表示した際の DNS 検証プロンプト

  2. 更新が開始されると、証明書ページの上部に [View DNS records] (DNS レコードを表示) というフラッシュバーが表示されます。
    図 3: 検証方法の更新後に DNS 検証レコードを表示

    図 3: 検証方法の更新後に DNS 検証レコードを表示

  3. フラッシュバーの [View DNS records] (DNS レコードを表示) を選択するとダイアログボックスが開き、他の DNS プロバイダーにエクスポートするための CNAME レコードの CSV ファイルをダウンロードできます。
    図 4: ダイアログボックスから DNS 検証情報を取得

    図 4: ダイアログボックスから DNS 検証情報を取得

  4. Route 53 をご利用の場合は、[Create records in Route 53] (Route 53 でレコードを作成) を使用すると、ワンクリックで検証を実行できます。
    図 5: Route 53 に DNS 検証レコードを作成

    図 5: Route 53 に DNS 検証レコードを作成

AWS CLI を使用して移行するには

AWS CLI を使用して証明書を更新する手順については、E メール検証から DNS 検証への移行に関するユーザーガイドを参照してください。

E メール検証の提供終了後の代替手段

ACM は今後、新しい証明書に対して 2 つの検証方法をサポートします。

  • DNS 検証 – DNS 設定に CNAME レコードを追加します。レコードが維持されている限り、ACM は DNS 検証済み証明書を自動的に更新します。ほとんどのユースケースでこの方法をお勧めします。
  • Amazon CloudFront 向けの HTTP 検証 – ACM が提供する一意のトークンを、ドメイン上の well-known URL パスでホストします。この方法は、Amazon CloudFront で使用する証明書に限り利用できます。

どちらの方法も、E メール検証で必要だった手動の承認ステップが不要になり、ACM が証明書を自動的に更新できるようになります。

まとめ

E メール検証の廃止と新しい UpdateCertificateOptions API の活用により、業界標準の進化に合わせて、証明書の信頼性とアプリケーションの安定した稼働を維持できます。更新された UpdateCertificateOptions API を使えば、この移行は簡単に行えます。証明書を置き換えずに検証方法を切り替えて DNS レコードを追加すれば、それ以降の更新は ACM が自動的に処理する仕組みになっています。

移行に関するご質問やサポートが必要な場合は、AWS サポートにお問い合わせいただくか、AWS re:Post の ACM フォーラムで新しいスレッドを作成してください。

Adam Aboudi

Adam Aboudi

Adam は AWS Certificate Manager チームの Senior Technical Product Manager です。お客様が証明書のライフサイクル管理を簡素化し、AWS 環境全体で強固なセキュリティポスチャを維持できるよう支援することに注力しています。

Poojil Tripathi

Poojil Tripathi

Poojil は、テキサス州オースティンを拠点とする AWS の Solutions Architect です。AWS のお客様と協力して、あらゆる種類のワークロードに対する安全なアーキテクチャの設計を支援しています。「誰も見ていないかのように踊り、誰もが見ているかのように暗号化しましょう」というのが Poojil からのメッセージです。

本ブログは Security Solutions Architect の 中島 章博 が翻訳しました。