ACMEプロトコル認証情報（EAB）による認証情報管理手順（登録担当者向け）
改版履歴 | |||
版数 | 日付 | 内容 | 担当 |
V.1.0 | 2025/10/10 | 初版 | NII |
V.2.0 | 2026/04/20 | ACMEアカウントを示す文言を修正 | NII |
目次
1. 認証情報管理手順
本章では、サービス参加機関の利用管理者に配付するACMEアカウントの登録・更新・停止及び管理を行う登録担当者の操作方法について記述します。
サービス参加機関の利用管理者からACMEアカウントの登録要求があり、ACMEアカウントの新規登録が必要な場合は「1-1. ACMEアカウント登録」を行ってください。
既にACMEアカウントを本システムから登録していて、ACMEプロトコル認証情報（EAB）などの更新を行う場合は「1-2. ACMEアカウント更新」を行ってください。
ACMEアカウントの停止を行う場合は「1-3. ACMEアカウント停止」を行ってください。
手続きの種別 | 手続きを行う主な機会 |
ACMEアカウント登録
| 新規にACMEアカウントの登録を必要とする場合。 |
サーバ証明書の記載内容（主体者DN）を変更する場合。 | |
ACMEアカウント更新 | ACMEアカウント情報の変更を必要とする場合。 |
ACMEアカウント停止 | ACMEアカウントの停止を必要とする場合。 |
ACMEアカウント情報一括ダウンロード | 登録済みのACMEアカウント情報の取得を必要とする場合。 |
※ACMEアカウントについて
ACMEアカウントとは、ACME発行サーバプロトコルを利用して認証局サービスを使う際に、発行可能なサーバ証明書を管理するために事前に登録するアカウントです。
登録担当者によってACMEアカウントを登録すると、認証局サービスでACMEプロトコル認証情報（EAB）が生成され、その情報が登録担当者へ共有されます。
1アカウントに1つのACMEプロトコル認証情報（EAB）が設定されます。
ACMEアカウントは下記の情報を含んでいます。
ACMEアカウントID
EAB情報
主体者DNおよびSAN情報
利用管理者情報
※ACMEプロトコル認証情報（EAB）について
EAB（External Account Binding）は、ACMEプロトコルを使用して認証局サービスを利用する際、ACMEクライアントが事前に登録された外部アカウントの権限を証明し、サーバ証明書の自動発行や更新を可能にするための認証情報です。
ACMEプロトコル認証情報（EAB）では、ACMEアカウントの登録時に事前に生成されたKeyID（アカウントID）とHMAC秘密鍵（アカウントのワンタイムパスワード）を利用管理者に連携します。
利用管理者がこの情報を含んだACMEアカウント登録を実施することで、ACMEアカウントの登録が完了しますACMEアカウントは、一度利用管理者からの登録がなされると、その鍵情報を元に通信相手を特定します。
よってHMAC秘密鍵が不特定多数に知られるような運用や使いまわしは避けてください。ACMEアカウントの再利用は、秘密鍵の再利用と同じで、
秘密鍵が外部流出した場合、そのACMEアカウントは破棄する必要があります。
別のサーバにACMEアカウントを移動させる場合は、ACMEアカウントの再発行をお願いいたします。
また、同一サーバで、複数のACMEアカウントを持つことはシステム上可能ではありますが、
ACMEクライアントツールは、1アカウント1サーバを前提にしているため推奨いたしません。ACMEアカウントの管理権限が他の利用管理者に変更された場合、ACMEアカウントの更新が必要です。
ACMEアカウントを停止した場合、ACMEクライアントからのリクエストは不正なものとして受け付けません。
1-1. ACMEアカウント登録
以下に記述する手続きにより、ACMEアカウント登録を行います。
ACMEアカウント登録 |
|---|
【利用管理者→登録担当者】 ①ACME作成申請TSVファイルを作成します。（1-1-1に記載） |
【登録担当者作業】 ②ACME作成申請TSVファイルを利用管理者から受け取ります。利用管理者からTSVファイルを受け取るときには、利用管理者の本人確認を行ってください。（1-1-2に記載） ③ACME作成申請TSVファイルのアップロードを行ってください。（1-1-3に記載） ④画面上に表示されるACMEプロトコル認証情報（EAB）を取得していください。サンプルとしてcertbot向けのコマンドが表示されます。（1-1-3に記載） |
【登録担当者→利用管理者】 ⑤ACMEプロトコル認証情報（EAB）を登録担当者から利用管理者に通知します。（1-1-4に記載） |
1-1-1. 利用管理者によるACME作成申請TSVファイル作成
利用管理者は、ACME作成申請TSVファイルを作成します。
TSVファイル作成用Webアプリケーション（TSVツール）を提供しておりますので、ご利用ください。
TSVツール利用時は、「証明書種別」を「サーバ証明書（ACME)」と指定してください。
作成したTSVファイルを登録担当者宛にメールで送付します。
1-1-2. TSVファイルの受け取り及び審査
登録担当者は、利用管理者からACME作成申請TSVファイルを受領します。その際、各機関の定められた手続きに従い利用管理者の本人性・実在性を審査してください。
1-1-3. ACME作成申請TSVファイルのアップロード
ACME作成申請TSVファイルを本システムへアップロードしてください。アップロードする方法を以下に記述します。
ACMEアカウント登録申請手続き |
|
1-1-4. 登録担当者による利用管理者へのACMEプロトコル認証情報（EAB）通知
登録担当者は、取得したACMEプロトコル認証情報（EAB）を利用管理者宛に通知します。
1-2. ACMEアカウント更新
以下に記述する手続きにより、ACMEプロトコル認証情報更新を行います。
ACMEアカウント更新 |
【利用管理者→登録担当者】 ①ACME更新申請TSVファイルを作成します。（1-2-1に記載） |
【登録担当者作業】 ②ACME更新申請TSVファイルを利用管理者から受け取ります。利用管理者からTSVファイルを受け取るときには、利用管理者の本人確認を行ってください。（1-2-2に記載） ③ACME更新申請TSVファイルのアップロードを行ってください。（1-2-3に記載） |
1-2-1. 利用管理者によるACME更新申請TSVファイル作成
利用管理者は、ACME更新申請TSVファイルを作成します。
TSVファイル作成用Webアプリケーション（TSVツール）を提供しておりますので、ご利用ください。
TSVツール利用時は、「証明書種別」を「サーバ証明書（ACME)」と指定してください。
作成したTSVファイルを登録担当者宛にメールで送付します。
1-2-2. TSVファイルの受け取り及び審査
登録担当者は、利用管理者からACME更新申請TSVファイルを受領します。その際、各機関の定められた手続きに従い利用管理者の本人性・実在性を審査してください。
1-2-3. ACME更新申請TSVファイルのアップロード
ACME更新申請TSVファイルを本システムへアップロードしてください。アップロードする方法を以下に記述します。
ACMEアカウント更新申請手続き |
|
1-3. ACMEアカウント停止
以下に記述する手続きにより、ACMEアカウント停止を行います。
ACMEアカウント停止 |
【利用管理者→登録担当者】 ①ACME停止申請TSVファイルを作成します。（1-3-1に記載） |
【登録担当者作業】 ②ACME停止申請TSVファイルを利用管理者から受け取ります。利用管理者からTSVファイルを受け取るときには、利用管理者の本人確認を行ってください。（1-3-2に記載） ③ACME停止申請TSVファイルのアップロードを行ってください。（1-3-3に記載） |
1-3-1. 利用管理者によるACME停止申請TSVファイル作成
利用管理者は、ACME停止申請TSVファイルを作成します。
TSVファイル作成用Webアプリケーション（TSVツール）を提供しておりますので、ご利用ください。
作成したTSVファイルを登録担当者宛にメールで送付します。
1-3-2. TSVファイルの受け取り及び審査
登録担当者は、利用管理者からACME停止申請TSVファイルを受領します。その際、各機関の定められた手続きに従い利用管理者の本人性・実在性を審査してください。
1-3-3. ACME停止申請TSVファイルのアップロード
ACME停止申請TSVファイルを本システムへアップロードしてください。アップロードする方法を以下に記述します。
ACMEアカウント停止申請手続き |
|
1-4. ACMEアカウント情報一括ダウンロード
ACMEアカウント情報取得について説明します。
主な利用用途 |
|
1-4-1. ACMEアカウント情報一括ダウンロード取得手順
ACMEアカウント情報一括ダウンロード取得手順について説明します。
※取得したファイルの中身については「本システムで扱うファイル形式」を参照してください。
ACMEアカウント情報一括ダウンロード取得方法 |
「ACME情報 ACME情報一括ダウンロード」を選択し、ACME情報一括ダウンロード画面で[ダウンロード]を選択してください。 |