サーバー専門のフリーランスエンジニアです。クラウドサービスを利用してWebサイト、ITシステムのサーバー構成設計とサーバー構築を行います。Manager(ACM)が、2016年5月より東京リージョンでも使用できるようになりました。Managerhttps://aws.amazon.com/jp/certificate-manager/ACMの特徴は以下のとおりです。ELB(ロードバランサー)とCloudFront(CDN)でのみ使用できる。(EC2では使用できない)複数ドメイン、ワイルドカードドメインも可能。ドメイン認証(DV)タイプの証明書。証明書リクエスト時の検証は、ドメインの公開連絡アドレスおよびadmin@等の管理者アドレスに届くメールでの承認クリック。有効期限は13ヶ月で、期限が近づくと自動更新される。比較的簡単に取得できて、ワイルドカードの証明書も含めて、無料・無期限で使用できるすばらしい機能ですね。自己証明書の危険性6月20日(月)に開催された、第19回JAWS-UG札幌勉強会でも、アグレックス和田さんより、ACMに関する発表がありました。WadaACMを使用するメリットや証明書の発行手順がとても丁寧に説明されているすばらしい発表だったのですが、僕がハっとさせられたのは5ページ目のところ。Webサイト公開前の検証のとき、諸事情により正式な証明書の入手が遅れているため、自己証明書(いわゆるオレオレ証明書)を使用することはわりとよくあります。この状態でお客様にWebサイトを確認していただく際に「ブラウザでアラートが出ても気にしないで進んでください」と当たり前のように言ってしまっていたんですが、これは実はものすごくよくないことでした。SSLの仕組みをよく知っているエンジニアならまだよいのですが、そうではない方に「(どのWebサイトを見たときでも)ブラウザでアラートが出ても気にせずに進んでいいんだ!」と認識されてしまうと、業務やプライベートにおけるWeb閲覧でフィッシングサイトに気づかないことも起こり得ます。Encryptなどを使用して、Webブラウザでアラートが表示されない正式な証明書を使用するようにしたいと思います。ACMを使用するメリットJAWS-UG札幌勉強会のあとの懇親会でも「opensslの脆弱性対応でたびたびメンテナンスアップデートする手間を考えたら、サーバー1台でもELBを使ったほうがいいかも」という話題がありました。この視点も、僕は今まであまり考えていませんでしたが、マネージドロードバランサーならではのメリットですね。※opensslはSSH等のソフトウェアでも使用されているので、HTTPS通信がなくてもアップデートはすべきですが、一般公開しているHTTPSに比べて脆弱性の影響が小さいケースが多いといえるでしょう。それ以外にも、ACMの使用で証明書の新規取得・更新時の作業(CSRの作成→お客様から認証局に申請・発行していただく→証明書の設置のフロー)が削減される。WAF)を使用することで、一部DDoS攻撃を軽減できる。(*1)といったメリットもあります。※(*1)については、AWSの以下の資料を参照してください。CloudFrontにはDDoS緩和技術が含まれています。CloudFrontやELBを使用してHTTP(S)のみにアクセスを限定することで、SynフラッドやUDP増幅などの攻撃がEC2に届かなくなります。転送量課金$0.008ですので、だいたい2,500円/月、30,000円/年ぐらいでしょう。認証局の証明書を購入すると、たとえば、グローバルサインのドメイン認証(DV)タイプである「クイック認証SSL」は、34,800円/年で、ワイルドカードオプションをつけるとさらに94,000円/年追加となります。価格表https://jp.globalsign.com/service/ssl/price.htmlドメイン認証(DV)タイプについては、「EC2+グローバルサインの証明書」よりも「ELB+EC2+ACMの証明書」のほうが安く、かつ、セキュリティや運用管理におけるメリットもあるのでお得だといえるでしょう。Encryptのような無料証明書もありますが。Managerについて思うことを書きました。Googleの検索ランキングアルゴリズムでHTTPSを考慮することやHTTP/2化のこともあり、今後WebサイトのHTTPS化の流れは進んでいくでしょう。EC2の組み合わせでの使用を検討するケースが増えていきそうです。DesignInaba【お問い合わせ】お名前または法人名・団体名、メールアドレスと、簡潔な内容で構いませんので、お問い合わせ内容をご記入ください。折り返しご連絡いたします。※いただいた情報は他の目的には使用いたしません(個人情報の取り扱いについてはこちらのプライバシーポリシーをご参照ください)。(必須)↑お問い合わせ内容をご確認のうえ、チェックを入れてから「送信」してください。