AWS Certificate Manager(ACM)は、CA/Bフォーラム(Certification Authority/Browser Forum)がメールベースのドメイン検証を2028年3月15日に廃止する方針を打ち出したことを受け、2027年を通じてパブリック証明書向けのメール検証を段階的に廃止していきます。
CA/Bフォーラムは、ブラウザと認証局が公的に信頼される証明書で従うべき標準を策定している団体です。2028年3月15日以降、パブリック認証局はメールベースのドメイン検証を使って公的に信頼される証明書を発行・更新することができなくなります。なお、それ以前に発行された証明書は、有効期限が切れるまでそのまま有効です。
AWSにおけるメール検証の段階的廃止
AWSは2027年1月1日からメール検証の廃止を開始し、この時点でACMは新しいAWSリージョンにおいてこの検証方式の提供を停止します。
2027年3月31日以降は、すべてのAWSリージョンで新規の証明書リクエストに対してメール検証を利用できなくなります。さらにACMは、2027年9月30日をもって、既存のメール検証済み証明書の更新を停止します。AWSは、この日付までにメール検証を使っている証明書をDNS検証へ移行するよう推奨しています。
証明書をDNS検証へ移行する
ACMの利用者は、AWSマネジメントコンソール(ACM)またはAWSコマンドラインインターフェース(AWS CLI)を通じて、自分のパブリック証明書がメール検証を使用しているかどうかを確認できます。
ACMコンソールでは、「Validation method」フィルタを「Email」に、「Type」フィルタを「Amazon Issued」に設定することで、メール検証を使用している証明書を特定できます。これらのフィルタで表示された証明書は、2027年9月30日までに移行する必要があります。
AWS CLIを使っても対象の証明書を特定できます。AWSは、選択したAWSリージョン内のAmazon発行証明書を一覧表示し、その検証方式を表示するコマンドを提供しています。検証方式が「EMAIL」と表示されている証明書はメール検証を使用しているため、移行が必要です。
「この移行を支援するため、ACMはUpdateCertificateOptions APIを更新し、証明書の検証方式をメールからDNSへその場で切り替えられるようにします。これにより証明書のAmazon Resource Name(ARN)は変わらないため、証明書を参照しているAWSリソース側で変更を加える必要はありません」と、AWS Certificate ManagerチームのシニアテクニカルプロダクトマネージャーであるAdam Aboudi氏と、AWSのソリューションアーキテクトであるPoojil Tripathi氏は説明しています。
利用者がDNS検証への切り替えを開始すると、ACMはCNAMEレコードを発行します。これを72時間以内にドメインのDNS設定に追加する必要があります。この期間中、証明書はメール検証によって通常どおり機能し続けます。72時間以内にDNSレコードが追加されなかった場合でも、証明書はメール検証によって有効な状態を保ち、移行は再度試行できます。
DNS検証が完了すると、以降ACMは必要なDNS検証レコードが維持されている限り、手動での対応なしに有効期限が切れる前に証明書を自動更新する仕様になっています。
組織は、ACMコンソールで「Update validation method」を選択し、ACMが提供するCNAMEレコードを追加することで、メール検証済みの証明書を移行できます。これらのレコードはCSVファイルとしてダウンロードすることもでき、他のDNSプロバイダーでも利用可能です。Amazon Route 53の利用者であれば、ACMコンソールの「Create records in Route 53」オプションを使って、必要な検証レコードを直接作成できます。
CloudFront証明書向けのHTTP検証
メール検証が廃止された後、ACMは一般的な証明書リクエストにはDNS検証を、Amazon CloudFrontで使用する証明書にはHTTP検証をサポートします。AWSは、ほとんどの用途においてDNS検証を推奨しています。
HTTP検証では、ACMが一意のトークンを発行し、利用者はそれを自分のドメイン上のよく知られたURLパスでホストします。この方式はAmazon CloudFrontで使用する証明書にのみ利用可能です。DNS検証と同様に、メール検証で必要だった手動承認のステップが不要になり、ACMによる証明書の自動更新が可能になります。
翻訳元: https://www.helpnetsecurity.com/2026/08/14/aws-certificate-manager-email-validation/
