ACM が発行した証明書の CNAME レコードが解決されず、DNS 検証が「検証待ち」状態のままとなっている理由を知りたいです。

簡単な説明

DNS 検証証明書のリクエストが、検証待ち状態のままになる原因を次に示します。

• CNAME レコードを正しい DNS 設定に追加していない。
• CNAME レコードに余分な文字が入っているか、文字が欠けている。
• CNAME レコードを正しい DNS 設定に追加したが、DNS プロバイダーにより自動的に、DNS レコードの末尾にベアドメインが追加されている。
• 同じドメイン名に CNAME レコードと TXT レコードがある。

注: ACM が DNS レコードを定期的にチェックします。DNS レコードを手動で確認することはできません。

詳細については、「AWS Certificate Manager DNS 検証」を参照してください。

解決策

注: Linux コマンドと macOS コマンドは、お使いのマシンのターミナルで実行します。または、Windows コマンドは、PowerShell または cmd で実行します。

CNAME レコードを正しい DNS 設定に追加していない

CNAME レコードが正しい DNS 設定に追加されたかどうかを確認するには、次のコマンドを実行します。

注: example-cname.example.com を実際の ACM CNAME レコードに置き換えてください。

Linux、macOS:

dig +short _example-cname.example.com

Windows:

nslookup -type=cname _example-cname.example.com

CNAME レコードを正しい DNS 設定に追加し、レコードが伝達された場合、コマンド出力に CNAME レコードの値が含まれています。

注: DNS プロバイダーによっては、DNS レコードの伝達に 24 ～ 48 時間かかる場合があります。

上記のコマンドで出力が得られなかった場合は、CNAME レコードを正しい DNS 設定に追加します。CNAME レコードを追加する必要がある DNS 設定を確認するには、次のコマンドを実行します。

Linux、macOS:

dig NS example.com

Windows:

nslookup -type=ns example.com

コマンドの出力には、正しい DNS 設定の NS レコードに含まれるネームサーバーが表示されます。CNAME レコードを追加する DNS 設定に、これらのネームサーバーの NS レコードが含まれていることを確認します。

Amazon Route 53 ホストゾーンに CNAME レコードを追加する方法については、「Amazon Route 53 コンソールを使用したレコードの作成」を参照してください。

注: CNAME レコードが Route 53 プライベートホストゾーンにある場合、ドメインの所有権を検証することはできません。CNAME レコードはパブリックホストゾーンに配置されている必要があります。

CNAME レコードに余分な文字が入っているか、文字が欠けている

CNAME レコードに余分な文字が含まれている場合は、削除します。名前または値に欠けている文字がある場合は、追加します。

CNAME レコードを正しい DNS 設定に追加したが、DNS プロバイダーにより自動的に、DNS レコードの末尾にベアドメインが追加されている

DNS プロバイダーによっては、すべての DNS レコードの名前フィールドの末尾にベアドメインが自動的に追加される場合があります。伝達される CNAME レコードの例を次に示します。

_example-cname.example.com.example.com

CNAME レコード名が ACM から取得したレコード名と一致しないため、検証は成功しません。ACM 証明書は、リクエストから 72 時間後に不合格になるまで検証待ちのままとなります。

DNS プロバイダーにより、CNAME レコードの末尾にベアドメインが自動的に追加されたかどうかを確認するには、次のコマンドを実行します。

Linux、macOS:

dig +short _example-cname.example.com.example.com

Windows:

nslookup -type=cname _example-cname.example.com.example.com

出力が CNAME レコードの値を返す場合、DNS プロバイダーによりベアドメインが追加されています。

この問題を解決するには、CNAME レコードを編集して、名前フィールドに入力したテキストからベアドメインを削除します。

DNS プロバイダーがベアドメインを追加した後、ベアドメインは 1 つだけ残ります。

同じドメイン名に CNAME レコードと TXT レコードがある

CNAME レコードと TXT レコードが同じドメインにあるかどうかを確認するには、次のコマンドを実行します。

Linux、macOS:

dig +short CNAME cname_record_name

dig TXT cname_record_name

Windows:

nslookup -type=CNAME cname_record_name

nslookup -type=TXT cname_record_name

コマンドの出力で、CNAME レコードと TXT レコードの種類を比較します。両者が同じ場合は、レコードの形式が正しくないことが原因で、証明書が検証待ち状態になっています。この問題を解決するには、TXT レコードを削除します。

詳細については、「DNS 検証の問題のトラブルシューティング」を参照してください。

関連情報

マネージド証明書の更新のトラブルシューティング

ドメイン名に ACM マネージド更新プロセスを使用した後も、ACM 証明書の更新ステータスが「検証待ち」のままになる理由を教えてください。

DNS 検証のセットアップ