AWS プライベート CA の有効期限が 13 か月未満の場合、ACM コンソールを使用してプライベート証明書をリクエストする方法を教えてください。

簡単な説明

ACM コンソールを使用すると、有効期限がちょうど 395 日 (13 か月) の証明書を発行および管理できます。ACM コンソールを使用して、期間が 395 日ちょうどにならない証明書をリクエストすると、「失敗」エラーが表示されます。

このエラーを解決するには、AWS プライベート認証局の機能である IssueCertificate API を使用して、有効期限の短いプライベート証明書をリクエストしてください。次に、証明書を ACM にインポートして、統合サービスで使用します。

注: IssueCertificate API を使用して証明書をリクエストした場合、証明書は ACM コンソールに表示されません。

解決策

IssueCertificate API を使用して、有効期限が CA の有効期限よりも短い新しいプライベート証明書を発行する

**注:**AWS コマンドラインインターフェイス (AWS CLI) コマンドの実行中にエラーが発生した場合は、「AWS CLI エラーのトラブルシューティング」を参照してください。また、AWS CLI の最新バージョンを使用していることを確認してください。

issue-certificate コマンドを使用して、有効期限が CA の有効期限よりも短いプライベート証明書を発行します。

aws acm-pca issue-certificate --certificate-authority-arn arn:aws:acm-pca:us-west-2:123456789012:certificate-authority/12345678-1234-1234-1234-123456789012 --csr fileb://cert_1.csr --signing-algorithm "SHA256WITHRSA" --validity Value=300,Type="DAYS" --idempotency-token 1234

注: プライベート証明書には、独自の CSR とプライベートキーを生成する必要があります。

プライベート証明書の本文とチェーンを AWS プライベート CA から取得して ACM にインポートする

1. get-certificate コマンドを使用して、プライベート証明書の本文とチェーンを取得します。

   aws acm-pca get-certificate \--certificate-authority-arn arn:aws:acm-pca:region:account:\
   certificate-authority/12345678-1234-1234-1234-123456789012 \
   --certificate-arn arn:aws:acm-pca:region:account:\
   certificate-authority/12345678-1234-1234-1234-123456789012/\
   certificate/6707447683a9b7f4055627ffd55cebcc \
   --output text

   get-certificate コマンドを実行すると、base64 でエンコードされた PEM 形式の証明書と証明書チェーンが表示されます。

   -----BEGIN CERTIFICATE-----...base64-encoded certificate...
   -----END CERTIFICATE----
   -----BEGIN CERTIFICATE-----
   ...base64-encoded certificate...
   -----END CERTIFICATE----
   -----BEGIN CERTIFICATE-----
   ...base64-encoded certificate...
   -----END CERTIFICATE----

2. 次のコマンドを使用して、証明書本文と証明書チェーンを .pem ファイルとして保存します。

   証明書チェーン:

   aws acm-pca get-certificate --certificate-authority-arn  arn:aws:acm-pca:Region:Account:certificate-authority/12345678-1234-1234-1234-123456789012 --certificate-arn arn:aws:acm-pca:Region:Account:certificate-authority/12345678-1234-1234-1234-123456789012/certificate/66506378eb4e296c59b41bbb7b8dd068 --output text --query CertificateChain > certchain.pem

   証明書本体:

   aws acm-pca get-certificate --certificate-authority-arn  arn:aws:acm-pca:Region:Account:certificate-authority/12345678-1234-1234-1234-123456789012 --certificate-arn arn:aws:acm-pca:Region:Account:certificate-authority/12345678-1234-1234-1234-123456789012/certificate/66506378eb4e296c59b41bbb7b8dd068 --output text --query Certificate > certfile.pem

3. import-certificate コマンドを使用して、証明書を ACM にインポートします。

   注: **certfile.pem、privately.key、**および certchain.pem は、ご自身のファイル名に置き換えてください。

   aws acm import-certificate --certificate fileb://certfile.pem --private-key fileb://privatekey.key --certificate-chain fileb://certchain.pem

インポートされた証明書の Amazon リソースネーム (ARN) が正常に返されました。

関連情報

新しい ACM-PCA 証明書を発行するときのエラーを解決するにはどうすればよいですか？

サードパーティのパブリック SSL/TLS 証明書を ACM にインポートできないのはなぜですか？

プライベートエンドエンティティ証明書の発行