この記事を読んでわかること

ACMでSSL証明書作成時、ワイルドカードを使い、複数のサブドメインをサポートしたい時の注意点を知ることができます。

冒頭まとめ

ACMで、ワイルドカードを使ってドメイン名を登録する際は、以下の点に注意が必要です。

サブドメインのレベルは、一つしかサポートされないこと

2つ以上のサブドメインレベルを登録したい場合は、登録したいドメインをFQDNで指定する必要があります。

背景

以下の構成で、HTTPS通信を実現したい場面がありました。

外部からのアクセス対象となるの名前（ALBのDNSレコード名)はelb.test.homma.jpであり、Route53で登録しています。
elb.test.homma.jpに対し、HTTPSでの通信を実現するため、ACMでSSL証明書を作成しました。
SSL証明書を作成する際に、ワイルドカードを使用してつまづいた部分があったので、備忘も兼ねて記事にします。

前提条件

ドメイン名(Zone Apex)

homma.jp
ALBのDNSレコード(Aレコード)

elb.test.homma.jp

ハマったところ

まず、ACMでSSL証明書を作成しました。
サブドメイン扱いとなるelb.test.homma.jpに、HTTPSアクセスをしたかったため、**ワイルドカード(*)**を使った証明書として、*.homma.jpを登録しました。

そして、ALBへの証明書のアタッチなど、諸々の設定を済ませたあと、ブラウザからelb.test.homma.jpへHTTPSアクセスしてみると、保護されていない通信として、エラーになります。証明書が無効の状態となっていました。

原因

公式のドキュメントに、以下の記述がありました。

ワイルドカード証明書をリクエストする場合、アスタリスク (*) はドメイン名の左側に付ける必要があり、1 つのサブドメインレベルのみを保護できます。たとえば、*.example.com は login.example.com および test.example.com を保護できますが、test.login.example.com を保護することはできません。〜〜省略〜〜

ACMにおいて、ワイルドカード(*)は、一つのホストまでしかサポートしない仕様に対し、elb とtestの2つ入ったelb.test.homma.jpをサブドメインとして登録していたことが、エラーとなった原因です。

正しくは

2つのパターンがあります。

今回のように、elb.test.homma.jpなどの2つ以上のホストが入っている場合は、ワイルドカードを指定するのではなく、FQDNを指定する
ドメイン名のホストを一つとしたアクセス要件にする。（例えば、elb.homma.jpにする）

→こちらの場合はホストの数に制限はかかりますが、ワイルドカードを使うことで複数のドメイン名をサポートできます。

今回は、２の方法ででHTTPSアクセスを実現してみます

再び挑戦

アクセス対象のドメイン名を、elb.test.homma.jpからelb.homma.jpに変更

ふたたび、ブラウザからelb.homma.jpへアクセスし、無事HTTPSでのアクセスができました。

まとめ

ACMでワイルドカードを利用する際は、サポートされるサブドメインの範囲に注意が必要です

参考にした記事

以下の記事を参考にさせていただきました。

AWS Certificate Manager(ACM)でワイルドカード証明書を発行する際の注意事項

公式のドキュメント