はじめに

こんにちは！株式会社ウフルの高橋尚です！

本記事は「2026 Japan AWS Jr. Champions 真夏のQiitaリレー」の15日目の記事となります。

過去の投稿（リンク集）はこちらからご覧ください。

本記事の内容

AWS Certificate Manager（ACM）の公開証明書を、Route 53 以外のDNSサービスと組み合わせて使い、自動更新される状態にするまでの手順を、AWSマネジメントコンソールベースでまとめました。

AWSでWebサービスを構築する場合、DNS管理はRoute 53が前提になるパターンが多く、サードパーティDNSでの運用でも問題ないのか？何か制約があるのか？気になると思います。

本記事の対象

本記事は、お名前.com / Cloudflare / オンプレ BINDなど、Route 53以外の DNS を使っていて、ACM 公開証明書の自動更新を実現したい人向けです。

本記事のゴール

外部DNSを用いて、ACM公開証明書を発行する
有効期限が来るたび、AWSが自動で再検証・更新する状態にする

前提条件

AWS アカウント（コンソールにログインできる）
DNS は Route 53 以外（もちろんR53でも自動更新できます）
アタッチ先は CloudFront、ALBなどを想定
対象ドメイン（例: example.jp および *.example.jp）

全体像

まず、これから何をやるかの全体像です。

【初回のみユーザー側で作業】
  1. ACMで証明書をリクエスト
  2. ACMが「検証用CNAME」を提示
  3. その値を外部DNSに登録
  4. ACMが検証成功・証明書発行
  5. CloudFront/ALBに証明書をアタッチ

          ↓

【以降は完全自動】
  期限45日前にACMが自動で再検証
  ・同じCNAMEレコードを参照
  ・証明書を自動更新
  ・CloudFront/ALBにも自動反映

Step 1: ACM証明書をリクエストする

1-1. リージョンを選択

最初にどのリージョンで発行するかを決めます。

用途	必要なリージョン
CloudFront 用	us-east-1（バージニア北部）固定
ALB / NLB 用	ALB と同じリージョン(例: ap-northeast-1)

CloudFront と ALB を併用し東京リージョンでALBを作成する場合、2リージョン分の発行が必要です。

今回はCloudFront用に us-east-1 を選択します。

1-2. コンソールを開く

サービス検索で「Certificate Manager」を開いて、「証明書をリクエスト」ボタンをクリック。

1-3. 証明書をリクエストする

「パブリック証明書をリクエスト」を選択して「次へ」。

1-4. ドメイン名を入力

完全修飾ドメイン名（FQDN）: example.jp
「この証明書に別の名前を追加」をクリックして *.example.jp を追加
検証方法: DNS検証を選択
キーアルゴリズム: RSA 2048（デフォルトでOK）

「リクエスト」をクリックして証明書をリクエストします。

Apexドメイン（example.jp）にもアクセスさせたいなら、ワイルドカードと一緒に1枚の証明書に入れます。ワイルドカードはApexをカバーしないので注意が必要です。

Step 2: 検証用CNAMEを外部DNSに追加する

そもそもCNAMEレコードとは

DNSのレコードにはいくつか種類があり、よく使うのはこのあたりです。

種別	何を返すか	例
A	IPアドレス	`example.jp` → `192.0.2.10`
CNAME	別のホスト名	`www.example.jp` → `example.jp.`

CNAMEは「この名前は、実際はこちらの名前です」と別名を返すレコードです。引いた側は、返ってきた名前をもう一度引き直して最終的なIPアドレスに辿り着きます。

発行までの流れを整理すると、以下のようになります。

2-1. ACMからCNAME値を取得

リクエスト直後、詳細画面が表示され、証明書は 保留中の検証 状態になります。

「ドメイン」セクションに、検証用 CNAME の名前と値が表示されます。

表示項目	例
CNAME名	`_1a2b3c4d5e6f.example.jp.`
CNAME値	`_9z8y7x6w5v4u.acm-validations.aws.`

example.jp と *.example.jp の2行が表示されますが、CNAME名も値もどちらも同一です。ワイルドカードとそのベースドメインに対して、ACM は同じ文字列を生成します。つまり1件登録すれば両方が検証されます。

ただし共通になるのはこの組み合わせだけです。www.example.jp や host.example.jp のような別のサブドメインを SAN に追加した場合は、そのぶん別々の CNAME が発行されるので、登録するレコードも増えます。

なお、DNS が Route 53 の場合はこの画面に「Route 53 でレコードを作成」ボタンが出るので、そこから自動で追加できます。本記事は外部DNSが対象なので、以降は外部のDNSで登録する前提で進めます。

2-2. 外部DNSにCNAMEレコードを追加

DNSプロバイダの管理画面で CNAME レコードを追加します。

項目	入力値
ホスト名	`_1a2b3c4d5e6f`
TYPE	CNAME
VALUE	`_9z8y7x6w5v4u.acm-validations.aws.`
TTL	300〜3600(プロバイダのデフォルトでもOK)

今回はお名前.comでの追加を例にしてます

なお、CNAME発行から72時間以内に検証できないと証明書は 検証タイムアウト になり、リクエストからやり直しになるので注意が必要です。

Step 3: 証明書が発行済みになったか確認

ACMが定期的にDNSをポーリングするので、CNAMEが反映されると自動で 発行済み になります。
コンソールで証明書のステータスを確認します。

通常はCNAME反映後5〜30分で変更されます。

Step 4: CloudFront にアタッチ

CloudFront コンソールで対象ディストリビューションを選び、「設定」→「編集」。

代替ドメイン名（CNAME）: example.jp、*.example.jp のような利用したいドメインを追加
カスタムSSL証明書: Step 1 で発行した us-east-1 の証明書を選択
「変更を保存」をクリック

ALBの場合: ALBがあるリージョンで同じ手順を繰り返して証明書を発行し、ロードバランサーのリスナーにアタッチします。検証用CNAMEは同一ドメインなら共通なので、外部DNSへの追加作業は不要です。

Step 5: 自動更新の確認

ACM コンソールで証明書詳細を開き、「関連付けられているリソース」セクションに CloudFront / ALB が表示されていること、そして 更新の適格性 が 対象 になっていることを確認します。ここが 対象外 のままだと自動更新は回りません。

自動更新について

証明書のARNは更新後も変わりません。
そのため、CloudFrontやALB側の設定を差し替える必要もありません。

自動更新の2条件

公式ドキュメントに明記されています。

AWS Certificate Manager DNS validation

証明書が AWS リソースにアタッチされている
DNS検証時のCNAMEレコードがDNSに残っている

この2つを満たす限り、証明書は自動更新されます。逆にどちらか欠けると更新は止まります。

ACMEで発行した証明書は対象外

同じ ACM のパブリック証明書でも、ACMEプロトコル経由で発行したものはマネージド更新の対象外です。

2026年7月に ACM が ACME証明書に対応し、Certbot などのACMEクライアントからAmazon発行の証明書を取得できるようになりました。ただしその場合、更新を回すのは ACM ではなくクライアント側です。本記事では、あくまでマネコンやAPIから発行した通常の公開証明書証明書に限った内容になります。

ACME対応のほうは別記事にまとめています。EC2上のnginxなど、ACM非統合のサーバーに証明書を入れたい場合はこちらを参照してください。

有効期間と更新タイミング

2026年2月18日のアップデートで、ACMが発行するパブリック証明書のデフォルト有効期間は395日から198日に短縮され、あわせて更新の開始タイミングも有効期限の60日前から45日前に変更されました。

同一ドメインなら CNAME は共通

同一ドメインの場合、CNAMEのホスト名と値はリージョンに依存しません。

例えば「STG/本番 × us-east-1/ap-northeast-1」で4枚発行しても、外部DNSに追加するレコードは1件で済みます。CloudFront用とALB用でリージョンを分けて発行する場合も同じです。

AWS Certificate Manager DNS validation

リージョン制約

CloudFrontのみグローバルなリソースのため、アタッチするための証明書を発行するリージョンはus-east-1限定になります。

アタッチ先	必要なリージョン
CloudFront	us-east-1 固定
ALB / NLB	作成したリージョン

まとめ

作業としては外部DNSにCNAMEを1件追加して対象のリソースにアタッチするだけ
自動更新の条件は「証明書のアタッチ」と「CNAMEレコードの存在」の2つ
リージョン・枚数を問わずCNAMEは共通になる

上記に気をつければ、ACM公開証明書は外部DNSでも自動更新を利用可能です。Route 53に移管必須ではないので、既存のDNS運用を変えずに証明書管理だけAWSに寄せるというのは十分現実的な選択肢なのかなと思います。

参考