マネージド TLS 機能の変更点

Microsoft Azure には、複数の Microsoft サービスと統合された包括的なマネージド TLS ソリューションが用意されています。 この機能には、顧客固有のドメイン向けの管理型TLSサーバー証明書が含まれており、DigiCertが提供しています。

業界のコンプライアンス標準、セキュリティ要件、PKIライフサイクルの変更の変化により、このサービスは2025年と2026年にいくつかの大規模なアップデートを受けており、マネージドTLSを使用している場合に影響を与えることがあります。

PKI の更新

2025年末から、Azureは新しいブラウザ要件に合わせてマネージドTLSソリューションの更新を開始しました。 これらの変更は、次の Azure サービスに対して発行されたすべてのマネージド TLS 証明書に影響します。

  • Azure Front Door (AFD) と CDN クラシック
  • Azure Front Door Standard または Premium SKU
  • Azure API Management
  • Azure App Service
  • Azure Container Apps
  • Azure Static Web Apps
  • Azure Storage (Azure BLOB、Azure Files、Azure テーブル、Azure キュー、静的 Web サイト、Azure Data Lake Storage)

主な変更点

この更新プログラムには、次の 2 つの重要な変更が含まれています。

  • 新しいルートおよび従属証明書機関(CA):- すべての管理されるTLS証明書は、 DigiCert Global Root CA の認証機関(CA)から DigiCert Global Root G2 および DigiCert Global Root G3のCAへ移行します。 この移行により、ブラウザーの信頼されたルート プログラムの要件への準拠が保証されます。

  • クライアント認証EKUの削除:- これらの新しいCAは、ブラウザの信頼されたルートプログラム要件に従ったクライアント認証をサポートしていません。 新しいCAの下でのすべての管理されるTLS証明書には、サーバー認証拡張鍵使用(EKU)のみが含まれています。

潜在的な顧客への影響

変更に備えるために、その変化があなたにどのような影響を与えるかを振り返りましょう。

  • 証明書のピン留め:

    • 証明書または公開キーをピン留めする場合は、新しいルートと中間を含むようにピン セットを更新する必要があります。
    • 静的ピン留めは、運用上のリスクがあるため、強くお勧めしません。

  • クライアント認証:

    • アプリケーションがパブリック証明書のクライアント認証 EKU に依存している場合は、他の CA の証明書を使用するように構成を更新する必要があります。
    • マネージドTLS証明書はサーバー認証EKUのみをサポートします。

ドメインの検証

2025年末から、DigiCertはドメイン検証プロセスの透明性と説明責任を向上させることを目的とした新しいオープンソースソフトウェア(OSS)ドメイン制御検証(DCV)プラットフォームへ移行します。 DigiCertは、指定されたAzureサービスにおけるドメイン制御検証のためのレガシーCNAME委任DCVワークフローをサポートしなくなりました。

そのため、これらのAzureサービスはドメイン検証の高速化とユーザー体験の主要な脆弱性への対応を目的とした強化されたドメイン制御検証プロセスを導入しています。

この変更はDigiCert顧客向けの標準的なCNAMEのDCVプロセスには影響しません。 検証はCNAMEレコード内のランダムな値を使用します。 Microsoftはこのワークフローのみを検証のために廃止します。

Warnung

管理されたTLSの変更に合わせて設定を更新しなければ、サービス障害が発生します。

  • 現在の証明書の有効期限が切れると、停止が発生することが保証されます。
  • DigiCertが証明書を取り消すと障害が発生する 可能性があります 。

取り消しが発生した場合、認証機関は CA/ブラウザフォーラム基準要件に従い24時間以内に証明書を取り消さなければならず、対応する時間がほとんどありません。 混乱を避けるために、設定を素早く更新しましょう。

よく寄せられる質問

Q: カスタムドメインのサポートは終了するのですか?

No. Azureはこの機能をサポートし、全体的なユーザー体験を向上させるいくつかの重要なアップデートを追加しています。

注

廃止のパスにある AFD クラシック SKU と CDN クラシック SKU は、新しいカスタム ドメインの追加のサポートを廃止しています。 移行ガイダンスについては、Azure Front Door (classic) から Standard または Premium レベルに移行するおよびMicrosoft の Azure CDN (classic) から Azure Front Door に移行するを参照してください。 新しいカスタムドメインには、管理されたTLS証明書とAFD StandardおよびPremium SKUを組み合わせて使用してください。

Q: ドメイン制御の検証とは

ドメイン制御検証(DCV)は、TLS/SSL証明書を要求する主体が、証明書に記載されたドメインに対して正当な管理権を持っていることを確認するための重要なプロセスです。

Q: DigiCert は CNAME ドメイン制御の検証を廃止していますか?

No. Azure は、Azure サービスに固有のこの特定の CNAME 検証方式のみを廃止します。 DigiCertの OV/EV証明書 や DV証明書 で説明されているような、DigiCert顧客が使用するCNAMEのDCV方式は影響を受けません。

この変更はAzureのみに影響します。

Q: Microsoft が DigiCert Global Root G2 および G3 ルートに移行するのはなぜですか?

この変更は業界標準や新しいブラウザ要件に沿ったものです。 2026 年 4 月 15 日に、Mozilla と Chrome は DigiCert Global Root CA を信頼しなくなります。 信頼を維持するため、すべての管理対象TLS証明書はこの日より前に DigiCert Global Root G2 および DigiCert Global Root G3 へ移行します。 詳細については、「 DigiCert root and intermediate CA certificate updates 2023」を参照してください。

Q: クライアント認証 EKU が削除される理由

Chromeの信頼ルートプログラムがこの業界全体の変革を推進しています。 Chrome では、セキュリティとコンプライアンスを向上させるために、TLS 証明書をサーバー認証に制限しています。 詳細については、「 DigiCert パブリック TLS 証明書からのクライアント認証 EKU のサンセット処理」を参照してください。

  • Last updated on