AWS Certificate Manager (ACM)

（ACM）は、Webサイトやアプリケーションで使用する / X.509 証明書の発行、保存、更新を管理するサービスです。

SAA では、、、などで転送中の通信を暗号化し、証明書更新の運用負荷を下げる場合に選びます。

概要

では公開証明書を発行するほか、外部認証局の証明書をインポートできます。ACM が発行した証明書を対応 AWS サービスで利用すると、更新を自動化できます。

主要技術

①公開証明書とドメイン検証

証明書を発行するにはドメイン所有を検証します。検証はなどへ検証レコードを設定し、継続的な自動更新に向いています。Eメール検証は更新時にも対応が必要になる場合があります。

2026 年 8 月から、Eメール検証で発行済みの公開証明書を、発行し直さずに DNS 検証へ切り替えられます (コンソールまたは UpdateCertificateOptions)。証明書の ARN は変わらないため、などの関連付けやの参照はそのまま使えます。切り替え後にが示すレコードを 72 時間以内に DNS へ追加します。Eメール検証は業界の規則変更に合わせて廃止に向かっており、ACM は 2027 年 3 月 31 日から Eメール検証の証明書の発行を、2027 年 9 月 30 日から更新を停止します。

ワイルドカード名 *.example.com は api.example.com など同じ階層のサブドメインをまとめて保護しますが、ルートドメイン example.com 自体は対象にしません。両方を化する場合は、証明書のドメイン名または SAN に example.com と *.example.com の両方を含めます。

②対応AWSサービスとの統合

利用先	用途
Application Load Balancer	でを終端します。
	エッジで HTTPS を提供します。
	カスタムドメインを HTTPS 化します。

上のWebサーバーへ直接証明書を配置する要件では、対応する証明書の取得・配布方式を別途検討します。

③リージョン制約 ⚠️ 頻出

証明書はリージョナルリソースです。では ALB と同じに証明書が必要です。で使用する証明書は米国東部（バージニア北部）リージョンで発行またはインポートします。

④更新とプライベート証明書

が発行し、対応サービスに関連付けられた証明書は自動更新できます。社内システム向けのプライベート証明書は AWS Private CA と組み合わせます。インポート証明書は利用者側で有効期限と再インポートを管理します。

ACM は、インポートした証明書を含む有効な証明書について、期限が近づくと毎日「ACM Certificate Approaching Expiration」イベントをへ送ります (インポート証明書とプライベート証明書は既定で期限の 45 日前から)。契約上、外部の認証局の証明書を使い続ける必要がある場合は、このイベントを EventBridge ルールで受けてで通知したり、再インポートの処理を起動したりします。

試験対策

要件	選ぶ構成
でを提供	同一の証明書
ルートドメインと各サブドメインをHTTPS化	`example.com` と `*.example.com` を同じ証明書に含める
証明書更新の検証作業を減らす	検証のを維持する
で独自ドメインHTTPS	us-east-1のACM証明書
更新作業を減らす	ACM発行証明書 + 対応AWSサービス
社内向けプライベートPKI	AWS Private CA + ACM
保管データの暗号化	などを使用

ACM は転送中暗号化の証明書管理、KMS は主に暗号鍵管理です。「CloudFront は us-east-1」が代表的な試験ポイントです。