NGINX、ACMEプロトコルのネイティブサポートを導入

• NGINX が、SSL/TLS証明書の発行・更新を自動化する ACMEプロトコル をネイティブにサポートするプレビュー版を公開
• Rustベースの新モジュール ngx_http_acme_module により、外部ツールなしで NGINX の設定だけで証明書の要求・インストール・更新が可能に
• これにより Certbot のような外部ツールへの依存を減らし、セキュリティとプラットフォーム独立性が向上
• 初期バージョンは HTTP-01チャレンジ をサポートし、TLS-ALPN・DNS-01対応は今後の予定
• ACMEサポートはWebだけでなく、IoT・エッジコンピューティング環境 のセキュリティ自動化にも重要な役割を果たすことが期待される

---

概要と主な変更点

• NGINX が ACMEプロトコル対応機能のプレビュー版 を公開
• 新モジュール ngx_http_acme_module により、NGINX設定内で証明書の要求、インストール、更新を直接処理できるよう設計されている
• この ACME サポートは内部的に NGINX-Rust SDK を活用しており、Rustベースの動的モジュールとして提供される
• オープンソース利用者だけでなく、NGINX Plus のエンタープライズ顧客もこの機能を利用可能
• 既存の Certbot のような外部ツールへの依存を減らすことで、証明書管理のセキュリティと効率を高める

ACMEプロトコルの紹介

• ACME(Automated Certificate Management Environment)プロトコル は、SSL/TLS証明書の発行、検証、更新、失効を自動化する通信プロトコル
• クライアントは CA(Certificate Authority)との自動通信 を通じて、仲介者の手作業なしに証明書ライフサイクルを管理できる
• Internet Security Research Group(ISRG) が 2015年に Let’s Encrypt プロジェクトとして開発・公開
• ACME登場以前は、証明書発行のプロセスが手動中心で、コストやエラーの可能性が高かった
• 最新の ACMEv2 では、認証方式やワイルドカード対応など多様な機能が追加され、柔軟性とセキュリティが向上している

NGINXのACMEベース証明書自動化フロー

• NGINXで ACMEプロトコルを活用した証明書ライフサイクル自動化は、以下の4段階で構成される

• 1. ACMEサーバー設定

  • ACME機能を有効化するには、acme_issuer で ACMEサーバーのディレクトリURL を必ず指定する必要がある
  • 証明書発行時のクライアント連絡先情報、状態データの保存パスなどもオプションとして指定可能

• 2. 共有メモリ(zone)の割り当て

  • acme_shared_zone により、証明書、秘密鍵、チャレンジデータ保存用の 共有メモリzone を追加で設定できる
  • デフォルトサイズは 256K で、必要に応じて拡張可能

• 3. チャレンジ(Challenge)の構成

  • 現在のプレビュー版は HTTP-01チャレンジ のみをサポートし、ドメイン所有権の検証に使用される
  • そのため、NGINX設定で ポート80のリスナー と デフォルトの404レスポンス設定 を定義する必要がある
  • 今後 TLS-ALPN、DNS-01チャレンジ に対応予定

• 4. 証明書の発行と更新

  • acme_certificate ディレクティブをサーバーブロックに追加すると、そのドメインに対して TLS証明書の発行・更新を自動化できる
  • 証明書発行対象のドメインは通常 server_name で明示する
  • server_name での正規表現、ワイルドカードはプレビュー版ではサポートされない
  • モジュール内の変数 $acme_certificate、$acme_certificate_key により、自動的に証明書と鍵が関連付けられる

主な利点

• 世界的な HTTPS 利用急増の中心には ACMEプロトコル がある
• 自動化された証明書管理により、証明書ライフサイクル管理コストと手作業によるエラー が大幅に減少
• 外部ツールの排除により 攻撃対象領域の縮小 と 移植性の確保 を実現
• さまざまな環境における セキュリティ標準化 を促進

今後の計画

• TLS-ALPN、DNS-01チャレンジ対応を追加予定
• ユーザーフィードバックを基に機能を拡張
• IoT、API、エッジコンピューティング の導入拡大に伴い、ACME は今後さらに広範な自動化セキュリティインフラで中核的役割を担うと見込まれる
• NGINXのネイティブACMEサポート は、Webセキュリティと自動化、拡張性を将来の標準へと導く基盤となるだろう

はじめに

• オープンソース利用者は NGINX Linuxパッケージ からプリビルドモジュールを利用可能
• NGINX Plus のエンタープライズ顧客には F5 サポートの動的モジュールとして提供
• モジュール文書は NGINX Docs を参照