_acme-challenge.example.com CNAME example.com.<COPIED_VALIDATION_URL>.委任された
委任された DCV は、部分的 DNS セットアップを使用しているゾーン、つまり Cloudflare によって権威 DNS が提供されていない場合に、DCV プロセスを Cloudflare に委任することを可能にします。
DCV 委任には、Cloudflare が今後のすべての証明書注文を自動更新できるようにするための一度限りのレコードを配置する必要があります。これにより、更新時に手動での介入が不要になります。
| Free | Pro | Business | Enterprise | |
|---|---|---|---|---|
Availability | Included with Advanced Certificate Manager | Included with Advanced Certificate Manager | Included with Advanced Certificate Manager | Included with Advanced Certificate Manager |
次のすべての条件が真である場合、委任された DCV を使用する必要があります。
- ゾーンが 部分的 DNS セットアップを使用している。
- Cloudflare がすでに 自動的に DCV を実行していない。
- ゾーンが 高度な証明書を使用している。
- ゾーンが複数の CDN プロバイダーを使用していない。
- 証明書発行機関が Google または Let’s Encrypt のいずれかである。
委任された DCV を設定するには：
- ゾーンのために 高度な証明書を注文し、証明書検証方法として
TXTを選択します。 - SSL/TLS > エッジ証明書に移動し、部分的ゾーンの DCV 委任に進みます。
- Cloudflare 検証 URL をコピーします。
- 権威 DNS プロバイダーで、次のことを考慮して
CNAMEレコードを作成します：
- 証明書が apex ドメインとワイルドカードのみをカバーしている場合、apex ドメインのために単一の
CNAMEレコードを作成するだけで済みます。直接のサブドメインもカバーされます。
- 証明書が名前で指定されたサブドメインもカバーしている場合、権威 DNS プロバイダーに対して、各特定のサブドメインごとに複数の
CNAMEレコードを追加する必要があります。
たとえば、example.com、*.example.com、および sub.example.com をカバーする証明書は、次のレコードを必要とします。
_acme-challenge.example.com CNAME .example.com.<COPIED_VALIDATION_URL>._acme-challenge.sub.example.com CNAME sub.example.com.<COPIED_VALIDATION_URL>.CNAME レコードが配置されると、Cloudflare は、DCV 委任レコードが配置されている高度な証明書のすべてのホスト名に対して TXT DCV トークンを追加します。ゾーンが アクティブである限り、Cloudflare 上で。
DCV は定期的に行われるため、権威 DNS プロバイダーで CNAME レコードを削除しないでください。そうしないと、Cloudflare はあなたの代わりに DCV を実行できず、証明書が発行されません。
dig コマンドを使用してテストする場合、証明書が発行のために準備されている場合にのみ、配置されたトークンを見ることができるはずです。
これは、Cloudflare が必要に応じてトークンを配置し、その後クリーンアップするためです。
dig TXT +noadditional +noquestion +nocomments +nocmd +nostats _acme-challenge.example.com. @1.1.1.1_acme-challenge.example.com. 3600 IN CNAME example.com.<COPIED_VALIDATION_URL>現在、証明書の更新時に、Cloudflare は、証明書が特定の基準に一致する場合に自動的に DCV を HTTP 経由で実行しようとします：
- ホスト名がプロキシされています。
- 証明書のホスト名がゾーンに割り当てられた IP に解決されます。
- 証明書にワイルドカードが含まれていません。
検証 URL に干渉する設定は、この場合に問題を引き起こす可能性があることに注意してください。ガイダンスについては トラブルシューティングを参照してください。
ゾーンを別のアカウントに移動する場合、権威 DNS プロバイダーで CNAME レコードを新しい検証 URL で更新する必要があります。