Summary

  • 10月27日付の dns-account-01 第04版は、11月10日まで IESG の最終意見募集にかかっている。同じドメインを扱う独立した ACME アカウントに別々の DNS 検証名を与え、CNAME 委任を分ける設計だ。
  • 名称はアカウント URL の SHA-256 の先頭10バイトを Base32 化して作る。鍵の更新では維持される一方、サーバー移転で URL が変わると事前設定したレコードに影響が出る。

問題は dns-01 の _acme-challenge にある。TXT 値は複数置ける。それでも、二つの運用チームがそれぞれ自分の検証システムへ CNAME で委任したい場合、同じ DNS 名に置ける CNAME の宛先は一つだ。クラウドを分散しても、証明書発行の入口は共有されたままになる。

IETF の草案は、ACME アカウントの完全な URL をハッシュし、最初の10バイトを Base32 に変換したラベルを _acme-challenge の前へ置く。例は _ujmmovf2vn55tgye._acme-challenge.example.org。アカウントが異なれば名前も分かれ、それぞれ別の検証先に CNAME を向けられる。ACME サーバーはその先の TXT を読み、チャレンジの鍵認可から計算した値を照合する。

ただし第3.5節は、URL 全体を識別子として扱う。方式、ホスト、ポート、パスの変更が名前の再計算につながる。アカウント鍵を更新しても名称は残るが、サーバーの移転でアカウント URL を変えれば、既存の DNS 設定が合わなくなる。草案は旧 kid URL の受け入れ継続をサーバー側に求める。IETF の記録では第04版は最終意見募集段階で、目標は Proposed Standard だ。

採用するサーバーとクライアントの一覧、そして URL を保った実際の移転事例はまだ公開されていない。