ACMのEメール検証証明書をARNを変えずにDNS検証へ切り替えてみた

はじめに

2026年8月13日、AWS Certificate Manager（ACM）で既存のパブリック証明書のドメイン検証方法を、EメールからDNSへ変更できるようになりました。

https://aws.amazon.com/jp/about-aws/whats-new/2026/08/AWS-Certificate-Manager-Email-DNS-Switch/

これまでEメール検証で発行した証明書をDNS検証へ移すには、証明書を新規発行して差し替えるしかありませんでした。この方法ではARNが変わるため、参照箇所の設定変更も必要でした。今回のアップデートでは、証明書を残したまま検証方法だけを切り替えられます。

あわせて、AWS Security Blog ではEメール検証の終了スケジュールも案内されています。

Eメール検証で発行済みの証明書をマネジメントコンソールからDNS検証へ切り替え、ARNや有効期限が維持されるかを確認しました。あわせてCloudTrailでどのAPIが呼ばれているかも確認しました。

検証内容

切替はコンソールから実行し、結果は describe-certificate・CloudTrail・dig で確認しました。

コンソールから検証方法を切り替える

切替操作の前に、証明書のリクエスト画面でEメール検証が「非推奨済み」と表示されることを確認しました。

発行済み証明書の詳細画面で「検証方法を更新」をクリックしました。

確認モーダルが表示されたので、更新を実行しました。

切替前後の証明書を比較する

「切替前」列は、操作前に取得した describe-certificate の実測値です。

変わったのは検証方法に関わるフィールドだけで、CertificateArn は切替前と同一でした。

切替後の describe-certificate には、更新処理の結果を示す UpdateSummary が追加されていました。

{
  "UpdateSummary": {
    "Status": "SUCCESS",
    "Type": "DOMAIN_VALIDATION_METHOD",
    "DomainValidationMethodUpdateSummary": {
      "From": "EMAIL",
      "To": "DNS"
    },
    "RequestedAt": "2026-08-14T10:18:25.640+09:00",
    "UpdatedAt": "2026-08-14T10:18:38.680+09:00"
  }
}

RequestedAt から UpdatedAt までは13秒でした。

CloudTrail で API を確認する

コンソールの更新操作は、公開 API の UpdateCertificateOptions として記録されていました。requestParameters には証明書の ARN と options が含まれていました。

{
  "certificateArn": "arn:aws:acm:us-east-1:111122223333:certificate/12345678-1234-1234-1234-123456789012",
  "options": {
    "validationMethod": "DNS"
  }
}

イベントの sessionCredentialFromConsole は true、responseElements は null でした。

https://docs.aws.amazon.com/acm/latest/APIReference/API_UpdateCertificateOptions.html

DNS 検証用レコードの扱いを確認する

対象証明書では過去の運用で検証用 CNAME レコードが残っていたため、切替直後から ValidationStatus は SUCCESS でした。切替後に ACM が提示した検証用の ResourceRecord は次のとおりでした。

{
  "ResourceRecord": {
    "Name": "_1234567890abcdef1234567890abcdef.example.com.",
    "Type": "CNAME",
    "Value": "_abcdef1234567890abcdef1234567890.abcdefghij.acm-validations.aws."
  }
}

提示された Name を dig で引きました。

$ dig _1234567890abcdef1234567890abcdef.example.com CNAME +short
_abcdef1234567890abcdef1234567890.abcdefghij.acm-validations.aws.

ResourceRecord の Value と一致しました。

AWS Security Blog によると、切替後に提示された CNAME レコードの追加には 72 時間の猶予があり、その間は証明書がEメール検証のまま通常どおり機能します。72 時間を過ぎた場合もEメール検証のまま有効で、あとからレコードを追加して再試行できます。

まとめ

Eメール検証証明書は 2027-09-30 に更新も停止するため、それまでに切り替えておく必要があります。今回のアップデートにより、ARN を維持したまま DNS 検証へ移行できます。余裕を持って移行を計画することをおすすめします。

参考リンク

• Migrating from email to DNS validation - AWS Certificate Manager
• AWS Certificate Manager will discontinue email validation to prove domain validation for certificates | AWS Security Blog