証明書ライフサイクル管理（CLM）⁠と⁠は⁠？棚卸しと更新の自動化の種類、価格の違いと選び方

証明書ライフサイクル管理とは

証明書ライフサイクル管理は、CLM（Certificate Lifecycle Management）とも呼びます。社内にある証明書を一覧にし、期限の前に知らせ、更新とサーバーへの配布まで自動にします。

日本IBMの案内では、SSL/TLSサーバー証明書の有効期間は398日から2027年までに100日、2029年までに47日へ短くなります。更新の回数が増えるので、手作業のままでは更新漏れが起きやすくなります。

比較ページには、公式の日本語ページで棚卸しや更新の自動化を確かめられた製品とサービスを載せています。

4つの種類

• 検出・一元管理型は、散らばった証明書を見つけるか取り込むかして、1つの画面で管理します。例は DigiCert Trust Lifecycle Manager、SmartCertManage、TLS Connect ⁠⁠⁠です
• ACME自動更新型は、サーバーのクライアントが認証局へ更新を求めます。例は SureHandsOn ACME、Sectigo CaaS ⁠⁠⁠です
• クラウド完結型は、クラウドの中で発行から更新まで任せます。例は AWS Certificate Manager ⁠⁠⁠です
• 代行型は、申請や期限の管理を事業者が代わりに行います。例は IIJサーバ証明書管理サービスです

選ぶときに見る点

選ぶときは「証明書の枚数」「使う認証局」「配る先の機器」の3つを先に決めます。

• 枚数は製品の入口を左右します。TLS Connect は1枚から、LifeCycleX byGMO は200枚からです
• 認証局は製品ごとに範囲が違います。DigiCert Trust Lifecycle Manager はほかの認証局の証明書も取り込めます
• 配る先は機種名まで確かめます。SmartCertManage は F5 BIG-IP と Netwiser に対応します

価格

• Password Manager Pro の年間ライセンスは、1,078,000円（税別）⁠か⁠ら⁠で⁠⁠⁠⁠す
• Sectigo CaaS のドメイン認証は、5,800円（税込6,380円）⁠で⁠⁠⁠⁠す
• IIJサーバ証明書管理サービスの持ち込み証明書は、5,000円（6か月・税抜）からです
• AWS Certificate Manager は、統合サービスで使う証明書に追加料金がかかりません

検出・一元管理型の多くは公開価格がありません。証明書の枚数と配る先の機器を数えてから、見積もりを取ります。

導入の前に確かめること

• 今ある証明書の枚数、置き場所、認証局を一覧にします
• ACMEを使えない機器を洗い出します。TLS Connect は PowerShell 連携で、標準で対応しない機器にも配れます
• 誰が通知を受けて、更新の失敗に対応するかを決めます