ACM 証明書更新の通知を読む

ACM が発行した証明書は、DNS 検証の CNAME レコードが残っていて証明書が AWS のリソースに紐付いていれば、期限前に自動で更新されます。このとき届くのが「Your certificate is renewed」のような更新完了のメールで、対応は不要です。

一方、CNAME レコードが消えていたり、メール検証の証明書だったり、証明書がどのリソースにも使われていなかったりすると自動更新ができず、「Action required」と付いた検証を求めるメールが届きます。これは期日までに検証を済ませないと期限切れになる、要対応の通知です。期限が近づいても更新できていない場合は、期限切れ予告のメールも届きます。

件名に「Action required」「requires validation」「expire」が含まれていれば対応が必要、「renewed」「has been issued」なら情報として読めば十分、というのが目安です。本文にはドメイン名と証明書の ARN（アカウント ID を含む）が書かれているので、どの顧客のどのサイトの話かはそこから分かります。

難しいのは、複数の顧客のドメインの証明書が同じ時期にまとめて更新され、同じ件名のメールが十数通並ぶときです。その中に 1 通だけ「Action required」が混ざっていると、見落としやすくなります。

Sabaki は本文の ARN からアカウント ID を抽出して顧客に紐付け、更新完了のメールは「情報」、検証を求めるメールは「要対応」として期日付きで表示します。同じ件名の通知が並んでも、日本語の要約が「対応は必要ありません」か「〜までに DNS レコードを追加してください」かで一目で区別できます。宣伝メールと違い、これらは Slack やメールにも配信されます。

自動更新が失敗する原因は限られています。解説を読んで該当するものを確かめ、顧客側の作業が必要なら日本語の要約をそのまま連絡に使えます。

• DNS 検証の CNAME レコードが、ドメイン移管やゾーンの作り直しで消えている
• メール検証の証明書で、admin@ や webmaster@ 宛の承認メールに誰も答えていない
• 証明書がどの AWS リソースにも紐付いておらず、更新の対象外になっている（不要なら削除して構いません）

更新完了の通知は、受信箱で件名を検索して全選択し、まとめてアーカイブできます。対応が必要な 1 通だけを残して台帳で追う、という運用が短時間で回ります。