DigiCert Global Root G2 認証局（CA）証明書変更の影響及び追加設定の必要性はあるか new!

Exchange Onlineとの通信に関して、DigiCert Global Root G2認証局（CA）を信頼するよう案内されたことがあり、その場合のE-Postへの影響と追加設定の必要性について説明します。

【E-Postの動作への影響はあるか】
稼働中のメールサーバ・SMTPサーバにDigiCert Global Root G2証明書が追加済みであり、認証局（CA）が署名した証明書と中間証明書チェーンが正しく登録されていれば、鍵の生成方法に関係なく、E-Post側の動作に影響はありません。

【E-Post側で追加設定は必要か】
上記の通り、認証局（CA）が署名した証明書と中間証明書チェーンが正しく登録されていれば、E-Post側で追加設定や設定変更は不要です。ルート証明書が追加されていることに加え、中間証明書を含めた証明書チェーンが正しく構成されていることを確認してください。

【影響を受ける条件】
DigiCert Global Root G2にチェーンされるサーバ証明書を使用し、接続先のメールクライアントや他のメールサーバが新しいルート証明書を信頼していない場合は、影響を受ける可能性があります。特に、古いOSやファームウェアを使用している環境では、G2ルート証明書が信頼されているか確認してください。

DigiCert系の証明書には、RapidSSL、GeoTrust、Thawte、DigiCertブランドなどがあります。ブランド名だけで判断せず、実際の証明書チェーンを確認してください。

【他の認証局の証明書を使用している場合】
自サーバが提示する証明書がLet's EncryptやGlobalSign、Sectigoなどの、DigiCertとは無関係なルートにチェーンされる証明書であれば、その証明書自体はDigiCertのルート変更の対象ではありません。

ただし、自サーバが提示する証明書と、Exchange Onlineなどの接続相手が提示する証明書を信頼・検証することは別です。自サーバの証明書が他のCA発行であっても、接続相手の証明書チェーンに対する信頼確認は必要です。

【OpenSSLによる確認方法】
対象SMTPサーバが提示する証明書と中間証明書を確認する参考方法として、OpenSSLで接続して応答内容を取得します。接続方式に合わせてコマンドを選択してください。

SMTP over SSL（接続開始時からTLSを使用する場合）
openssl s_client -connect [your.mail.server]:[port] -showcerts
STARTTLS（SMTP接続後にTLSへ切り替える場合）
openssl s_client -connect [your.mail.server]:[port] -starttls smtp -showcerts
※[your.mail.server]と[port]は、実際の接続先ホスト名とポート番号へ置き換えてください。STARTTLS用の例は、接続方式を区別するための補足です。

応答内容から、サーバ証明書の発行者、中間証明書、証明書チェーン、検証結果を確認します。OpenSSLが参照する信頼ストアはE-Postの実行環境と異なる場合があるため、OpenSSLの結果だけでE-Postの動作を断定せず、実際のメール配送も確認してください。

【構築ガイドやFAQの古い設定例について】
E-Postの構築ガイドやFAQに掲載されている認証局証明書の事例には、2000年代から2010年代前半のG1ルート系を題材とした古い設定例があります。ただし、設定手順は基本的に同じですので、実際に発行されたG2／G3系の証明書チェーンに合わせて設定してください。

E-Postに設定している証明書を新しいチェーンの証明書へ置き換える場合は、証明書の再取得が必要です。ただし、今回のCA変更に対応するために、E-Post本体の最新アップデート作業が必須となるわけではありません。

※接続相手のCAを信頼するための対応と、自サーバの証明書の再取得・差し替えは別の作業です。今回の案内だけを理由に、すべての自サーバ証明書の再取得が必要になるという意味ではありません。

【確認する項目】
  1. メールサーバ・SMTPサーバにDigiCert Global Root G2証明書が追加済みか確認します。
  2. 認証局（CA）の署名と、サーバが提供する中間証明書を含めたチェーンが正しいか確認します。
  3. 接続先のメールクライアントや他のメールサーバが、対象ルート証明書を信頼しているか確認します。
  4. 自サーバが提示する証明書と、接続相手の証明書の信頼設定を分けて確認します。
  5. 実際のSMTP over SSL/TLS あるいは STARTTLS SMTP 通信とメール配送を確認し、問題がある場合は該当時刻のログやOpenSSLの応答内容を採取します。

（参考資料）
●Microsoft公式案内：Trust DigiCert Global Root G2 Certificate Authority to Avoid Exchange Online Email Disruption