[IBMCloud] もう期限切れで焦らない！IKSのTLS証明書を自動更新する仕組みを作る Part2

## 作業概要
Secrets Managerで証明書を注文するときに、発行対象のドメインの所有者であることを検証する必要がある。所有者の検証に使用するDNS サービスとして、今回はCISを利用する

※他に利用できるDNSサービスとしては、CIS/Classic環境DNS/Manual（自前のDNSサーバ等）があるが、ManualのDNSサービスを利用する場合、自動更新は対象外

## 全体の流れ
ボリュームがあるので、全5回で記事を記載します。
本記事では「2.DNS Providerの設定と自動更新カスタムドメイン証明書(パブリック)の発行」の内容を記載

**前回**
1.[自動証明書管理環境（ACME）のセットアップと認証局の構成](https://qiita.com/khoshina/items/c435a155b7048d8a9069)

**本記事はこちら**
<font color="red">**2.[DNS Providerの設定と自動更新カスタムドメイン証明書(パブリック)の発行]**</font>

**次回以降**
3.[IKSとSecret Managerの連携設定と自動更新の確認](https://qiita.com/khoshina/items/f994d2e413363e48cf26)
4.[IKSからパブリック証明書の参照と自動更新](https://qiita.com/khoshina/items/c2e5b22877a48629a671)
5.[IngressALBから証明書の利用とアプリケーションへのHTTPS動作確認](https://qiita.com/khoshina/items/c436d1d20703aec19cfc)

**全体図**
IKSでSecret Managerを利用して、IngressALBにPublic証明書を適用し、証明書の自動更新を行う一例
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/a0522f04-e045-44c9-a439-b012b6ddb589.png)

## サービス間のアクセス許可設定(SecretManager -> CIS)
はじめに、SecretManagerからCISへのドメイン検証を行うため、アクセス権の追加が必要になるため、その設定を実施する

参考ページ：[CISへのサービス・アクセス権限の付与](https://cloud.ibm.com/docs/secrets-manager?topic=secrets-manager-prepare-order-certificates&interface=ui#authorize-cis)

IAM -> Authorizations -> Createを選択
![貼り付けた画像_2025_05_20_14_08.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/7a2d96f6-eca6-4930-854c-10f0b4475d25.png)


**Sourceの設定**
Source account : This account
Service: Secrets Manager
Resource: サービスインスタンスでCISにドメイン検証を許可するSecret Managerインスタンスを指定
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/e8c4f75a-b9ab-4354-808f-11c61219c083.png)

**Targetの設定**
Service: Internet Services
Resources: Secret Managerからのアクセスを許可するCISインスタンスを指定
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/098f080a-710b-4673-a9f6-6f95f3b6009c.png)

**Roleの設定**
Managerを設定し、Authorizeを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/1ee41137-733c-475b-9335-7c68aa7534b3.png)

## DNS Providerの設定
参考ページ：[UIを使用したDNSプロバイダー構成の追加](https://cloud.ibm.com/docs/secrets-manager?topic=secrets-manager-add-dns-provider&interface=ui)

Secrets engines -> Public certificates -> DNS Providers -> Addを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/c55adf77-50a7-40ad-b1a4-6c4e233b4038.png)

任意の名前を入力し、Cloud Internet Servicesを選択し、Nextを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/d8dc3695-081a-401a-9487-571f876d3cc4.png)

AuthorizationにてCISインスタンスを選択し、Addを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/646ea8d6-ef38-450d-bf1d-2d4189f037ca.png)

DNS Providersに登録されていることを確認
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/91fc3cc8-3d54-4a10-987c-4f615a555cd5.png)

## 証明書の発行
Secret Managerのページから、Secrets -> Addを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/f73e20e1-60bd-4d77-92cb-e73b35d698eb.png)

Public certificateを選択し、Nextを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/f0230d60-5eb3-4479-9628-c8a1be1838e0.png)


任意のNameを記載、リソースグループを指定し、Nextを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/4a249fc6-0da4-4a25-a09d-01a834cc9c6f.png)

Secret engineの構成で作成したCertificate authorityを指定し、Key algorithmは環境に応じて選択するさらに、Automatic certificate rotationを選択しておくと自動更新する（他のオプションは任意で設定）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/4a72a1b0-6025-4a9f-8289-3b9a88f05b78.png)

DNS providerは先ほど作成したCISを選択
domainはCISで管理しているドメインを指定し、Nextを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/fac092cc-4b72-4e13-9580-bc966a448655.png)

問題なければ、証明書が作成される
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/ea3d5af4-bbf2-4f02-8139-260531a22379.png)

証明書の詳細画面で、証明書の有効期限と自動更新までの日が確認できる
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/703043/ea2a2614-dac1-4bed-ad09-2805775be30c.png)

---

続き「3.[IKSとSecret Managerの連携設定と自動更新の確認](https://qiita.com/khoshina/items/f994d2e413363e48cf26)」