中間CA証明書とは？ 10分でわかりやすく解説

中間CA証明書は、ルートCA証明書とサーバー証明書・ユーザー証明書などのエンドエンティティ証明書の間に位置し、証明書チェーンを構成するためのCA証明書です。上位CAから署名されることで信頼を継承し、下位の証明書を発行できます。

中間CA証明書を使うと、ルートCAの秘密鍵を日常的な発行業務から切り離しつつ、用途や組織単位で発行・失効を管理しやすくなります。一方で、中間CAの秘密鍵が危殆化した場合は配下の証明書に広く影響するため、鍵管理、失効、更新、証明書チェーンの配布まで含めた運用設計が欠かせません。

中間CA証明書とは何か

中間CA証明書とは、PKI（公開鍵基盤）において、ルートCA証明書とエンドエンティティ証明書の間に位置するCA証明書です。ルートCAまたは上位の中間CAが中間CA証明書に署名することで、中間CAは信頼の連鎖に組み込まれ、下位証明書を発行できるようになります。

中間CA証明書の定義

中間CA証明書は、ルートCA証明書とエンドエンティティ証明書の間に位置し、証明書の階層構造を支えるCA証明書です。中間CAは上位CAから発行権限を委譲され、サーバー証明書、クライアント証明書、端末証明書などの下位証明書を発行します。

CA証明書として扱うには、証明書内の拡張領域でCAであることを示す必要があります。X.509証明書では、basicConstraintsのcA値やkeyUsageなどが、証明書を検証する側にとって重要な確認項目になります。

中間CA証明書の役割

中間CA証明書の代表的な役割は次の通りです。

1. エンドエンティティ証明書の発行：サーバー、ユーザー、端末などが利用する証明書を発行します。
2. 証明書チェーンの構築：ルートCAを起点とする信頼の連鎖を成立させます。
3. ルートCAの保護：ルートCAの秘密鍵を日常の発行業務から切り離し、鍵の露出機会を減らします。
4. 用途別の運用分離：サーバー認証、クライアント認証、コード署名など、用途ごとに発行基盤やポリシーを分けやすくします。

ルートCA証明書との違い

ルートCA証明書と中間CA証明書は、どちらもCAの証明書ですが、信頼モデルと運用上の位置づけが異なります。

なお、ルートCAが技術的に証明書を発行できないわけではありません。ただし、実運用ではルートCAの秘密鍵の使用を最小化するため、中間CAに発行業務を委ねる設計が一般的です。公的に信頼されるWeb PKIでは、ルートプログラムやCA/Browser Forumの要件に従って、発行CAや用途分離を設計する必要があります。

中間CA証明書の使用例

• 大規模組織のPKI：部門別・用途別に中間CAを分け、発行・失効の運用を分散できます。
• 用途分離：サーバー証明書用、クライアント証明書用、コード署名用など、目的ごとに中間CAを分ける設計があります。
• プライベート認証局の運用：社内端末、社内サーバー、VPN、無線LAN認証などの用途で、組織内の証明書発行基盤として利用されます。
• クロス認証：異なるPKI間で信頼関係を接続する設計が取られる場合があります。ただし、設計と検証が複雑になるため、要件整理が欠かせません。

中間CA証明書の仕組み

証明書チェーンと階層構造

中間CA証明書は、証明書チェーンを成立させるために使われます。一般的な階層は次のように整理できます。

• ルートCA証明書（信頼の起点）
• 中間CA証明書（1段または複数段）
• エンドエンティティ証明書（サーバー、ユーザー、端末など）

この階層構造により、クライアントは最終的に使われる証明書だけでなく、その上位にある中間CAやルートCAまでの関係を確認できます。証明書チェーンの検証では、署名、発行者と主体の対応、有効期限、用途、失効状態、CAとしての属性などを確認します。

中間CA証明書の発行プロセス

中間CA証明書の発行は、概ね次の流れで行われます。

1. 中間CAの鍵ペア生成：中間CA用の公開鍵と秘密鍵を生成します。
2. CSR作成：中間CAの公開鍵と識別情報を含む証明書署名要求を作成します。
3. 上位CAによる審査・署名：ルートCAまたは上位CAがCSRを確認し、中間CA証明書に署名します。
4. 運用開始：中間CAは証明書チェーンに組み込まれ、下位証明書を発行できる状態になります。

このとき、中間CAの秘密鍵は下位証明書の発行に使われるため、保管場所、アクセス権限、操作ログ、バックアップ、復旧手順を含めて管理する必要があります。

証明書チェーンの検証方法

証明書チェーンの検証は、エンドエンティティ証明書から上位に向かって、署名の正当性と利用条件を確認する処理です。確認の中心になるのは次の観点です。

1. エンドエンティティ証明書の確認：有効期限、用途、対象名、失効状態などを確認します。
2. 中間CA証明書の確認：署名が正しいか、有効期限内か、CAとしての属性があるか、失効していないかを確認します。
3. ルートCAとの連鎖確認：最終的に信頼済みのルートCA、つまりトラストストア内のトラストアンカーに到達できるかを確認します。

チェーンが存在するだけでは信頼は成立しません。署名、期限、用途、失効、CA属性などの条件を満たしたときに、検証側はその証明書を信頼できると判断します。

有効期限・失効・鍵管理

中間CA証明書はPKI運用の中核にあるため、ライフサイクル管理が欠かせません。

• 有効期限管理：中間CAの更新は、下位証明書の発行や配布にも影響します。更新計画は余裕を持って設計します。
• 失効管理：中間CAを失効させると、その配下の証明書が検証に失敗する可能性があります。インシデント時の判断手順を事前に定めます。
• 秘密鍵の保護：中間CAの秘密鍵が危殆化した場合、影響範囲が大きくなります。保管方法、アクセス制御、操作ログ、監査を強化します。

中間CA証明書のメリットとデメリット

セキュリティ上のメリット

• ルートCAの保護：ルートCAの秘密鍵の使用頻度を抑え、危殆化リスクを下げる設計にできます。
• インシデント対応の単位を作れる：用途別に中間CAを分けていれば、影響範囲をその用途に限定しやすくなります。
• 信頼の分離：組織や用途ごとに発行基盤を分けることで、異なる運用ポリシーを適用しやすくなります。

運用上のメリット

• 発行権限の委譲：中間CAに発行業務を委ね、証明書発行の運用を分散できます。
• 用途別の設計：サーバー認証、クライアント認証、コード署名など、用途単位で更新周期や審査基準を変えられます。
• 運用変更への対応：ポリシー変更時に、ルートCAを使わず中間CA側の設計で対応できる場合があります。

導入・運用のコスト

中間CAの導入には利点がありますが、次のようなコストも発生します。

• 基盤コスト：中間CA運用のためのシステム、鍵保管、バックアップ、監査の整備が必要です。
• 運用コスト：更新、失効、ログ監査など、ライフサイクル管理の手間と専門性が求められます。
• 手順整備コスト：鍵漏えい、誤発行、失効、切り替えなどのインシデント対応手順を事前に整える必要があります。

運用リスク

• 中間CAの危殆化：中間CAの秘密鍵が漏えいすると、配下の証明書全体に影響が及びます。
• 失効の影響範囲：中間CAを失効させると、配下の証明書が一斉に検証失敗となる可能性があります。
• 設定ミス・配布ミス：チェーン不備や誤った証明書の配置により、通信が失敗するトラブルが起きます。

中間CA証明書は、追加すれば自動的に安全性が高まる部品ではありません。組織の要件、運用体制、更新計画、失効時の対応と組み合わせて設計して初めて、狙った効果を得られます。

中間CA証明書の導入手順

中間CA証明書の取得・用意

中間CA証明書の取得・用意は、環境によって異なります。商用CAを利用するケースと、社内PKIを構築するケースでは手順が変わるため、目的と対象範囲を先に確定します。

1. 要件整理：用途（TLS、端末認証、クライアント認証など）、対象範囲、更新周期、失効運用、監査要件を整理します。
2. CA方式の選定：商用CAを利用するか、社内PKIを構築するかを決めます。
3. 中間CAの鍵とCSR作成：中間CA用の鍵ペアを生成し、CSRを作成します。
4. 上位CAの署名：ルートCAまたは上位CAにより署名され、中間CA証明書が発行されます。

サーバーへの証明書チェーン配置

WebサーバーなどでTLSを利用する場合、重要なのは中間CA証明書だけを配置することではありません。サーバーが、エンドエンティティ証明書と必要な中間CA証明書を含むチェーンを、クライアントに正しく提示できる状態にすることです。具体的な設定方法は、サーバー製品や構成によって異なります。

ルートCA証明書は、通常クライアント側のトラストストアで管理されます。そのため、サーバーが提示するチェーンには、エンドエンティティ証明書と必要な中間CA証明書を含め、ルートCA証明書は含めない運用が一般的です。

1. サーバー証明書と秘密鍵を配置します。
2. 必要な中間CA証明書を配置します。複数段の中間CAがある場合は、チェーンに必要な順序を確認します。
3. サーバーがクライアントへ提示する証明書チェーンを設定します。
4. チェーン不備がないこと、TLS通信が成立すること、対象クライアントで検証に成功することを確認します。

更新（ローテーション）手順

中間CA証明書の更新は、下位証明書の発行、配布、検証に影響します。期限が近づいてから差し替えるのではなく、事前に移行計画を作る必要があります。

1. 新しい中間CA証明書を用意します。必要に応じて新しい鍵ペアを生成します。
2. 下位証明書の発行・再発行計画を策定します。
3. サーバー、機器、クライアント側のチェーン提示や信頼設定を段階的に更新します。
4. 切り替え後に検証結果とログを確認し、問題がないことを確認します。

トラブルシューティングの観点

中間CA証明書に関連するトラブルは、証明書そのものの不正だけでなく、チェーンの不備、用途不一致、期限切れ、失効、提示漏れによって起きます。主な症状と確認ポイントを整理します。

中間CA証明書の導入・運用は、PKIの中でも影響範囲が大きい領域です。設計段階で、更新、失効、秘密鍵の危殆化、誤発行、証明書チェーンの配布不備への対応を具体化しておく必要があります。

まとめ

中間CA証明書は、ルートCA証明書とエンドエンティティ証明書の間に位置し、証明書チェーンを構成して信頼の連鎖を成立させるためのCA証明書です。中間CAを用いることで、ルートCAの秘密鍵を日常運用から隔離しつつ、用途別・組織別に発行運用を設計できます。

一方で、中間CAの秘密鍵保護、失効時の影響、チェーン提示、更新計画の不備は、広範囲の通信障害や再発行対応につながります。中間CA証明書は導入して完了するものではなく、更新、失効、監査、インシデント対応まで含めて設計する必要があります。

FAQ