【Edge】SSL証明書チェーンの中間CA欠落でEdgeが「ERR_CERT_AUTHORITY_INVALID」を出す手順

EdgeでWebサイトにアクセスすると「ERR_CERT_AUTHORITY_INVALID」というエラーが表示され、ページが開けないことがあります。このエラーは、SSL証明書のチェーンが不完全で中間証明機関(中間CA)が欠落しているために発生します。本記事では、このエラーの原因を説明し、Edgeで安全にサイトを表示できるようにするための具体的な手順を紹介します。

SSL証明書チェーンと中間CA欠落の仕組み

SSL/TLS通信では、サーバー証明書の信頼性を確認するために証明書チェーンが使われます。チェーンの最上部には「ルート証明機関」があり、その下に「中間証明機関」、最下部に「サーバー証明書」が連なります。ブラウザはこのチェーンをたどってルートCAまで検証しますが、途中の中間CAが欠けていると「ERR_CERT_AUTHORITY_INVALID」が発生します。原因としては、サーバー側で中間CA証明書が正しく設定されていない、またはクライアントの証明書ストアが古いなどが考えられます。

中間CA欠落を解消するための操作手順

手順1: エラーが発生するサイトの中間CA証明書を確認する

1. 証明書エラーの詳細を表示する
   Edgeでエラーページの「詳細」または「証明書の表示」をクリックします。開いた証明書パスで、どの証明書が欠けているかを確認します。
2. 中間CA証明書の入手先を特定する
   欠落している中間CAの名前をメモし、その発行元のWebサイトから証明書をダウンロードします。多くの場合、証明書ベンダーが無料で公開しています。

手順2: ダウンロードした中間CA証明書をインストールする

1. 証明書ファイルを保存する
   ダウンロードしたファイルは通常「.cer」または「.crt」形式です。ファイルを右クリックし、「証明書のインストール」を選択します。
2. 証明書ストアを選択する
   インストールウィザードで「ローカルコンピュータ」を選び、「信頼されたルート証明機関」ではなく「中間証明機関」のストアに配置します。ルートCAに誤って入れるとセキュリティリスクになるため注意してください。
3. インストールを完了する
   画面の指示に従って進め、完了後にEdgeを再起動します。再度サイトにアクセスしてエラーが解消されたか確認します。

手順3: Windows Updateを手動で実行して証明書を更新する

1. 「設定」アプリを開く
   Windows11では「スタート」メニューから「設定」を開き、「Windows Update」を選択します。Windows10でも同様です。
2. 「更新プログラムのチェック」をクリックする
   「更新プログラムのチェック」ボタンを押して、利用可能な更新を検索します。特に「セキュリティ更新プログラム」や「信頼されたルート証明機関の更新プログラム」があるか確認します。
3. 更新プログラムをインストールする
   該当する更新があればインストールし、必要に応じて再起動します。これにより、不足していた中間CA証明書が追加される場合があります。

手順4: グループポリシー経由で証明書を配布する(企業向け)

1. グループポリシー管理コンソールを開く
   ドメイン管理者は「gpmc.msc」を実行してグループポリシー管理エディターを開きます。
2. 証明書のポリシーを編集する
   「コンピューターの構成」→「Windowsの設定」→「セキュリティの設定」→「公開キーのポリシー」で「信頼されたルート証明機関」または「中間証明機関」を右クリックし、「インポート」を選択します。
3. 証明書をインポートして適用する
   手順2で入手した証明書ファイルをインポートし、ポリシーを適用します。対象のクライアントPCで「gpupdate /force」を実行すると反映されます。

注意点とよくある失敗例

手動インストール時に誤ったストアを選択してしまう

中間CA証明書を「信頼されたルート証明機関」にインストールすると、そのCAがルートとして扱われてしまい、本来のルートCAとの整合性が崩れる可能性があります。必ず「中間証明機関」のストアに配置してください。間違えた場合は、証明書を削除して正しいストアに再インストールします。

古いEdgeバージョンでは動作が異なる

Edgeの旧バージョン(レガシー版)とは手順が一部異なります。最新のChromium版Edgeでは上記手順で問題ありませんが、Windows10の初期バージョンでは証明書ストアの管理方法が若干異なる場合があります。その場合はWindowsの「証明書マネージャー(certmgr.msc)」から直接操作することをおすすめします。

自己署名証明書やプライベートCAの中間CAには対応しない

この方法は公的な認証局が発行した証明書に限ります。組織内で独自に運用しているプライベートCAの中間証明書は、別途ルート証明書を配布する必要があります。自己署名証明書の場合は、そもそもチェーン自体が存在しないため、正規の証明書に置き換える必要があります。

各解決方法の比較

まとめ

本記事では、Edgeで「ERR_CERT_AUTHORITY_INVALID」が発生する原因である中間CA欠落の対処法を解説しました。手動インストール、Windows Update、グループポリシーの3つの方法を状況に応じて使い分けることで、ほとんどのケースで解決できます。特に企業環境ではグループポリシーを活用すると効率的です。今後同様のエラーが起きた際は、まず証明書チェーンを確認し、不足している中間CAを特定してから適切な方法を選んでください。