Developer ID Certification Authorityの有効期限対応
2027年2月1日で旧Sub-CA発行の証明書が無効化
影響確認から再署名までに必要な作業
Appleは、従来のDeveloper ID Certification Authority（Sub-CA）が2027年2月1日に失効すると案内しています。この認証局から発行されたDeveloper ID証明書は、同日以降は利用できなくなります。
対象かどうかは、Certificates, Identifiers & ProfilesでDeveloper ID証明書の有効期限を確認することで判断できます。Appleは、2027年2月1日以前に失効する証明書がある場合に影響を受ける可能性があると案内しており、あわせて証明書がどの認証局から発行されたものか確認するよう求めています。
該当する場合は、現在の認証局であるDeveloper ID Certification Authority（G2）から新しい証明書を作成する必要があります。G2の認証局自体は2031年まで有効ですが、そこから発行される証明書は毎年失効するため、年次更新は引き続き必要です。
証明書を新しく作成する前提条件として、Xcode 11.4以前を使っている環境では先にXcodeを更新する必要があります。また、Developer ID Certificate Intermediaryの選択画面ではG2 Sub-CAを選ぶ必要があります。別の選択肢を使うと、2027年に失効する証明書が発行される可能性があります。
配布物ごとの対応も分かれています。.pkg形式のインストーラーパッケージは、影響を受ける証明書で署名されたものが2027年2月1日以降インストールできなくなります。そのため、配布中の.pkgは期限前に新しい証明書で再署名しておく必要があります。
一方、Macアプリについては扱いが異なります。すでに署名とnotarizationが完了しており、secure timestampを含むMacソフトウェアは、2027年2月1日以降もそのまま動作を継続できます。既存配布物の再署名は不要ですが、今後のアップデート版は新しい証明書で署名し、notarizationにsecure timestampを含める必要があります。
この案内は、証明書の差し替えだけでなく、配布形式ごとに必要な再署名の範囲が異なる点が重要です。特にDeveloper ID Installerで署名した.pkgを継続配布している場合は、期限までに更新済み証明書へ切り替えておくことが実務上の対応になります。
—
参照元
– [apple] Upcoming expiration of Developer ID Certification Authority (Sub-CA)
https://developer.apple.com/news/?id=w4atic4c
