...
1日目 更新用証明書発行
鍵およびCSR生成、申請、証明書受領
（詳細は各機関の登録担当者に確認のこと）
＜証明書取得＞
1日目 Apacheに対して証明書の更新（※1）
1日目 SPに対して設定変更1（新証明書を暗号化用として追加）（※2）
1日目 学認申請システムにて証明書を追加（予備の欄に）
＜承認待ち＞
X日目 承認、学認メタデータに反映
（ほとんどの場合数日のうちに承認されますが、そうでない場合
を考慮してX日目としています）
＜メタデータに追加＞
＜メタデータ伝播待ち＞
X+15日目 SPに対して設定変更2（新証明書をメインにし旧証明書を暗号化用に変更）（※3）
X+15日目 問題がなければ、学認申請システムから古い証明書を削除
（ついでに、新しい証明書を予備の欄から移動）
＜承認待ち＞
Y日目 承認、学認メタデータに反映
（同上）
＜メタデータから旧証明書を削除＞
＜メタデータ伝播待ち＞
Y+15日目 SPに対して設定変更3（旧証明書削除）（※4）
※1「Apacheに対して証明書の更新」の手順1.
- /etc/pki/tls/private/server.key
...
- /etc/pki/tls/certs/server.crt
...
- を新証明書のもので上書きする
...
- 参考: サーバ証明書の設定(SP)
...
- httpdを再読み込み(reload)する
※2 SP設定変更11.
- /etc/shibboleth/cert/new.key
...
- /etc/shibboleth/cert/new.crt
...
- に新証明書および鍵を配置する（この段階では旧証明書を上書きしないこと！）
...
- new.keyのパーミッションについては、shibdからアクセスできるように注意すること(CentOSではowner:
...
- groupが
shibd:shibdでパーミッションがr--r-----)。
...
- 以下、全て/etc/shibboleth/shibboleth2.xmlに対する変更である。
--
<CredentialResolver type="File" key="cert/server.key" certificate="cert/server.crt"/>
--
↓
--
<CredentialResolver type="Chaining">
<CredentialResolver type="File" key="cert/server.key" certificate="cert/server.crt"/>
<CredentialResolver type="File" key="cert/new.key" certificate="cert/new.crt" use="encryption"/>
</CredentialResolver>
--
...
...
- 変更後shibdを再起動する
※3 SP設定変更2
（同じ部分の変更につき変更後のみ記載）
--
<CredentialResolver type="Chaining">
<CredentialResolver type="File" key="cert/server.key" certificate="cert/server.crt" use="encryption"/>
<CredentialResolver type="File" key="cert/new.key" certificate="cert/new.crt"/>
</CredentialResolver>
--
変更後shibdの再起動を行うこと
※4 SP設定変更3
（同じ部分の変更につき変更後のみ記載）
--
<CredentialResolver type="File" key="cert/server.key" certificate="cert/server.crt"/>
--
このように戻した上で、
/etc/shibboleth/cert/server.key
/etc/shibboleth/cert/server.crt
を新証明書および鍵で上書きする
最後にshibdの再起動を行うこと
※IdPとSPで更新手順が異なる理由について
SPの証明書は暗号化にも使用されるため、上記のように複雑な手順になります。
...