IBM Cloud の PaaS を独自ドメインで、かつ SSL で使ってみました。あまり日本語情報が見つからなかったこともあり、備忘録メモとしてブログエントリにしました。
まず IBM Cloud の PaaS を使うことで、Java や Node.js、PHP などのランタイム（アプリケーション・サーバー）が選択するだけで利用可能になります。利用者はそのランタイムの上で動くアプリケーション（Java なら war ファイルとか、プロジェクトのディレクトリとか）を作って Push（アップロード）するだけでアプリケーションが動きます。 また IBM Cloud の PaaS ではデフォルトで利用可能なドメイン（米国南部データセンターであれば mybluemix.net）があり、このデフォルトドメインを使って稼働させる場合は標準で SSL に対応しているため、特に証明書などを意識することなく SSL 通信可能なアプリケーションを動かすことができます：
一方で IBM Cloud の PaaS を（別途取得した）独自ドメインで利用することも可能です（IBM Cloud では「カスタムドメイン」と呼んでいます）：
カスタムドメインの設定自体は（単純に指定するだけなので）あまり難しくないのですが、カスタムドメインで運用するサーバーを SSL 対応させたことはいままでにありませんでした。今回その機会があり、個人的に躓いた箇所もあったので、一通りの手順を確認してメモ目的で残すことにしました。
【前提条件】
以下の前提条件を元に以降を記載します：
（１）独自ドメインは取得ずみ、DNS設定可能
（２）IBM Cloud はスタンダードアカウント
（１）は今回利用する独自ドメインを既に取得済みであるものとします。今回は僕が個人で取得している teyan.de ドメインを使うことにします。今回の手順の中でこのドメインの DNS 設定を変更する必要があり、その方法は DNS 取得業者によって変わってくるのですが、そのための権限を持っていて、DNS を変更する手順などを理解しているものとします。
また（２）ですが、IBM Cloud は無料のライトアカウントで利用することも可能です。ただ今回のカスタムドメインの利用についてはライトアカウントでは許可されておらず、Pay-As-You-Go などのスタンダートアカウントでの ID を取得している必要があります。
【目的】
IBM Cloud 上で稼働する test20190912.mybluemix.net をカスタムドメイン化して test20190912.teyan.de でアクセスできるようにして、かつ SSL 対応する。つまり https://test20190912.teyan.de/ でアクセスできるようにする：
↑今回はこれを実現するための手順を以下で紹介しますが、他のホスト名で利用する場合の設定は "test20190912" の部分を適宜読み替えてください。
【ドメインのワイルドカード証明書の準備】
この目的を達成するためには test20190912.teyan.de の証明書が必要になりますが、IBM Cloud の場合はドメインのワイルドカード証明書、つまり *.teyan.de の証明書を用意する必要があります。
試験的な利用であれば（スマホからのアクセスを考慮するとちと面倒ですが）オレオレ証明書でもいいと思いますし、自動更新ができないデメリットを理解した上で Let's Encrypto のワイルドカード証明書を用意してもいいです。もちろん有償でワイルドカード証明書を用意しても構いません。とにかく目的のドメイン（今回は *.teyan.de）のワイルドカード証明書（の公開鍵ファイル、秘密鍵ファイル、中間鍵ファイル）を取得してください。
自分は Let's Encrypto を使いました。Let's Encrypto でのワイルドカード証明書は３ヶ月程度で手動更新する必要がありますが、無料という強力な魅力があります。Let's Encrypto を使ったワイルドカード証明書の取得手順はこちらを参考にさせていただきました：
Let's Encrypt ワイルドカード証明書の取得手順メモ
この手順に従うなどして、目的ドメインのワイルドカード証明書である公開鍵ファイル（cert1.pem）、秘密鍵ファイル（privkey1.pem）、中間鍵ファイル（chain1.pem）を取得したと過程して以下を続けます。
【IBM Cloud にカスタムドメインを追加設定】
次に IBM Cloud 側に自分の独自ドメインを利用するための設定を行います。上述しましたが、この手順は IBM Cloud の（無料の）ライトアカウントでは行うことができません。スタンダードアカウントにアップグレードした上で行う必要がある点にご注意ください。
まず IBM Cloud に（ライトアカウント以外のアカウントで）ログインして、画面上部のメニューから 「管理」 - 「アカウント」 を選択してから、画面左のメニューで 「CloudFoundry の組織」 を選択し、「ドメイン」タブを開きます。そして「ドメインの追加」ボタンを押します：
ダイアログが表示されるので、追加する取得済みドメイン（下図では "teyan.de" ）を「追加」します。またこの時にアプリケーションをデプロイするデータセンターのロケーション（下図では「米国南部」）を指定します：
１つ前の画面に戻り、指定したドメインが一覧に追加されていることを確認します。SSL を使わない場合はこれだけで設定完了ですが、SSL を使う場合は続けて上述の手順で取得した証明書ファイルをアップロードする必要があります。「アップロード」と書かれた箇所をクリックします：
SSL 証明書の追加ダイアログが表示されるので、証明書、秘密鍵、中間証明書のファイルをそれぞれ指定し、最後に「追加」します：
再度１つ前の画面に戻ります。追加直後は SSL 証明書欄が「保留中」となっているはずで、しばらく（数分）待つ必要があります：
処理が反映されると SSL 証明書欄が鍵のかかったアイコンに代わります。これでカスタムドメインの IBM Cloud への追加設定は完了しました：
【IBM Cloud にアプリケーションをデプロイ】
クラウド上にアプリケーションを（今回の例では test20190912 という名前で）デプロイします。最終的には test20190912.teyan.de というホスト名でアクセスできるようにしますが、まずは普通に（デフォルトドメインを使って）test20190912.mybluemix.net でアクセスできるものを作成します（今回は標準の HelloWorld アプリ（NodeJS Starter Application）をそのまま使います）。デフォルトドメインはこの時点で SSL 対応しているので、 https://test20190912.mybluemix.net/ でアクセスできます：
【カスタムドメイン用のルーティングを追加】
その後、このアプリケーションにカスタムドメインのルーティングを追加します。
アプリケーションの概要ページへ移動し、画面右上の「経路」メニューから「経路の編集」を選択します：
ダイアログが表示されます。この時点で test20190912.mybluemix.net だけが表示されていると思いますが、「経路の追加」ボタンをクリックし、下図のように test20190912.teyan.de の経路にも対応するよう追加します。ここまでの手順が正しく実行されていればカスタムドメイン（teyan.de）の経路も証明書がインポートされているので鍵がかかったアイコンになっているはずです。最後に「保存」をクリックします：
ここまでの手順を行ってから再度「経路」ボタンをクリックすると、設定した２つの経路が表示されるようになります。これで IBM Cloud 側では test20190912.teyan.de を SSL で表示できるようにするための設定が完了しました：
【DNS の CNAME 設定】
後は test20190912.teyan.de へのアクセスがあった場合に、このアプリケーションサーバーにアクセスされるよう DNS 側で CNAME を設定してあげるだけです。が、この最後のステップがかなり戸惑いました。
独自ドメインを購入したサイトへ行き、以下のような設定を追加します：
目的のホスト名（この例では test20190912.teyan.de）へのアクセスがあった場合の CNAME 先として、
（IBM Cloud でのアプリ名、今回は test20190912）.us-south.cf.cloud.ibm.com
にルーティングする、という設定をしています。
実は僕自身はここで躓いていました。何も考えずにここは CNAME 先を test20190912.mybluemix.net にするものだと決めつけていたのですが、これだとうまくいきません（https で接続した先で mybluemix.net の証明書が使われてしまうため）。後述のドキュメントを参照すると、ここは mybluemix.net ではなく、us-south.cf.cloud.ibm.com を指定するのが正しいようです。
なおデータセンターが米国南部の場合はこの内容でいいのですが、米国南部以外の場合は us-south 部分を変更する必要があります。詳しくは以下のページを参照してください：
https://cloud.ibm.com/docs/cloud-foundry-public?topic=cloud-foundry-public-custom-domains
【動作確認】
上記 DNS の設定後、しばらく待って設定が反映されると、https://test20190912.teyan.de/ に（SSL 接続で）アクセスできるようになります。これで目的であった独自ドメインを使った SSL 対応ができました：
これで IBM Cloud の PaaS を使って独自ドメインのアプリケーションを SSL 対応で運用することできるようになります。
まず IBM Cloud の PaaS を使うことで、Java や Node.js、PHP などのランタイム（アプリケーション・サーバー）が選択するだけで利用可能になります。利用者はそのランタイムの上で動くアプリケーション（Java なら war ファイルとか、プロジェクトのディレクトリとか）を作って Push（アップロード）するだけでアプリケーションが動きます。 また IBM Cloud の PaaS ではデフォルトで利用可能なドメイン（米国南部データセンターであれば mybluemix.net）があり、このデフォルトドメインを使って稼働させる場合は標準で SSL に対応しているため、特に証明書などを意識することなく SSL 通信可能なアプリケーションを動かすことができます：
一方で IBM Cloud の PaaS を（別途取得した）独自ドメインで利用することも可能です（IBM Cloud では「カスタムドメイン」と呼んでいます）：
カスタムドメインの設定自体は（単純に指定するだけなので）あまり難しくないのですが、カスタムドメインで運用するサーバーを SSL 対応させたことはいままでにありませんでした。今回その機会があり、個人的に躓いた箇所もあったので、一通りの手順を確認してメモ目的で残すことにしました。
【前提条件】
以下の前提条件を元に以降を記載します：
（１）独自ドメインは取得ずみ、DNS設定可能
（２）IBM Cloud はスタンダードアカウント
（１）は今回利用する独自ドメインを既に取得済みであるものとします。今回は僕が個人で取得している teyan.de ドメインを使うことにします。今回の手順の中でこのドメインの DNS 設定を変更する必要があり、その方法は DNS 取得業者によって変わってくるのですが、そのための権限を持っていて、DNS を変更する手順などを理解しているものとします。
また（２）ですが、IBM Cloud は無料のライトアカウントで利用することも可能です。ただ今回のカスタムドメインの利用についてはライトアカウントでは許可されておらず、Pay-As-You-Go などのスタンダートアカウントでの ID を取得している必要があります。
【目的】
IBM Cloud 上で稼働する test20190912.mybluemix.net をカスタムドメイン化して test20190912.teyan.de でアクセスできるようにして、かつ SSL 対応する。つまり https://test20190912.teyan.de/ でアクセスできるようにする：
↑今回はこれを実現するための手順を以下で紹介しますが、他のホスト名で利用する場合の設定は "test20190912" の部分を適宜読み替えてください。
【ドメインのワイルドカード証明書の準備】
この目的を達成するためには test20190912.teyan.de の証明書が必要になりますが、IBM Cloud の場合はドメインのワイルドカード証明書、つまり *.teyan.de の証明書を用意する必要があります。
試験的な利用であれば（スマホからのアクセスを考慮するとちと面倒ですが）オレオレ証明書でもいいと思いますし、自動更新ができないデメリットを理解した上で Let's Encrypto のワイルドカード証明書を用意してもいいです。もちろん有償でワイルドカード証明書を用意しても構いません。とにかく目的のドメイン（今回は *.teyan.de）のワイルドカード証明書（の公開鍵ファイル、秘密鍵ファイル、中間鍵ファイル）を取得してください。
自分は Let's Encrypto を使いました。Let's Encrypto でのワイルドカード証明書は３ヶ月程度で手動更新する必要がありますが、無料という強力な魅力があります。Let's Encrypto を使ったワイルドカード証明書の取得手順はこちらを参考にさせていただきました：
Let's Encrypt ワイルドカード証明書の取得手順メモ
この手順に従うなどして、目的ドメインのワイルドカード証明書である公開鍵ファイル（cert1.pem）、秘密鍵ファイル（privkey1.pem）、中間鍵ファイル（chain1.pem）を取得したと過程して以下を続けます。
【IBM Cloud にカスタムドメインを追加設定】
次に IBM Cloud 側に自分の独自ドメインを利用するための設定を行います。上述しましたが、この手順は IBM Cloud の（無料の）ライトアカウントでは行うことができません。スタンダードアカウントにアップグレードした上で行う必要がある点にご注意ください。
まず IBM Cloud に（ライトアカウント以外のアカウントで）ログインして、画面上部のメニューから 「管理」 - 「アカウント」 を選択してから、画面左のメニューで 「CloudFoundry の組織」 を選択し、「ドメイン」タブを開きます。そして「ドメインの追加」ボタンを押します：
ダイアログが表示されるので、追加する取得済みドメイン（下図では "teyan.de" ）を「追加」します。またこの時にアプリケーションをデプロイするデータセンターのロケーション（下図では「米国南部」）を指定します：
１つ前の画面に戻り、指定したドメインが一覧に追加されていることを確認します。SSL を使わない場合はこれだけで設定完了ですが、SSL を使う場合は続けて上述の手順で取得した証明書ファイルをアップロードする必要があります。「アップロード」と書かれた箇所をクリックします：
SSL 証明書の追加ダイアログが表示されるので、証明書、秘密鍵、中間証明書のファイルをそれぞれ指定し、最後に「追加」します：
再度１つ前の画面に戻ります。追加直後は SSL 証明書欄が「保留中」となっているはずで、しばらく（数分）待つ必要があります：
処理が反映されると SSL 証明書欄が鍵のかかったアイコンに代わります。これでカスタムドメインの IBM Cloud への追加設定は完了しました：
【IBM Cloud にアプリケーションをデプロイ】
クラウド上にアプリケーションを（今回の例では test20190912 という名前で）デプロイします。最終的には test20190912.teyan.de というホスト名でアクセスできるようにしますが、まずは普通に（デフォルトドメインを使って）test20190912.mybluemix.net でアクセスできるものを作成します（今回は標準の HelloWorld アプリ（NodeJS Starter Application）をそのまま使います）。デフォルトドメインはこの時点で SSL 対応しているので、 https://test20190912.mybluemix.net/ でアクセスできます：
【カスタムドメイン用のルーティングを追加】
その後、このアプリケーションにカスタムドメインのルーティングを追加します。
アプリケーションの概要ページへ移動し、画面右上の「経路」メニューから「経路の編集」を選択します：
ダイアログが表示されます。この時点で test20190912.mybluemix.net だけが表示されていると思いますが、「経路の追加」ボタンをクリックし、下図のように test20190912.teyan.de の経路にも対応するよう追加します。ここまでの手順が正しく実行されていればカスタムドメイン（teyan.de）の経路も証明書がインポートされているので鍵がかかったアイコンになっているはずです。最後に「保存」をクリックします：
ここまでの手順を行ってから再度「経路」ボタンをクリックすると、設定した２つの経路が表示されるようになります。これで IBM Cloud 側では test20190912.teyan.de を SSL で表示できるようにするための設定が完了しました：
【DNS の CNAME 設定】
後は test20190912.teyan.de へのアクセスがあった場合に、このアプリケーションサーバーにアクセスされるよう DNS 側で CNAME を設定してあげるだけです。が、この最後のステップがかなり戸惑いました。
独自ドメインを購入したサイトへ行き、以下のような設定を追加します：
目的のホスト名（この例では test20190912.teyan.de）へのアクセスがあった場合の CNAME 先として、
（IBM Cloud でのアプリ名、今回は test20190912）.us-south.cf.cloud.ibm.com
にルーティングする、という設定をしています。
実は僕自身はここで躓いていました。何も考えずにここは CNAME 先を test20190912.mybluemix.net にするものだと決めつけていたのですが、これだとうまくいきません（https で接続した先で mybluemix.net の証明書が使われてしまうため）。後述のドキュメントを参照すると、ここは mybluemix.net ではなく、us-south.cf.cloud.ibm.com を指定するのが正しいようです。
なおデータセンターが米国南部の場合はこの内容でいいのですが、米国南部以外の場合は us-south 部分を変更する必要があります。詳しくは以下のページを参照してください：
https://cloud.ibm.com/docs/cloud-foundry-public?topic=cloud-foundry-public-custom-domains
【動作確認】
上記 DNS の設定後、しばらく待って設定が反映されると、https://test20190912.teyan.de/ に（SSL 接続で）アクセスできるようになります。これで目的であった独自ドメインを使った SSL 対応ができました：
これで IBM Cloud の PaaS を使って独自ドメインのアプリケーションを SSL 対応で運用することできるようになります。
