AmazonLinuxで「Let's Encrypt」を使ってSSLのサーバ証明書を設定

AmazonLinuxで「Let's Encrypt」を使ってSSLのサーバ証明書を設定

記事一覧AmazonLinuxで「Let's Encrypt」を使ってSSLのサーバ証明書を設定

管理しているサイトの中で、サーバ証明書の有効期限が近くなったサイトが 1 つあったので証明書の更新手続きをしたのですが、証明書発行の審査が 2016 年の途中から厳しくなったこともあり、スムーズに更新ができませんでした。

多くのレジストラではドメイン情報(Whois)の代理公開サービスをしているので、個人が独自ドメインで趣味のサイトを管理することも多くなりましたが、SSL のサーバ証明書を発行する際に、Whois の登録者や管理者のメールアドレスで承認メールを受け取れることが条件に増えてしまいました。

管理者メールアドレスだけの変更ができない

私が利用しているレジストラの場合、メールアドレス部分だけを個人の情報に変更することはできなく、名前や住所などの情報も合わせて公開しないと Whois に登録されている情報を更新できないとのことでした。

企業や事業主ならともかく、個人が趣味でやっているようなサイトでは、自宅の住所や名前などを公にするメリットはないですし、私はドメインの代理公開サービスは肯定派なのですが、色々と厳しい場面はあるようです。

Let's Encryptで証明書発行

仕方ないので、「SSLストア」で購入した更新用証明書はなくなく捨てることにしました。よって、選択肢としては AWS で無料発行してもらえる証明書だったのですが、こちらも Whois のメール承認が必要とのことでまさかの打つ手なしです。

しかし、1 年ちょっと前に「Let's Encrypt」で証明書が無料で発行できるようになったけど、うまくいかなくて断念したことを思い出して、再度挑戦してみることにしました。

1 年前に断念した理由としては 2 つあって、1 つは CentOS ではコマンド実行できる環境が構築できたけど、Amazon Linux ではうまくいかなかったこと。もう 1 つは、証明書の有効期限が 3 ヶ月なので、定期的に自動更新できるようなスクリプトを用意しないと運用しにくいことでした。

Amazon Linux でうまくいかなかったのは、Python の pip で管理しているライブラリ周りで、global 環境向けに管理しているパッケージの一部が、証明書発行のスクリプト実行時に読み込めないエラーが発生するという現象でした。これは私の Python や pip に関する理解が乏しかったからだと思いますが・・・。

証明書発行準備

現在は、「Let's Encrypt 総合ポータル」なるサイトもあって、導入する人も結構楽になったのかなと思います。

証明書発行の際に、独自に Web サーバを起動して認証するタイプと、既存の Web サーバに対して認証するタイプの大きく 2 つがあるので、今回は Web サーバの停止を伴わない後者を選択しました。こちらは Webroot プラグインを使うパターンの位置付けとなっています。

まずは、証明書の発行や更新するプログラムを取得します。yum でスパっと入れれそうにないのでプログラムのバイナリを取得してきます。取得先は、/usr/bin とし、パーミッションも調整しておきます。

$ curl https://dl.eff.org/certbot-auto -o /usr/bin/certbot-auto

$ chmod 700 /usr/bin/certbot-auto

証明書発行手順

これで発行の準備ができたので、certbot-auto を実行するだけです。今回は Webroot プラグインを使うのでオプションで「--webroot」を指定します。他には「-w」でドキュメントルートの場所を、「-d」でドメイン名を、そして「緊急の通知」「鍵を紛失したときの復旧」「証明書の有効期限が近付いた場合の通知」に利用するメールアドレスを指定します。

$ certbot-auto certonly --webroot -w /var/www/docroot -d example.org --email xxxxxx@xxxxx.com

最初に実行した時は下記のエラーが出て失敗してしまいましたが、「Amazon Linux 上の Let’s Encrypt で証明書更新エラーが出た時の対処方法」で同じ問題を解決されていたので参考にさせてもらいました。

Creating virtual environment...
Installing Python packages...
Installation succeeded.
Traceback (most recent call last):
  File "/root/.local/share/letsencrypt/bin/letsencrypt", line 7, in 
    from certbot.main import main
  File "/root/.local/share/letsencrypt/local/lib/python2.7/dist-packages/certbot/main.py", line 11, in 
    import zope.component
  File "/root/.local/share/letsencrypt/local/lib/python2.7/dist-packages/zope/component/__init__.py", line 16, in 
    from zope.interface import Interface
ImportError: No module named interface

これで、証明書が以下に発行されるので、nginx の場合は下記の 2 つを設定に追加して完了です。

# サーバ証明書と中間証明書が結合されたファイル
/etc/letsencrypt/live/[ドメイン名]/fullchain.pem

# 秘密鍵
/etc/letsencrypt/live/[ドメイン名]/privkey.pem

証明書更新手順

冒頭でも書いた通り、証明書の有効期限は 3 ヶ月なので、以下のコマンドで更新の実行をしてあげます。

これで有効期限が 1 ヶ月を切った場合は証明書の更新がされるので、その後、Web サーバを再起動すれば新しい証明書が適用されます。

なお、証明書の場所はシンボリックリンクで切り替わっているので、Web サーバの設定を変更する必要はありません。

$ /usr/bin/certbot-auto renew --force-renew

上記コマンドと、Web サーバの再起動(restart や reload)を合わせて cron に仕込んでおけば運用も楽になるでしょうね。

参考カテゴリ

オススメ記事

最新の投稿やよく見られているのオススメ記事一覧です。

標準出力と標準エラー出力をパイプに渡す

よく、標準出力先をファイルにリダイレクトすることはありますが、意外に標準エラー出力は使う機会がありません。しかし、やはりツールやパッケージ製品になると標準エラー出力も活用されているようです。でも、...

Linux(FreeBSD)

>>記事を確認する

主要無料ブログ5つに対する自動投稿PHPプログラム

アメブロへ楽天APIなどの情報を自動で投稿する の反響が良かったので、どうせならアメブロ以外の無料ブログの XML-RPC を使った自動投稿も紹介したいと思います。これには FC2BlogManager.php というライブ...

PHP

>>記事を確認する

snmpでデバイスの情報を取得

snmpでデバイスの情報を取得するコマンドです。これを元に、ディスクIOなどのMIB値を探します。 $ snmpwalk -v 2c -c {SNMPGROUPNAME} localhost 1.3.6.1.4.1.2021.13.15.1.1.2 (結果の一部) UCD-DIS...

Linux(FreeBSD)

>>記事を確認する

awkで指定したカラム以降をprint表示する

前回、awk で最後のカラム以外を表示してみましたが、今回は指定したカラム以降のカラムを全部表示したいと思います。 例えば、7 個の文字列がカンマで区切られているファイルがあるとしたら、3 番目のカラム...

awk / シェル

>>記事を確認する

CentOSでRedisサーバを使う

冗長化した Web サーバなどで、セッションの管理や、セッションや特定のユーザーに紐付く一時データを管理するのに memcache を使う場面は多いと思います。 その memcache の中でも主流なのが memcached です...

Linux(FreeBSD) / CentOS / Redis

>>記事を確認する

ドメイン取るなら低価格で楽々管理

バリュードメインは、GMO デジロック社の低価格ドメイン総合サービスです。

このサイト含め、私もこれまでに 100 個以上のドメインを取得して管理してきましたが、WHOIS の代理公開も可能なので、無料 SSL 証明書の Let's Encrypt と組み合わせれば、かなりの低価格で SSL サイトも運営できます。

年単位で領収証発行もしてくれるので、たくさんサイトを抱えているアフィリエイターや個人事業主にもオススメです。

AWSの無料利用枠内で複数サイトをサクサクと運営する方法

MySQLでテーブル定義を取得

似たような構成のテーブルを作る時に、今までは mysqldump コマンドで -d オプションを付けて実行していました。 これでも十分に要件は満たせるのですが、MySQL のコンソールからサクっと出したい場合もある...

データベース / MySQL

>>記事を確認する

Poderosa5の登場と文字色と背景色

新しい PC を購入したので、久し振りに Poderosa のインストールをしたのですが、Poderosa-Terminal として最新バージョンの 5 が 2016 年に登場していました。 これ、職場でもインストールしてみたのですが...

Windows / ツール

>>記事を確認する

Laravel5.1からLaravel5.5へアップデートする

LTS だった Laravel5.1 のバグフィックスサポートが 2017 年の 6 月で終わり、セキュリティサポートも 2018 年の 6 月で終了となります。 このタイミングで、兼ねてから発表のあった、次期 LTS の Laravel5.5...

PHP / PHPフレームワーク / Laravel

>>記事を確認する

VagrantでCentOS6.9のイメージを使う

CentOS7 が既に 7.3 まで出ていますが、AmazonLinux がまだ 6 の構成と似ていることから、なかなか 7 系に移行できません。 そこで、Vagrant のイメージも 6 系の最新版を使うと思ったのですが、下記の BOX ...

Linux(FreeBSD) / CentOS / Vagrant

>>記事を確認する