概要
無料で利用可能なSSL証明書Let’s Encrypt（レッツ・エンクリプト）を導入しSSL接続を可能にする
なお、SSL証明書は個別で作成する
certbotとcertbot-autoインストール
certbotとcertbot-autoのインストール
すでに導入済みである人は割愛してください
certbotインストール
# yum -y install python2-certbot-apache
certbot-autoインストール
# cd /usr/local/bin/
# wget https://dl.eff.org/certbot-auto
--2019-07-20 15:22:08-- https://dl.eff.org/certbot-auto
dl.eff.org (dl.eff.org) をDNSに問いあわせています... 151.101.108.201, 2a04:4e42:36::201
dl.eff.org (dl.eff.org)|151.101.108.201|:443 に接続しています... 接続しました。
HTTP による接続要求を送信しました、応答を待っています... 200 OK
長さ: 68023 (66K) [application/octet-stream]
`certbot-auto' に保存中
100%[======================================>] 68,023 --.-K/s 時間 0.04s
2019-07-20 15:22:08 (1.73 MB/s) - `certbot-auto' へ保存完了 [68023/68023]
# ls -l certbot-auto
-rw-r--r-- 1 root root 68023 7月 20 04:19 certbot-auto
# chmod a+x certbot-auto
# ls -l certbot-auto
-rwxr-xr-x 1 root root 68023 7月 20 04:19 certbot-auto
# which certbot-auto
/usr/local/bin/certbot-auto
SSL証明書発行
SSL証明書発行
# certbot-auto certonly --webroot \
-w <ドキュメントルート> -d <ドメイン名> --email <メールアドレス>
出力結果
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator webroot, Installer None
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for <ドメイン名>
Using the webroot path <ドキュメントルート> for all unmatched domains.
Waiting for verification...
Cleaning up challenges
IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at:
/etc/letsencrypt/live/<ドメイン名>/fullchain.pem
Your key file has been saved at:
/etc/letsencrypt/live/<ドメイン名>/privkey.pem
Your cert will expire on 2019-12-07. To obtain a new or tweaked
version of this certificate in the future, simply run certbot-auto
again. To non-interactively renew *all* of your certificates, run
"certbot-auto renew"
- If you like Certbot, please consider supporting our work by:
Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
Donating to EFF: https://eff.org/donate-le
SSL証明書確認
SSL証明書確認
# ls -l /etc/letsencrypt/live/<ドメイン名>
-rw-r--r-- 1 root root 692 9月 8 15:49 /etc/letsencrypt/live/<ドメイン名>/README
lrwxrwxrwx 1 root root 50 9月 8 15:49 /etc/letsencrypt/live/<ドメイン名>/cert.pem -> ../../archive/takeda.pineapplefanboy.com/cert1.pem
lrwxrwxrwx 1 root root 51 9月 8 15:49 /etc/letsencrypt/live/<ドメイン名>/chain.pem -> ../../archive/takeda.pineapplefanboy.com/chain1.pem
lrwxrwxrwx 1 root root 55 9月 8 15:49 /etc/letsencrypt/live/<ドメイン名>/fullchain.pem -> ../../archive/takeda.pineapplefanboy.com/fullchain1.pem
lrwxrwxrwx 1 root root 53 9月 8 15:49 /etc/letsencrypt/live/<ドメイン名>/privkey.pem -> ../../archive/takeda.pineapplefanboy.com/privkey1.pem
SSL証明書更新
SSL証明書更新
# certbot-auto renew --force-renewal --dry-run
出力結果
Saving debug log to /var/log/letsencrypt/letsencrypt.log
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Processing /etc/letsencrypt/renewal/<ドメイン名>.conf
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Plugins selected: Authenticator webroot, Installer None
Renewing an existing certificate
Performing the following challenges:
http-01 challenge for <ドメイン名>
Using the webroot path <ドキュメントルート> for all unmatched domains.
Waiting for verification...
Cleaning up challenges
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
new certificate deployed without reload, fullchain is
/etc/letsencrypt/live/<ドメイン名>/fullchain.pem
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
** DRY RUN: simulating 'certbot renew' close to cert expiry
** (The test certificates below have not been saved.)
Congratulations, all renewals succeeded. The following certs have been renewed:
/etc/letsencrypt/live/<ドメイン名>/fullchain.pem (success)
** DRY RUN: simulating 'certbot renew' close to cert expiry
** (The test certificates above have not been saved.)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
IMPORTANT NOTES:
- Your account credentials have been saved in your Certbot
configuration directory at /etc/letsencrypt. You should make a
secure backup of this folder now. This configuration directory will
also contain certificates and private keys obtained by Certbot so
making regular backups of this folder is ideal.
SSL証明書自動更新（cron）
SSL証明書自動更新（cron）
# Apache httpd を利用している場合の例 (CentOS 6 の場合)
00 04 01 * * certbot renew && service httpd restart
# Apache httpd を利用している場合の例 (CentOS 7 の場合)
00 04 01 * * certbot renew && systemctl restart httpd
↓こっちでもOK
00 04 01 * * /usr/bin/certbot renew --post-hook "systemctl restart httpd.service"
補足
証明書を消す場合
# certbot-auto delete -d <ドメイン名>
ドキュメントルートいらない場合のcertbot-autoコマンド
メールサーバ用のSSLとか
# certbot-auto certonly --webroot \
-d <ドメイン名> --email <メールアドレス>
参考リンク
Let’s Encrypt サーバー証明書の取得と自動更新設定メモ
ありがとうございます
コメント