フリーで90日有効のSSL証明書を取得できる「Let’s Encrypt」
90日毎に更新する必要があるため、プログラムを実行して証明書の取得ができるようになっている。
公式のプログラム（クライアント）は「https://github.com/certbot/certbot」にあるが、CentOS6以降やUbuntu向けに作られており、古いPythonの環境であるCentOS5では動作させるのが大変である。
公式以外のクライアントを探すと、「List of Client Implementations」に互換クライアント一覧がある。
いろいろある中で、2016年1月時点では唯一のbash環境用のスクリプトだった「Shell script client: dehydrated (旧名letsencrypt.sh) 」を選択。（なお、2017年2月現在では他にも3つ出ている。）
dehydratedは、「opensslコマンド」「curlコマンド」「sedコマンド」「grepコマンド」があれば動作する。
— 2018/07/20 追記開始 —
CentOS7環境で公式のcertbotを使って運用しようとしたのですが、alias FQDNを増やす際に別の設定が作られてしまうとか、管理性があまりよろしくなかったので、CentOS7環境でも制御しやすいdehydratedを使ってます。
— 2018/07/20 追記終わり —
(1) 「git clone https://github.com/lukas2511/dehydrated.git」でプログラム取得
(2) SSL証明書発行時に使用する一時ディレクトリの設定
SSL証明書発行時、Let’s Encryptサーバから「http://ドメイン名/.well-known/acme-challenge/～」というアクセスが行われる。その際のファイルを置く場所を用意する。
ここでは/var/www/dehydratedディレクトリに置くことにする。
1. /var/www/dehydratedディレクトリ作成
2. Aapacheの設定で「/etc/httpd/conf.d/dehydrated.conf」を作成
Alias /.well-known/acme-challenge /var/www/dehydrated
<Directory /var/www/dehydrated/>
</Directory>
3. Aapacheの再起動
(3) configを作成
docs/examples/config を元にconfigを作成する。
基本的には初期状態のままで良いが、2で/var/www/dehydrated以外を指定した場合に下記の記述を変更する
WELLKNOWN="/var/www/dehydrated/"
(4) domains.txtを作成
SSL証明書を発行したいドメインをスペース区切りで列挙する。
blog.osakana.net blog2.osakana.net
(5) dehydratedを実行して、まずはアカウント登録
# ./dehydrated --config /～/dehydrated/config --register --accept-terms
# INFO: Using main config file ./config
+ Generating account key...
+ Registering account key with ACME server...
+ Done!
#
実行すると下記の様にaccountsディレクトリが作成される。
# ls -F
CHANGELOG README.md config docs/ test.sh*
LICENSE accounts/ dehydrated* domains.txt
# ls -F accounts/
～～～/
#
(6) もう一度、dehydratedを実行してSSL証明書を発行
# ./dehydrated --config ./config --cron
# INFO: Using main config file ./config
Processing ～ ～ ～
+ Signing domains...
+ Creating new directory ./certs/blog.osakana.net ...
+ Generating private key...
+ Generating signing request...
+ Requesting challenge for ～...
+ Requesting challenge for ～...
＜略＞
+ Responding to challenge for ～...
+ Challenge is valid!
+ Responding to challenge for ～...
+ Challenge is valid!
+ Requesting certificate...
+ Checking certificate...
+ Done!
+ Creating fullchain.pem...
+ Done!
#
下記の様にcertsディレクトリ以下にファイルが作成される。
# ls -F
CHANGELOG README.md certs/ dehydrated* domains.txt
LICENSE accounts/ config docs/ test.sh*
# ls -F certs/
～/
# ls -F certs/～/
cert-xxxxxxxxxx.csr chain-xxxxxxxxxx.pem privkey-xxxxxxxxxx.pem
cert-xxxxxxxxxx.pem chain.pem@ privkey.pem@
cert.csr@ fullchain-xxxxxxxxxx.pem
cert.pem@ fullchain.pem@
[root@niselog dehydrated]#
(7) Apache設定内のSSLファイルの指定では、作成されたファイルのうち、fullchain.pemとprivkey.pem,chain.pemを指定する。
SSLCertificateFile /～/certs/～/fullchain.pem
SSLCertificateKeyFile /～/certs/～/privkey.pem
SSLCertificateChainFile /～/certs/～/chain.pem
なお、最近は問題無いが、バージョンアップしていない古いブラウザでは、「SSLCertificateChainFile /～/certs/～/chain.pem」を抜いた２行で設定するとエラーが発生する場合があるので注意が必要。
(8) httpsアクセスをして問題無いことを確認
ブラウザからhttpsアクセスを行い、想定通りにアクセスできることを確認。
(9) crontabに、dehydratedを定期的に実行する設定を追加
毎月1日と15日に実行する処理
# crontab -l
0 3 1,15 * * /～/dehydrated/dehydrated --config /～/dehydrated/config --cron >> /tmp/ssl-update.log 2>&1
#
以下は旧バージョン
フリーで90日有効のSSL証明書を取得できる「Let’s Encrypt」
90日毎に更新する必要があるため、プログラムを実行して証明書の取得ができるようになっている。
公式のプログラム（クライアント）は「https://github.com/letsencrypt/letsencrypt」にあるが、CentOS6以降やUbuntu向けに作られており、古いPythonの環境であるCentOS5では動作させるのが大変である。
公式以外のクライアントを探すと、「List of Client Implementations」に互換クライアント一覧がある。
いろいろある中で、一番制約が薄そうな「Shell script (and a little Perl) client: https://github.com/lukas2511/letsencrypt.sh」を選択。
「opensslコマンド」「curlコマンド」「sedコマンド」があれば動作する。
perlはこの一覧が作られた当初は必要だったようだが、2016/01/04時点では不要。公式のletsencryptコマンドから移行する場合に使用するimport-account.plコマンドを使う時だけ必要なようだ。
1. 「git clone https://github.com/lukas2511/letsencrypt.sh」でプログラム取得
2. SSL証明書発行時に使用する一時ディレクトリの設定
SSL証明書発行時、Let’s Encryptサーバから「http://ドメイン名/.well-known/acme-challenge/～」という
アクセスが行われる。その際のファイルを置く場所を用意する。
ここでは/var/www/letsenryptディレクトリに置くことにする。
(1) /var/www/letsencryptディレクトリ作成
(2) Aapacheの設定で「/etc/httpd/conf.d/letsencrypt.conf」を作成
Alias /.well-known/acme-challenge /var/www/letsencrypt
<Directory /var/www/letsencrypt/>
</Directory>
(3) Aapacheの再起動
3. config.shを作成
config.sh.exampleを元にconfig.shを作成
といっても、下記の行を書くだけ
WELLKNOWN="/var/www/letsencrypt/"
4. domain.txtを作成
SSL証明書を発行したいドメインをスペース区切りで列挙する。
blog.osakana.net blog2.osakana.net
5. letsencrypt.shを実行
# ./letsencrypt.sh --config /～/letsencrypt.sh/config.sh --cron
Using config file /～/letsencrypt.sh/config.sh
Processing blog.osakana.net with SAN: blog2.osakana.net
+ Signing domains...
+ make directory /～/letsencrypt.sh/certs/blog.osakana.net ...
+ Generating private key...
+ Generating signing request...
+ Requesting challenge for blog.osakana.net...
+ Responding to challenge for blog.osakana.net...
+ Challenge is valid!
+ Requesting challenge for blog2.osakana.net...
+ Responding to challenge for blog2.osakana.net...
+ Challenge is valid!
+ Requesting certificate...
+ Checking certificate...
+ Creating fullchain.pem...
+ Done!
#
下記の様にcertsディレクトリ以下にファイルが作成される。
# ls -F
certs/ domains.txt import-certs.sh* private_key.pem
config.sh domains.txt.example letsencrypt.sh* README.md
config.sh.example import-account.pl* LICENSE test.sh*
# ls -F certs/
blog.osakana.net/
# ls -F certs/blog.osakana.net/
cert-xxxxxxxxxx.csr chain-xxxxxxxxxx.pem privkey-xxxxxxxxxx.pem
cert-xxxxxxxxxx.pem chain.pem@ privkey.pem@
cert.csr@ fullchain-xxxxxxxxxx.pem
cert.pem@ fullchain.pem@
#
Apache設定内のSSLファイルの指定では、作成されたファイルのうち、fullchain.pemとprivkey.pem,chain.pemを指定する。
SSLCertificateFile /～/certs/～/fullchain.pem
SSLCertificateKeyFile /～/certs/～/privkey.pem
SSLCertificateChainFile /～/certs/～/chain.pem
ちなみに、「SSLCertificateChainFile /～/certs/～/chain.pem」を抜いた２行で設定するとChromeやIEでは問題無いが、Firefoxでのみ「sec_error_unknown_issuer」のエラーがでる。
(なお、fullchain.pemとprivkey.pemを指定しているのは、標準のletsencryptを使った場合に生成されるapache用cocnfigファイルで使われていたから）
おまけ:CentOS4で使用する場合に必要になること
・curlの証明書問題
→ /usr/share/ssl/certs/ca-bundle.crt を更新する
→ OpenSSLが古いためにエラーが発生
「curl: (35) error:0D0890A1:asn1 encoding routines:ASN1_verify:unknown message digest algorithm」
・OpenSSLが古い
→ /usr/local/openssl1とかに新しいバージョンをインストールして回避
letsencrypt.shの冒頭に、PATHとLD_LIBRARY_PATHを定義して、こちらを優先するように設定
→ こっちのOpenSSLを使うcurlをコンパイル
・trコマンドが古い
letsencrypt.shを実行すると「tr: オプションが違います — _」というエラー
→ 新しいバージョンのtrが含まれるcoreutilsを/usr/localにインストール
・bashコマンドが古い
環境変数操作で「SAN+=～」ということをやってるがCentOS4のBASHでは非対応
letsencrypt.shを修正して、CentOS4でも使える操作に変更
「SAN+=”DNS:${altname}, “」→「SAN=”${SAN}DNS:${altname}, “」
・下記のエラーでうまく行かない
# ./letsencrypt.sh --cron --config /～/letsencrypt.sh/config.sh
Using config file /～/letsencrypt.sh/config.sh
Processing xxxxxx with SAN: xxxxx
+ Signing domains...
+ Generating private key...
+ Generating signing request...
+ Requesting challenge for xxxxxx...
+ ERROR: An error occurred while sending post-request to https://acme-v01.api.letsencrypt.org/acme/new-authz (Status 403)
Details:
{"type":"urn:acme:error:unauthorized","detail":"No registration exists matching provided key","status":403} + Error: Can't retrieve challenges ()
#
→ 失敗した時のcertが悪さをしていた
certsディレクトリの中身とprivate_key.pemを削除して再実行したところ成功
