以前に書いた記事の別OSバージョンで。
・CentOS7 + Apache2.4 を無料のSSL「Let's Encrypt」でSSL化
https://colabmix.co.jp/tech-blog/lets-encrypt-apache-centos/
記事を分けた理由としてはちょっと手順が違っているのとエラーが出ていた為です。
Centos6 系はまだ存続していると思うので以下に手順まとめて見ます。
まずは Certbot のインストールから。
インストール
Let’s Encryptで使うクライアントツールはACMEプロトコルに対応した Certbot というクライアントが必要です。
http://jxck.hatenablog.com/entry/letsencrypt-acme
そもそも取得の方法から CentOS7 系とは違っています。
以下ではEPELのリポジトリも導入していますが、設定済みの方は一番上の行は必要ありません。
|
1 2 3 4 5 6 7 |
# yum -y update curl nss # yum -y install epel-release # curl https://dl.eff.org/certbot-auto -o /usr/bin/certbot-auto # chmod a+x /usr/bin/certbot-auto # certbot-auto --os-packages-only --non-interactive |
さて、ここで以下のエラーが出てしまいました。
|
1 2 3 |
No supported Python package available to install. Aborting bootstrap! |
どうもCertbotでは python2.7 系が必要だが入っていないとのこと。
確認してみます。
|
1 2 3 4 |
# python --version Python 2.6.6 |
確かに 2.6 ですね。
色々手順ありそうですが、「Software Collections（SCL）」というRed Hat が提供するアプリケーションのパッケージを利用してみます。
yumの旧パッケージと共存できるとのこと。
・Software Collections (SCL) を CentOS に入れてみた
https://qiita.com/murachi1208/items/202bff84964188619f57
|
1 2 3 4 |
# yum -y install centos-release-scl # yum -y install scl-utils python27 python27-scldevel |
この後にインストールした python2.7 を bash で利用できるようにします。
|
1 2 3 |
# scl enable python27 bash |
python のバージョンを確認します。
|
1 2 3 4 |
# python --version Python 2.7.13 |
準備が完了したので再度のインストールを。
|
1 2 3 4 |
# certbot-auto --os-packages-only --non-interactive OS packages installed. |
こちらで必要パッケージはインストールできました。
それでは証明書の作成を行います。
次のようにオプションを指定して certbot コマンドを実行します。
以下では「example.com」となっていますが、-d オプションには、証明書を発行するサーバーのドメインを入れてください。
-w オプションでは DocumentRoot のパスを指定します。
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 |
# certbot-auto certonly --non-interactive --agree-tos --webroot -w /var/www/html -d example.com --email foo@gmail.com Saving debug log to /var/log/letsencrypt/letsencrypt.log Plugins selected: Authenticator webroot, Installer None Starting new HTTPS connection (1): acme-v01.api.letsencrypt.org Obtaining a new certificate Performing the following challenges: http-01 challenge for dexample.com Using the webroot path /var/www/html for all unmatched domains. Waiting for verification... Cleaning up challenges IMPORTANT NOTES: - Congratulations! Your certificate and chain have been saved at: /etc/letsencrypt/live/example.com/fullchain.pem Your key file has been saved at: /etc/letsencrypt/live/example.com/privkey.pem Your cert will expire on 2018-10-28. To obtain a new or tweaked version of this certificate in the future, simply run certbot again. To non-interactively renew *all* of your certificates, run "certbot renew" - Your account credentials have been saved in your Certbot configuration directory at /etc/letsencrypt. You should make a secure backup of this folder now. This configuration directory will also contain certificates and private keys obtained by Certbot so making regular backups of this folder is ideal. - If you like Certbot, please consider supporting our work by: Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate Donating to EFF: https://eff.org/donate-le |
上記のように「Congratulations!」と出て入れば導入は完了です。
証明書関連のファイルを以下で確認してみます。
|
1 2 3 4 5 6 7 8 |
# ls -l /etc/letsencrypt/live/example.com/ -rw-r--r-- 1 root root 682 Jul 30 14:36 README lrwxrwxrwx 1 root root 51 Jul 30 14:36 cert.pem -> ../../archive/example.com/cert1.pem lrwxrwxrwx 1 root root 52 Jul 30 14:36 chain.pem -> ../../archive/example.com/chain1.pem lrwxrwxrwx 1 root root 56 Jul 30 14:36 fullchain.pem -> ../../archive/example.com/fullchain1.pem lrwxrwxrwx 1 root root 54 Jul 30 14:36 privkey.pem -> ../../archive/example.com/privkey1.pem |
「サーバ証明書（公開鍵）」、「中間証明書」、「サーバ証明書と中間証明書が結合されたファイル」、「秘密鍵」の４つのファイルができます。
ApacheにSSLの設定は以下で実施できます。
尚、「サーバ証明書と中間証明書が結合されたファイル（fullchain.pem）」を設定すれば個別に中間証明書は必要ありません。
|
1 2 3 4 5 6 7 |
# vi /etc/httpd/conf.d/ssl.conf -----------------------------変更 SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem ----------------------------- |
apacheを再起動します。
|
1 2 3 |
# /etc/init.d/httpd restart |
これで無事SSLのインストールが実施できました。
自動更新の設定
「Let’s Encrypt」では証明書は90日で切れてしまいます。
そこで、cron などで定期的なクライアントのインストールを実行します。
|
1 2 3 4 5 6 |
# crontab -e -----------------------------追加 30 2 * * * scl enable python27 "/usr/bin/certbot-auto renew" && sleep 120 && /etc/init.d/httpd restart ----------------------------- |
sclコマンドをシェルとは違う形で使い、インストールが終わった段階でhttpdのリスタートをしています。
上記のコマンドで証明書の有効期限が30日以内になると、再インストールを行います。
「–force-renewal」のオプションをつけていないので上記日数にならないとインストールは行いません。
毎日実行していますが、こちらは「Let’s Encrypt」に負荷をかけません。
尚、証明書の再インストールが行われると自動的にapacheの再起動を行います。
https://www.digitalocean.com/community/tutorials/how-to-secure-apache-with-let-s-encrypt-on-centos-7
このブログは株式会社CoLabMixによる技術ブログです。
GCP、AWSなどでのインフラ構築・運用や、クローリング・分析・検索などを主体とした開発を行なっています。
Ruby on RailsやDjango、Pythonなどの開発依頼などお気軽にお声がけください。
開発パートナーを増やしたいという企業と積極的に繋がっていきたいです。
お問い合わせやご依頼・ご相談など
