さくらVPSで、Let’s Encryptのサーバ証明書を使って、SSL対応のサイトを作る設定手順
注意
- 以下はあくまで結城の個人的なメモです。
前提
- さくらVPSを使ってWebサイトを運用している。
- 独自ドメインを持っている。
- VirtualHostを使っている。
目標
- いままで http://www.example.com で運用していたサービスを https://www.example.com で運用したい。
- 無料で使えるLet’s Encryptを試す。
方法
- 作業はすべてSSHで接続したさくらVPS上で行っています。
- 注意: 以下の内容は古いです。インストールについては Apache on CentOS/RHEL 7 を参照してください。
$ cd
$ sudo /etc/rc.d/init.d/httpd stop
$ sudo yum update
$ git clone https://github.com/letsencrypt/letsencrypt
$ cd letsencrypt
$ ./letsencrypt-auto --help
$ ./letsencrypt-auto certonly -a standalone -d www.example.com
$ sudo ls -1 /etc/letsencrypt/live/www.example.com
cert.pem
privkey.pem
chain.pem
fullchain.pem
$ sudo vi /etc/httpd/conf/httpd.conf
...snip...
<VirtualHost XXX.XXX.XXX.XXX:443>
SSLEngine on
SSLCertificateFile /etc/letsencrypt/live/www.example.com/cert.pem
SSLCertificateKeyFile /etc/letsencrypt/live/www.example.com/privkey.pem
SSLCertificateChainFile /etc/letsencrypt/live/www.example.com/chain.pem
ServerAdmin root@www.example.com
DocumentRoot /home/USERNAME/www.example.com
ServerName www.example.com
<Directory "/home/USERNAME/www.example.com">
Options -MultiViews
AllowOverride All
</Directory>
</VirtualHost>
$ sudo /etc/rc.d/init.d/httpd start
更新時
- 作業はすべてSSHで接続したさくらVPS上で行います。
$ cd
$ sudo /etc/rc.d/init.d/httpd stop
$ sudo yum update
$ cd letsencrypt
$ ./letsencrypt-auto renew
$ sudo /etc/rc.d/init.d/httpd start自分用のメモ。すでにcertbot-autoをインストールしたので、上の./letsencrypt-auto renewの代わりに以下を実行すること。
$ ./certbot-auto renewcronを使った定期的更新のためのメモ
動くかどうかのテストではcertbot-autoのオプションとして、以下を活用すること。
--dry-run実際には実行しない--force-renew強制的に証明書更新する--quiet余計な表示を何もしない
/home/USERNAME/MYDIR/cron-renew-letsencrypt-certificatesというスクリプトを用意。
#! /bin/bash⇣
/etc/rc.d/init.d/httpd stop
cd /home/USERNAME/MYCERTBOTDIR
/home/USERNAME/MYCERTBOTDIR/certbot-auto renew --quiet > /var/log/certbot.renew.log 2>&1
/etc/rc.d/init.d/httpd startcronを設定する。
$ sudo crontab -u root -e以下の設定は毎日12時34分実行だが、ここは自分用にランダムにする。
34 12 * * * /home/USERNAME/MYDIR/cron-renew-letsencrypt-certificatesメモ
- 複数ドメインの設定をまだやってない。
- SSLの採点サイトがあったので試す。cf. https://www.infocircus.jp/2015/03/18/apache-httpd-ssl-config-2015/
- ssl.confとhttpd.confの棲み分けはこれでいいのか？httpd.conf の方にSSL…を書いちゃうんだったら、ssl.confの方には書く必要ないのでは？という意味。