Movable Type for AWSのAMI環境への無料SSL(Let's Encrypt) の導入

※記事タイトル変更しました。

まずはじめに

最近GoogleがサイトのSSL化を推奨するとか、SSLをデフォで使っていこう的な動きが世間的にあるようなので、その流れに乗ってみることにする。

なお、本サイトは対応済み。少しCMS側の微調整必要かもしれないけど(´ー`)

Let's Encryptとは

  • ざっくり言うと、有志で行なっている無料SSLサービス。
  • 商用利用も可能。
  • 2016/4/12より正式にサービス開始となった。
  • 設定すれば証明書の自動更新もできる。

参考

Let's Encrypt 総合ポータル ※公式サイトでないので注意.
https://letsencrypt.jp/

大企業や公共団体のサイトへの適用

Let's Encryptは組織の正当性を証明するような高度な機能は持たない(具体的には、ドメイン認証のみ)。
大企業や公共団体のサイトには、サポートや高度な機能を持つ有償のものを使うほうが良いかと思われる。

というか、そもそもで一部環境では、Let's Encryptの利用に利用するcertbot-autoコマンドで正式にサポートしてないよ的な警告文が出る(後述)。

参考

SSL/TLS証明書無料化は進むか? ~Let's Encryptに見る無料SSL/TLS証明書の台頭とその注意点~ | GMOグローバルサインブログ
https://jp.globalsign.com/blog/2016/freessltls_letsencrypt.html

AWSの無料SSLって

AWSにも一応無料SSLは有り(AWS Certificate Managerによる)、「じゃあそれ使えよ」となりがちだが、利用には次のいずれかの有償サービスの利用が前提。

  • Elastic Load Balancing (ELB)
  • CloudFront

無料SSL導入前から既にこれらサービスを運用環境に利用してるなら良いが、それでなければ結局お金がかかる。
と言うことは、少なくともEC2のt2.microだけ、というかこのサイトだとだめじゃん(x_x)。

certbot-auto のセットアップと証明書の自動生成

前提

AWS(EC2)の6A提供のAMI(Movable Type のt2.micro)でやる。
https://aws.amazon.com/marketplace/pp/B00M9ODCAA/ref=_ptnr_sajp_aws_
ちなみに、ウェブサーバー(nginxの設定)は行っておらず、そのまま。

試行と結果

作業は専らSSHで行う。

まず、cerbot-autoのインストール。といってもコマンド自体はシェルスクリプトなので、ソースインストールとかは不要。
ファイルを置くだけ。

curl https://dl.eff.org/certbot-auto -o /usr/bin/certbot-auto
# chmod 700 /usr/bin/certbot-auto

次のコマンド実行すると、

sudo certbot-auto certonly --webroot -w /data/file/static -d www.hoge.net --email hoge@fuga.net

次のメッセージが表示された。

FATAL: Amazon Linux support is very experimental at present...
if you would like to work on improving it, please ensure you have backups
and then run this script again with the --debug flag!

ググったところ、実験的なサポートしかしてないよ、と言う意味、とのこと。

--debug オプションをつけて再実行。

sudo certbot-auto certonly --webroot -w /data/file/static -d www.hoge.net --email hoge@fuga.net --debug

yum が実行されてcertbot-auto 実行の為のミドルウェア調整が実行される。

その後、次のメッセージが表示される。

完了しました!
Creating virtual environment...
Installing Python packages...
Installation succeeded.
Saving debug log to /var/log/letsencrypt/letsencrypt.log

-------------------------------------------------------------------------------
Please read the Terms of Service at
https://letsencrypt.org/documents/LE-SA-v1.1.1-August-1-2016.pdf. You must agree
in order to register with the ACME server at
https://acme-v01.api.letsencrypt.org/directory
-------------------------------------------------------------------------------
(A)gree/(C)ancel:

答えると、次の質問が出る。

-------------------------------------------------------------------------------
Would you be willing to share your email address with the Electronic Frontier
Foundation, a founding partner of the Let's Encrypt project and the non-profit
organization that develops Certbot? We'd like to send you email about EFF and
our work to encrypt the web, protect its users and defend digital rights.
-------------------------------------------------------------------------------
(Y)es/(N)o:

答えると、後は自動で処理して、次のメッセージが出てきて成功した模様。

Obtaining a new certificate
Performing the following challenges:
http-01 challenge for www.hoge.net
Using the webroot path /data/file/static for all unmatched domains.
Waiting for verification...
Cleaning up challenges
Generating key (2048 bits): /etc/letsencrypt/keys/0000_key-certbot.pem
Creating CSR: /etc/letsencrypt/csr/0000_csr-certbot.pem

IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at
/etc/letsencrypt/live/www.hoge.net/fullchain.pem. Your cert will
expire on 2017-06-02. To obtain a new or tweaked version of this
certificate in the future, simply run certbot-auto again. To
non-interactively renew *all* of your certificates, run
"certbot-auto renew"
- Your account credentials have been saved in your Certbot
configuration directory at /etc/letsencrypt. You should make a
secure backup of this folder now. This configuration directory will
also contain certificates and private keys obtained by Certbot so
making regular backups of this folder is ideal.
- If you like Certbot, please consider supporting our work by:

Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
Donating to EFF: https://eff.org/donate-le

あとはnginxの設定にssl対応の設定を書き込むだけ。
/data/conf/nginx.conf を開き、デフォルトで無効になっているSSL周りの設定を有効にする。具体的には次のような感じ。

    server {
listen 443;
include /data/conf/nginx_common.conf;

ssl on;
ssl_certificate /etc/letsencrypt/live/www.hoge.net/cert.pem;
ssl_certificate_key /etc/letsencrypt/live/www.hoge.net/privkey.pem;
}

後は、nginxを再起動するだけ。

sudo service nginx restart

これで、一応CMS管理画面およびCMSから出力したウェブサイトにhttpsから始まるURLでアクセスできるようになった。
ただしこの手順だけだと、一部CMS管理画面やサイト内ページで、オリジンエラーもしくは画像が表示されないなど問題が出る場合もある。この場合カスタマイズ必要。

手前味噌だが、次の記事など参考にすると良いかも。
https://www.km92.net/knowledge/2014/140615_000012.html

参考

さくらのナレッジ > ナレッジ > エンジニア向け > Let’s EncryptのSSL証明書で、安全なウェブサイトを公開
http://knowledge.sakura.ad.jp/knowledge/5573/
導入手順を詳しく解説されている。

Let’s Encryptで証明書を発行する - Qiita
http://qiita.com/hidechae/items/f42176b9f9ff48f574f4
EC2でのcertbot-auto の実行時に警告出る場合の対処法を参考とさせていただいた。

(追記)証明書の自動更新

crontab -e で、例えば次のように指定する。なお、実行時の権限はec2-userで実行する想定。

50 3 * * 0 sudo certbot-auto renew --post-hook "sudo service nginx restart" 1 > /dev/null 2 > /dev/null

なお、検証しようとしてこのコマンドを手動で実行したら、次のようなメッセージが出た。

-------------------------------------------------------------------------------
Processing /etc/letsencrypt/renewal/www.hoge.net.conf
-------------------------------------------------------------------------------
Cert not yet due for renewal

The following certs are not due for renewal yet:
/etc/letsencrypt/live/www.hoge.net/fullchain.pem (skipped)
No renewals were attempted.
No hooks were run.

要は、「まだ作ったばっかなのに更新してんじゃねーよ」と言うこと(前回作ったのは昨日)。

これだと検証できないので、強制的に更新させるオプション( --force-renewal)をつけて実行。

sudo certbot-auto renew --force-renewal --post-hook "sudo service nginx restart"
Saving debug log to /var/log/letsencrypt/letsencrypt.log

-------------------------------------------------------------------------------
Processing /etc/letsencrypt/renewal/www.hoge.net.conf
-------------------------------------------------------------------------------
Renewing an existing certificate
Performing the following challenges:
http-01 challenge for www.hoge.net
Waiting for verification...
Cleaning up challenges
Generating key (2048 bits): /etc/letsencrypt/keys/0001_key-certbot.pem
Creating CSR: /etc/letsencrypt/csr/0001_csr-certbot.pem

-------------------------------------------------------------------------------
new certificate deployed without reload, fullchain is
/etc/letsencrypt/live/www.hoge.net/fullchain.pem
-------------------------------------------------------------------------------

Congratulations, all renewals succeeded. The following certs have been renewed:
/etc/letsencrypt/live/www.hoge.net/fullchain.pem (success)
Running post-hook command: sudo service nginx restart

更新できた(´ー`)

ただ、--force-renewalオプションは乱発すると更新の「レート制限」に引っかかってしばらく更新できないそうなので、注意すること。
あと乱発がダメなのは、運営側に負担をかけない意味もある。※詳しくは後述参考の公式の説明を参照。

参考

Let's encrypt運用のベストプラクティス - Qiita
http://qiita.com/tkykmw/items/9b6ba55bb2a6a5d90963

公式によるレート制限についての説明。
https://letsencrypt.org/docs/rate-limits/

関連するタグ

関連するタグは現在ありません。