やろうとしたこと

GoogleCloudのVMにdockerでWebサーバーを立てて、HTTPSでアクセスできるようにしたかった。
HTTPS通信にするためにはロードバランサを使用しSSL/TLS証明書（以下、証明書と呼ぶ）を適用する必要がある。ロードバランサはどう頑張ってもコストがかかるので、できれば使わずに無料でHTTPS化したい。無料でHTTPSを使う、ここ大事！

前提

使用するdocker関連ファイルはCTFdを流用
使用するドメイン名は取得済み
HTTPを使ったWeｂサーバーからのレスポンスは正常なことを確認済み

手順

Nginxの設定ファイルを修正する

CTFdだと~/conf/nginx/http.confを修正することになる

worker_processes 4;

events {

  worker_connections 1024;
}

http {

  # Configuration containing list of application servers
  upstream app_servers {

    server ctfd:8000;
  }

    server {
        # HTTPからHTTPSへのリダイレクト
        listen 80;
        server_name <取得しているドメイン名>;  # ドメイン名を指定

        # リダイレクト設定
        return 301 https://$host$request_uri;
    }

    server {
        listen 443 ssl;  # SSLを有効にする
        server_name <取得しているドメイン名>;  # ドメイン名を指定

        # SSL証明書のパスを指定
        ssl_certificate /etc/letsencrypt/live/cyber-ctf.xyz/fullchain.pem;
        ssl_certificate_key /etc/letsencrypt/live/cyber-ctf.xyz/privkey.pem;

    gzip on;

    client_max_body_size 4G;

    # Handle Server Sent Events for Notifications
    location /events {

      proxy_pass http://app_servers;
      proxy_set_header Connection '';
      proxy_http_version 1.1;
      chunked_transfer_encoding off;
      proxy_buffering off;
      proxy_cache off;
      proxy_redirect off;
      proxy_set_header Host $host;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Forwarded-Host $server_name;
    }

    # Proxy connections to the application servers
    location / {

      proxy_pass http://app_servers;
      proxy_redirect off;
      proxy_set_header Host $host;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Forwarded-Host $server_name;
    }
  }
}

docker-compose.yamlを修正する

services:
  ctfd:
    build: .
    user: root
    restart: always
    ports:
      - "8000:8000"
    environment:
      - UPLOAD_FOLDER=/var/uploads
      - DATABASE_URL=mysql+pymysql://ctfd:ctfd@db/ctfd
      - REDIS_URL=redis://cache:6379
      - WORKERS=1
      - LOG_FOLDER=/var/log/CTFd
      - ACCESS_LOG=-
      - ERROR_LOG=-
      - REVERSE_PROXY=true
    volumes:
      - .data/CTFd/logs:/var/log/CTFd
      - .data/CTFd/uploads:/var/uploads
      - .:/opt/CTFd:ro
    depends_on:
      - db
    networks:
        default:
        internal:

  nginx:
    image: nginx:stable
    restart: always
    volumes:
      - ./conf/nginx/http.conf:/etc/nginx/nginx.conf
      - /etc/letsencrypt:/etc/letsencrypt　# 証明書をマウントさせるため追記
    ports:
      - 443:443  # HTTPS接続させるため変更

	# 証明書を使うためcertbotの記述を追加
  certbot:
    image: certbot/certbot
    volumes:
      - ./certs:/etc/letsencrypt
    entrypoint: "/bin/sh -c 'trap exit TERM; while :; do certbot renew; sleep 12h & wait $${!}; done;'"
    depends_on:
      - ctfd

  db:
    image: mariadb:10.11
    restart: always
    environment:
      - MARIADB_ROOT_PASSWORD=ctfd
      - MARIADB_USER=ctfd
      - MARIADB_PASSWORD=ctfd
      - MARIADB_DATABASE=ctfd
      - MARIADB_AUTO_UPGRADE=1
    volumes:
      - .data/mysql:/var/lib/mysql
    networks:
        internal:
    # This command is required to set important mariadb defaults
    command: [mysqld, --character-set-server=utf8mb4, --collation-server=utf8mb4_unicode_ci, --wait_timeout=28800, --log-warnings=0]

  cache:
    image: redis:4
    restart: always
    volumes:
    - .data/redis:/data
    networks:
        internal:

networks:
    default:
    internal:
        internal: true

Certbotを使用して証明書を取得する

sudo docker-compose run --rm certbot certonly --nginx -d <ドメイン名>
又は
sudo docker-compose run --rm certbot certonly --standalone -d <ドメイン名>

dockerを起動する
```
sudo docker compose up
```

これでdocker上のNginxとHTTPS通信が可能になる上、HTTP通信を試みるとHTTPSにリダイレクトされる！

補足（上手くいかない時）

自分の場合は手順３を実施した時に、証明書が何も取得できなかった。これはdockerに適用する前にVMでテストするため以下のコマンドで証明書を既に入手していたから。

sudo apt install python3-certbot-nginx
sudo certbot --nginx

証明書を既に持っているにも関わらずdocker compose upをすると証明書のエラーが出て起動できない状態が続いた。
この場合の原因はdocker-compose.yamlファイルにあった。当初はファイルの記述内容を下記のようにしていた

nginx:
    image: nginx:stable
    restart: always
    volumes:
      - ./conf/nginx/http.conf:/etc/nginx/nginx.conf
      - ./:/etc/letsencrypt　# ここの記述がエラーの原因だった
    ports:
      - 443:443

証明書が格納されているファイルを調べると/etc/letsencrypt/だった。
つまり、上記のコードだと、証明書がdocker上の/etc/letsencryptにマウントされず証明書エラーが出てしまう。
事前にVM上で証明書を取ったためにエラーが出てしまい時間を溶かしてしまった。

さいごに

思い返せばdockerで出るエラーはほとんどvolumesに関連してる。
他の人はどうなんだろう？
自分は今度からエラーが出たら真っ先にvolumesが正しいか確認することから始めようかな。