さくらのレンタルサーバでは、ドメインのAレコードがさくらのレンタルサーバに向いていないと、Let's Encrypt (無料SSL)を利用することができません。
新規サイト立ち上げの時には問題ないのですが、既存サイトのサーバ移転をする時に、Aレコードを変更して反映されるまで Let's Encryptの利用設定すらできず、SSLが効かない時間帯が発生してしまいます。
そこで、Certbotクライアントを使って、ローカル環境でLet's EncryptのSSL証明書を発行し、「さくらのレンタルサーバ」に独自SSLとしてインストールして、一時しのぎする方法をご紹介します。
実行環境 ： macOS Ventura です。
Homebrewをインストール
CertbotクライアントのインストールにHomebrewを使います。
Homebrewがインストールされているかどうかを確認して、インストールされていない場合はインストールしてください。
Homebrewがインストールされているか確認
brew --version
バージョンが表示される場合は、インストール済みです。
Homebrew 4.1.13
Homebrewをインストールする
正確なインストールコマンドはHomebrewの公式サイトで確認できます。
インストールコマンド （2023/10/13現在）
/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
Certbotクライアントをインストール
Let's EncryptからSSL証明書を発行するためのCertbotクライアントツールをインストールします。
Certbot インストールコマンド
brew install certbot
インストールできたか確認
certbot --version
インストールできていれば、バージョンが表示されます。
certbot 2.6.0
SSL証明書を発行する
Certbotを使うと、コマンドラインでSSL証明書を発行できます。
example.comとwww.example.comの証明書を発行する場合、下記のコマンドを実行します。
sudo certbot certonly --manual -d 'example.com' -d 'www.example.com' -m 'mail@example.com' --agree-tos
--manual オプション
手動でドメイン名の認証を行い、SSL証明書を取得します。
--d オプション
SSL証明書を取得するドメイン名を指定します。複数指定することもできます。
-m オプション
メールアドレスを入力しておきます（公開はされません）。証明書を発行するドメインとは違うメールアドレスでも大丈夫です。
--agree-tos オプション
利用規約に同意します。このオプションを指定しておくと、後で聞かれません。
画面に表示される内容に沿って進めていく
Saving debug log to /var/log/letsencrypt/letsencrypt.log
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Would you be willing, once your first certificate is successfully issued, to
share your email address with the Electronic Frontier Foundation, a founding
partner of the Let's Encrypt project and the non-profit organization that
develops Certbot? We'd like to send you email about our work encrypting the web,
EFF news, campaigns, and ways to support digital freedom.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(Y)es/(N)o:
Let's Encryptのプロジェクトパートナーにメールアドレスを共有して、DMを送っても良いか聞かれます。
不要なら No を選択します。
ドメインの所有確認を行う
Account registered.
Requesting a certificate for example.com and www.example.com
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Create a file containing just this data:
HoDUtcD73I7zlqQzM-TL1-TOO2WiREEDJB4FmcpIx78.8QUqvDci5i_2tbCTaIT7f0uJopebyORwbU4UyfBbLlw
And make it available on your web server at this URL:
http://www.example.com/.well-known/acme-challenge/HoDUtcD73I7zlqQzM-TL1-TOO2WiREEDJB4FmcpIx78
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Press Enter to Continue
画面に記載されている”内容”、”ファイル名”の通りにファイルを作成し、サーバ上の指定されている場所にファイルを置いて、準備ができたらEnterを押します。
複数のドメイン名（www.example.com と example.com など）を指定した場合は、ドメインごとに所有確認が必要です。
ドメインの所有確認が終わると、証明書が発行されます。
ここまで来たら、サーバにアップした所有確認用のファイルはもう不要なので、削除して大丈夫です。
発行された証明書を確認
Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/example.com/fullchain.pem
Key is saved at: /etc/letsencrypt/live/example.com/privkey.pem
This certificate expires on 2023-12-26.
These files will be updated when the certificate renews.
NEXT STEPS:
- This certificate will not be renewed automatically. Autorenewal of --manual certificates requires the use of an authentication hook script (--manual-auth-hook) but one was not provided. To renew this certificate, repeat this same certbot command before the certificate's expiry date.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
If you like Certbot, please consider supporting our work by:
* Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
* Donating to EFF: https://eff.org/donate-le
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
/etc/letsencrypt/live/ 内に保存したと書いてありますが、こちらはシンボリックリンクで、実態は/etc/letsencrypt/archive/ 内にあります。
初期状態だと、ディレクトリの閲覧権限がないので、パーミッションを変更しておきます。
sudo chmod 755 /etc/letsencrypt/live
sudo chmod 755 /etc/letsencrypt/archive
発行された証明書
サーバ証明書
/etc/letsencrypt/archive/example.com/cert1.pem
中間CA証明書
/etc/letsencrypt/archive/example.com/chain1.pem
サーバ証明書と中間CA証明書が結合された証明書
/etc/letsencrypt/archive/example.com/fullchain1.pem
秘密鍵
/etc/letsencrypt/archive/example.com/privkey1.pem
秘密鍵の中身は、パーミッションを変更しないと確認できないので要注意です。
sudo chmod 644 /etc/letsencrypt/archive/example.com/privkey1.pem
さくらのレンタルサーバに独自SSLをインストールする
コントロールパネルの「ドメイン/SSL」から「SSL証明書登録」画面を開き、「登録設定を始める SSL証明書の種類を選択」へ進みます。
「SSL証明書の利用種類を選択」で「独自SSL」を選択します。
秘密鍵の登録
「秘密鍵の登録」から、Certbotで取得した下記のファイルをアップロードして登録します。
（※パーミッションに注意が必要です。）
/etc/letsencrypt/archive/example.com/privkey1.pem
証明書インストール
「証明書インストール」から、Certbotで取得した下記のファイルの中身をコピペして登録します。
/etc/letsencrypt/archive/example.com/cert1.pem
中間証明書インストール
「中間証明書インストール」で、Certbotで取得した下記のファイルの中身をコピペして登録します。
/etc/letsencrypt/archive/example.com/chain1.pem
確認
「SSL証明書の表示」の枠に証明書の内容が表示されていれば完了です。
ローカルのhostsファイルで名前解決して、サイトを確認してみましょう。
サーバ移転完了後、さくらの無料SSLに切り替える
Let's EncryptのSSL証明書の有効期限は3ヶ月です。
さくらの無料SSLを利用すると3ヶ月ごとに自動更新されますが、手動でLet's EncryptのSSL証明書をインストールした場合は、自動更新されないので、注意が必要です。
サーバ移転が完了したら、有効期限が切れる前に、さくらの無料SSLに切り替えておきましょう。