概要
Let's encrypt で取得したSSL証明書を更新する。
Debian 9.3(strech) + nginx + certbot
<2019/4/15追加>
最後に「ワイルドカード証明書の更新」を追加
エグゼクティブサマリー
sudo certbot renew --nginx
その後、Apache2サーバ再起動で完了。めっちゃ心配な方は別の方の記事をご参照。
ブラウザから証明書を確認
Google Chromeの場合。
-
鍵マークらへんをクリック
-
「証明書」の「有効」をクリック
-
ウィンドウが開くので、そのウィンドウの「詳細」タブをクリック
下記画像は加工してあります。
-
有効期限が伸びてたらOK
Let's encryptは3カ月有効期限なので、1ヵ月以上あれば問題なし。
ログ
1.Debian の Version 情報を表示（不要）
forte@nsx:~% cat /etc/debian_version
9.3
2.入ってるcertbotパッケージの情報
forte@nsx:~% dpkg --list | grep certbot
ii certbot 0.10.2-1 all automatically configure HTTPS using Let's Encrypt
ii python-certbot 0.10.2-1 all main library for certbot
ii python-certbot-nginx 0.10.2-1 all Nginx plugin for Certbot
3.certbotヘルプ
forte@nsx:~% certbot --version
certbot 0.10.2
forte@nsx:~% certbot --help
certbot [SUBCOMMAND] [options] [-d DOMAIN] [-d DOMAIN] ...
Certbot can obtain and install HTTPS/TLS/SSL certificates. By default,
it will attempt to use a webserver both for obtaining and installing the
cert. The most common SUBCOMMANDS and flags are:
obtain, install, and renew certificates:
(default) run Obtain & install a cert in your current webserver
certonly Obtain or renew a cert, but do not install it
renew Renew all previously obtained certs that are near expiry
-d DOMAINS Comma-separated list of domains to obtain a cert for
(the cerbot apache plugin is not installed)
--standalone Run a standalone webserver for authentication
--nginx Use the Nginx plugin for authentication & installation
--webroot Place files in a server's webroot folder for authentication
--manual Obtain certs interactively, or using shell script hooks
-n Run non-interactively
--test-cert Obtain a test cert from a staging server
--dry-run Test "renew" or "certonly" without saving any certs to disk
manage certificates:
certificates Display information about certs you have from Certbot
revoke Revoke a certificate (supply --cert-path)
delete Delete a certificate
manage your account with Let's Encrypt:
register Create a Let's Encrypt ACME account
--agree-tos Agree to the ACME server's Subscriber Agreement
-m EMAIL Email address for important account notifications
More detailed help:
-h, --help [TOPIC] print this message, or detailed help on a topic;
the available TOPICS are:
all, automation, commands, paths, security, testing, or any of the
subcommands or plugins (certonly, renew, install, register, nginx,
apache, standalone, webroot, etc.)
4.既に入ってる証明書の情報を表示（たぶん）
下はすでに更新済みなので、注意。
ほとんどの場合、root権限が必要です（証明書へアクセスできる権限）。
Expiry Dateが有効期限を表す。
forte@nsx:~% certbot certificates
The following error was encountered:
[Errno 13] Permission denied: '/var/log/letsencrypt/letsencrypt.log'
If running as non-root, set --config-dir, --logs-dir, and --work-dir to writeable paths.
forte@nsx:~% sudo certbot certificates
Saving debug log to /var/log/letsencrypt/letsencrypt.log
-------------------------------------------------------------------------------
Found the following certs:
Certificate Name: nsx.jibunno-domain.example.com
Domains: nsx.jibunno-domain.example.com
Expiry Date: 2018-06-03 12:21:59+00:00 (VALID: 89 days)
Certificate Path: /etc/letsencrypt/live/nsx.jibunno-domain.example.com/fullchain.pem
Private Key Path: /etc/letsencrypt/live/nsx.jibunno-domain.example.com/privkey.pem
-------------------------------------------------------------------------------
5.更新する
nginxの場合。
Apacheの場合はオプションなし(--nginx不要）。
下記はすでに更新してしまったので、処理がスキップされてます。
再来月に張り替え予定。
forte@nsx:~% sudo certbot renew --nginx
Saving debug log to /var/log/letsencrypt/letsencrypt.log
-------------------------------------------------------------------------------
Processing /etc/letsencrypt/renewal/nsx.jibunno-domain.example.com.conf
-------------------------------------------------------------------------------
Cert not yet due for renewal
The following certs are not due for renewal yet:
/etc/letsencrypt/live/nsx.jibunno-domain.example.com/fullchain.pem (skipped)
No renewals were attempted.
ワイルドカード証明書の更新
ワイルドカード証明書の場合、取得時と同じく、パラメータを細かく渡す必要あり。DNSチャレンジを通過させる必要がある。
自分の場合、以下のような感じで更新する。
- 更新コマンドを投入
% sudo certbot certonly --manual \
--server https://acme-v02.api.letsencrypt.org/directory \
--preferred-challenges dns \
-d example.com -d \*.example.copm \
-m your-mailaddress@example.com --agree-tos --manual-public-ip-logging-ok
2.DNSチャレンジを求められるので、その通りにDNSのレコードを設定する
ログは次回。
私の場合、 _acme-challenge というサブドメインのTXTレコードの設定を求められます。
注意事項として、チャレンジの文字列表示画面で「DNSレコードの設定が終わったらENTER押してね」と言われますが、このときENTER以外の文字列が混じるとチャレンジの別文字列が表示されます。しかし、初回のチャレンジが有効なようで、次の新しいチャレンジは意味ありません。
※要はTeraterm等からコピペすると思いますが、ENTER以外の文字をうちこんじゃったら最初からやり直したほうがよいです
3.Apache2設定
certbot certonlyなので、証明書の更新のみになります。更新なので、ほとんどの方は次のステップへ。証明書取得ごとにファイル名・ディレクトリ名変えるなどしている場合はここで設定変更。
4.Apache reload
% sudo /etc/init.d/apache2 reload
5.ブラウザで証明書の更新を確認
重要。少なくとも、期限が伸びていることを。
以上