はじめに
HSTSはクライアントがリクエスト送信する時点でhttpsになるそうです。
apacheのバーチャルホストごとにHSTSの設定ができるか検証してみました
今回ドメインを例としてexample.comとしましたが各自のドメイン名に置き換えてください
以下の記事を参考にさせていただきました。
今回はRoute53にレコード「server1.example.com」と「server2.example.com」でそれぞれ
エイリアスにてALBを紐づけました。
ACMはリクエストを行い*.example.comで証明書を発行しました
ALBにてリスナー443ポートを追加してACM*.example.comで証明書を設定してターゲットグループにVirtualhostのEC2を紐づけました。
ALBにEC2を紐づけるためには事前にEC2のセキュリティグループの80ポートをALBのセキュリティグループを許可
する必要があります。許可し忘れるとEC2がターゲットグループにてunhealtyとなってしまいます。
以下のサイトを引用させていただきました。
EC2 Amazon Linux 2 のVirtualHost 設定手順
https://qiita.com/gama1234/items/02640dd9d9185360c4f0
HSTS (HTTP Strict Transport Security) の導入
https://qiita.com/takoratta/items/fb6b3486257eb7b9f12e
AWS ALB 配下で HSTS の設定を行う方法
https://qiita.com/syoimin/items/db85769349d2cb9bda24
前提条件
ACM ALB EC2を事前に作成する
対応手順
rootに昇格する
$ sudo su -
yum updateを実施する
今回はupdateするパッケージがありませんでした。
# yum update
今回はパッケージのアップデートはありませんでした。
Dependencies resolved.
Nothing to do.
Complete!
apacheのパッケージをインストールする
# yum install httpd
apacheのサービスを起動する
# systemctl start httpd
apacheのサービスの自動起動を有効にする
# systemctl enable httpd
自分の環境のドメイン名のディレクトリを作成する
例 mkdir -p /var/www/example.com/public_html
フォルダの権限を変更する
# chmod -R 755 /var/www
HTMLファイルを作成する
# echo "<html><body><h1>server1.examplecom Hello word</h1></body></html>" | sudo tee /var/www/server1.example.com/public_html/index.html
# echo "<html><body><h1>server2.examplecom Hello word</h1></body></html>" | sudo tee /var/www/server2.example.com/public_html/index.html
ディレクトリの所有ユーザー:所有グループを変更する
# chown -R apache:apache /var/www/example.com/public_html
example.comのapacheの設定ファイルを作成する
# vi /etc/httpd/conf.d/example.com.conf
<VirtualHost *:80>
ServerAdmin root@localhost
ServerName server1.example.com
DocumentRoot /var/www/server1.example.com/public_html
ErrorLog /var/log/httpd/example.com-error.log
CustomLog /var/log/httpd/example.com-access.log combined
Header set Strict-Transport-Security "max-age=31536000; preload" ※HSTSの設定をした
</VirtualHost>
<VirtualHost *:80>
ServerAdmin root@localhost
ServerName server2.example.com
DocumentRoot /var/www/server2.example.com/public_html
ErrorLog /var/log/httpd/example.com-error.log
CustomLog /var/log/httpd/example.com-access.log combined
</VirtualHost>
apacheの文法チェックをする。
# httpd -t
Syntax OK
apacheのサービス再起動をする
# systemctl restart httpd
コマンドプロンプトを開きcurlコマンドを実行した
HSTSはブラウザに対して動作するため、コマンドプロンプトのチェックは意味がありません。
HSTSの設定をブラウザで確認した
キャッシュが残ると正しく設定しているか確認出来ないため、chromeのシークレッドウィンドウで試すことをお勧めします。
①chromeを開き、https://server1.example.comでアクセスする
②chrome://net-internals/#hstsをURLの箇所に入力して以下の画面を開く、またはchormeのブラウザをリロードする
以下の赤枠「Query HSTS/PKP domain」に「server1.example.com」ドメインを入力してQueryボタンを押下した
Foundと表示されたパラメータが表示されたため、HSTSが設定されています。
次にHSTSを設定していないドメインを
①chromeを開き、https://server2.example.comでアクセスする
②chrome://net-internals/#hstsをURLの箇所に入力して以下の画面を開くまたはchormeのブラウザをリロードする
以下の赤枠「Query HSTS/PKP domain」に「server2.example.com」ドメインを入力してQueryボタンを押下した
Not Foundと表示されたため、HSTSが設定されていません。
chrome://net-internals/#hstsのHSTS状態確認の手順は以下のサイトを参考にしました。
https://chidakiyo.hatenablog.com/entry/chrome-hsts
一度ブラウザでHSTSが設定してあるサブドメインで、https://サブドメインでアクセスすると
ブラウザにHSTSの設定が保存されてしまうため、
再度試したい場合は以下の赤枠「Delete domain security policies」にドメインを入力して削除をしてください
削除後、上記の①～②手順を実施する。
まとめ
バーチャルホストのFQDNごとにHSTSを設定できることが分かりました。
/etc/httpd/httpd.confにHSTSの設定がされている場合は、/etc/httpd/conf.d/バーチャルホストファイル.conf
でHSTSが許可されていなくてもHSTSが設定されてしまいます。
注意が必要です。
同じドメインを持つサブドメインの場合は、HSTSのパラメータにincludeSubDomainsが含まれている場合は
server1.example.comにHSTSを許可したら、server2.example.comにHSTSが許可されていなくても許可されてしまうそうです。そのため、同じドメインのサブドメインごとにHSTSを設定有り無しを分ける場合は、includeSubDomainsのパラメータをHSTSに含めないでください
includeSubDomainsのパラメータについて以下のサイトがとても参考になりました。
引用させていただきました。
https://tech.quickguard.jp/posts/disable-subdomain-hsts/