概要

Let's EncryptはGoogleやCiscoなどメジャーな企業がスポンサーをしている信頼性のあるオープンで無料のTSL(SSL)認証局(CA)。
しかも、ツールが提供されており、簡単に証明書をインストールできる。
つまり、簡単に無料でオレオレ証明書を卒業して、サーバでhttpsが使えるということ！

ここでは、ubuntu x apacheを前提にする。

手順

はじめはマニュアルでcertbot-autoを実行してインストール。
あとはrenewサブコマンドをcronで毎日実行する。

これで、毎日のrenew実行で、サーバにインストールした証明書の内、更新がものだけ更新してくれる。

準備

対象となるドメインがhttpでアクセス可能である必要がある。
細かいことは、この記事を見ている時点でわかっていると思うので割愛する。

対象のドメインが目的のサーバに向くようにレコードを設定する
/etc/apache2/sites-availableに通常のhttpでの設定ファイルを作成
サイトを有効にする

$ sudo a2ensite 000-your-site.conf

アパッチを再起動する（なぜかrestartではだめだった）

$ sudo apache2ctl stop
$ sudo apache2ctl start

ブラウザでドメインにアクセスして配置した.htmなどが表示されればOK。

ここからが、本題。

証明書のインストール

ツールのインストール

どこでもいいが、とりあえずホームディレクトリにインストールする

$ cd
$ wget https://dl.eff.org/certbot-auto
$ chmod a+x certbot-auto

証明書インストール＆設定修正

全部自動でやってくれる！

$ ./certbot-auto --apache

/etc/apache2/sites-availableからサイトを自動検出するので、SSLを導入したいサイトに*をつける。
スペースキーで*のON/OFF切り替えが可能。

easyとsecureのどちらでやるか聞かれるが、secureを選んでも特にやることはない。

これでhttpsでアクセスできるようになった。
下記のURLでd=以降にSSLを導入したドメインを指定してブラウザで読み込むと、httpsのステータスレポートを見ることができる。
https://www.ssllabs.com/ssltest/analyze.html?d=your-site.com

うん、安全そうだw

ちなみに、/etc/apache2/sites-availableの.confファイルを見ると、httpsの設定のための修正がされていることがわかる。もし、勝手にファイルを修正されたくなければ、certbot-autoコマンドにcertainlyサブコマンドを付けてやれば、設定を変更せずに証明書のインストールだけやってくれる。

証明書の自動更新設定

certbot-auto renewコマンドをcronで定期的に実行することで、証明書を自動更新してくれる。
有効期限が30日以下の証明書のみを判別して更新してくれる。

crontab -eコマンドで下記のように設定する。
この例では毎日12:34にcertbot-autoコマンドを実行させている。

34 12 * * * /home/ubuntu/certbot-auto renew --quiet --no-self-upgrade >> /tmp/cron.log 2>&1

自動更新設定はこれだけ。

cronのトラブルシューティング

話がそれるがハマったので注意点を幾つか。

Linuxディストリビューションによっては、crontabの設定で出力をリダイレクトしないと実行されない場合がある。
上記の例では2>&1でエラーを標準出力にリダイレクト、標準出力を/tmp/cron.logに吐き出している。
/etc/letsencrypt/cli.iniにドメインなど、設定を記述することで非インタラクティブなインストールが可能だが、ここでドメインを指定してしまうと、今のバージョンではcertbot-aut renewでエラーになってしまう（参考）。なので、.iniファイルを使用することはおすすめしない。
ログは/var/log/letsencrypt/letsencrypt.logに吐かれるので、動作しないようならこちらをチェック。