はじめに
Let’s Encrypt
を使ったサーバー証明書の自動発行をローカルのテスト環境で体験する方法を紹介します。
テストネットワーク環境
containerlab
を使います。
containerlabの環境は
を参照してください。
ACME対応の認証局（CA)
stepca
のDokcer版
を使います。
必要なディレクトリーの作成
#cd /root
#mkdir stepca_clab
#cd stepca_clab
#mkdir step
#chmod a+w step
/root/stepca_clabに、トポロジーファイルとDockerfileを作成します。
トポロジーファイル
認証局(ca)と証明書を取得するクライアント(cli)を設置したトポロジーファイルを作成します。
stepca.clab.taml
name: step-ca
topology:
nodes:
ca:
kind: linux
image: smallstep/step-ca
binds:
- /root/stepca_clab/step:/home/step
ports:
- 9000:9000
env:
DOCKER_STEPCA_INIT_NAME: ca
DOCKER_STEPCA_INIT_DNS_NAMES: localhost,ca
DOCKER_STEPCA_INIT_REMOTE_MANAGEMENT: true
DOCKER_STEPCA_INIT_ACME: true
cli:
kind: linux
image: cli
step-caのDockerイメージは、DockerHUBからダウンロードします。
クライントのDockerイメージ
クライントは、step-caやstep-cliのイメージは使わずに自分でビルドします。
Dockerfileは
FROM debian
ARG DEBIAN_FRONTEND=noninteractive
RUN apt-get update -qy \
&& apt-get upgrade -qy \
&& apt-get install -y \
certbot \
wget \
&& rm -rf /var/lib/apt/lists/*
RUN wget https://dl.smallstep.com/cli/docs-cli-install/latest/step-cli_amd64.deb && dpkg -i step-cli_amd64.deb
です。
#cd /root/stepca_clab
#docker build -t cli .
でビルドします。
containerlabの起動
準備ができたら
#clab deploy
を実行します。
CAのパスワードとフィンガープリントを確認
CAのコンテナのログを表示します。
#docker logs clab-step-ca-ca
|
👉 Your CA administrative username is: step
👉 Your CA administrative password is: <パスワード>
🤫 This will only be displayed once.
|
2025/02/23 06:54:19 Additional configured hostnames: ca
2025/02/23 06:54:19 X.509 Root Fingerprint: <フィンガープリント>
|
のようにCAのパスワードとフィンガープリントがあるので、コピーしておきます。
フィンガープリントは、
cat step/config/defaults.json
{
"ca-url": "https://localhost:9000",
"ca-config": "/home/step/config/ca.json",
"fingerprint": "<フィンガープリント>",
"root": "/home/step/certs/root_ca.crt"
}
でも確認できます。
クライアンでstep caコマンドの初期化
#docker exec -it clab-step-ca-cli /bin/bash
でクライアントコンテナ内のシェルに接続します。
root@cli:/#step ca bootstrap --ca-url https://ca:9000 --fingerprint <確認したフィンガープリント> --install
成功すれば、必要な設定ファイルとCAの証明書がインストールされます。
step caコマンドで証明書の発行
step ca certificateを実行すると
root@cli:/# step ca certificate cli cli.crt cli.key
Use the arrow keys to navigate: ↓ ↑ → ←
What provisioner key do you want to use?
▸ acme (ACME)
admin (JWK) [kid: Uqxu8jPb1z0JplP_yW8WDIFcqB3gn4IYNef4uRYw2Dw]
のようになります。ACMEを選択すれば、証明書と秘密鍵のファイルが作成されます。
JWKを選択した場合は、パスワードを聞かれるので、先程ログで確認したパスワードを入力すれば、
発行されます。
Certbotで証明書を取得する
クライアントのコンテナには、Certbot
もインストールされています。
certbotで証明書を取得するには、
root@cli:/# REQUESTS_CA_BUNDLE=$(step path)/certs/root_ca.crt certbot certonly -n --standalone -d cli --server https://ca:9000/acme/acme/directory --agree-tos --email test@example
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Requesting a certificate for cli
Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/cli/fullchain.pem
Key is saved at: /etc/letsencrypt/live/cli/privkey.pem
This certificate expires on 2025-02-24.
These files will be updated when the certificate renews.
Certbot has set up a scheduled task to automatically renew this certificate in the background.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
If you like Certbot, please consider supporting our work by:
* Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
* Donating to EFF: https://eff.org/donate-le
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
のようにします。
自動作成された証明書を確認してみる
opensssl x509コマンドで確認できます。
root@cli:/# openssl x509 -in /etc/letsencrypt/live/cli/fullchain.pem -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number:
c4:68:fa:98:08:4d:09:32:fd:04:35:4d:99:d4:e7:90
Signature Algorithm: ecdsa-with-SHA256
Issuer: O = ca, CN = ca Intermediate CA
Validity
Not Before: Feb 23 08:30:33 2025 GMT
Not After : Feb 24 08:31:33 2025 GMT
Subject:
Subject Public Key Info:
Public Key Algorithm: id-ecPublicKey
Public-Key: (256 bit)
pub:
04:3b:3e:72:da:c5:5c:03:7e:07:50:38:00:19:63:
59:f8:f8:f1:42:bf:52:8b:d7:c0:50:64:f6:92:38:
06:e8:ef:ee:ba:79:4a:7d:22:2b:a2:10:27:c2:26:
92:57:3a:ab:3b:c4:02:56:77:02:dc:35:d8:f5:d6:
ad:a8:3c:c2:23
ASN1 OID: prime256v1
NIST CURVE: P-256
X509v3 extensions:
X509v3 Key Usage: critical
Digital Signature
X509v3 Extended Key Usage:
TLS Web Server Authentication, TLS Web Client Authentication
X509v3 Subject Key Identifier:
FC:62:54:43:E7:4C:C5:49:E4:F6:F5:3C:42:4E:3C:A4:60:2F:69:AE
X509v3 Authority Key Identifier:
CC:F2:F5:31:FF:15:B1:8E:BC:92:92:D8:55:F0:6D:34:BD:E7:29:12
X509v3 Subject Alternative Name: critical
DNS:cli
1.3.6.1.4.1.37476.9000.64.1:
0......acme..
Signature Algorithm: ecdsa-with-SHA256
Signature Value:
30:44:02:20:3d:83:5f:82:95:de:09:67:51:de:8a:05:61:d2:
5f:b7:b1:19:cb:28:03:58:17:75:63:7d:79:3f:ae:72:2a:94:
02:20:2f:a4:e6:c8:ed:47:ac:20:fc:58:92:8a:c7:8e:e1:c0:
02:95:66:6a:cf:a8:94:c2:82:8d:d1:86:83:bc:c7:6c
余談
この記事は、
の学習の副産物として書いています。
PKI機能を
に追加しようと思って調べています。