ACMEによるSSLサーバ証明書自動更新［FujiSSL］＜HTTP-01認証方式＞ - sanosoft @ ウィキ

ACMEによるSSLサーバ証明書自動更新［FujiSSL］＜HTTP-01認証方式＞

FujiSSLのSSLサーバ証明書を「acme.sh」で自動更新設定します。
認証方式は「HTTP-01認証方式」とします。

1. acme.shの導入

(1) acme.shのインストール

# cd ~
# curl https://get.acme.sh | sh -s email=（メールアドレス）
# source ~/.bashrc
# /root/.acme.sh/acme.sh --version

(2) EAB情報の登録

# vi /root/.acme.sh/.acm_acme_eab.env

ACME_ENDPOINT_URL='https://acme.sectigo.com/v2/NijimoDV'
EAB_KID='Key ID'
EAB_HMAC_KEY='HMAC Key'
ACME_CONTACT_EMAIL='(連絡先メールアドレス)'

# source /root/.acme.sh/.acm_acme_eab.env

(3) acme.shのACMEアカウント登録

# /root/.acme.sh/acme.sh --register-account \
  --server "${ACME_ENDPOINT_URL}" \
  --eab-kid "${EAB_KID}" \
  --eab-hmac-key "${EAB_HMAC_KEY}" \
  -m [e-mail]

2. SSLサーバ証明書の発行

(1) standalone方式

一度Apacheを停止してから、SSLサーバ証明書を発行します。

# systemctl stop httpd.service
# /root/.acme.sh/acme.sh --issue \
  --server "${ACME_ENDPOINT_URL}" \
  --standalone \
  -d example.jp \
  -d www.example.jp \
  --keylength 2048
# systemctl start httpd.service

(2) webroot方式

Apacheを停止したくない場合はwebroot方式でSSLサーバ証明書を発行します。

# /root/.acme.sh/acme.sh --issue \
  --server "${ACME_ENDPOINT_URL}" \
  --webroot /var/www/html \
  -d example.jp \
  -d www.example.jp \
  --keylength 2048

3. HTTP-01認証用ディレクトリの作成

HTTP-01認証用のディレクトリ構成は以下のようになります。

ドキュメントルート	/var/www/html
HTTP-01認証用ディレクトリ	/var/www/html/.well-known/acme-challenge

# mkdir -p /var/www/html/.well-known/acme-challenge
# chown -R apache:apache /var/www/html/.well-known
# chmod -R 755 /var/www/html/.well-known

4. SSLサーバ証明書の設定

(1) SSLサーバ証明書ファイルの配置

以下のように配置します。

SSLサーバ証明書ディレクトリ	/etc/httpd/certs/acme
秘密鍵ファイル（パスフレーズなし）	www.example.jp.privkey_nopwd.pem
証明書ファイル	www.example.jp.cert.pem
中間CA証明書ファイル	www.example.jp.inca.pem
証明書＋中間CA証明書ファイル	www.example.jp.full_cert.pem

# mkdir -p /etc/httpd/certs/acme

# /root/.acme.sh/acme.sh --install-cert -d www.example.jp \
  --key-file       /etc/httpd/certs/acme/www.example.jp.privkey_nopwd.pem \
  --cert-file      /etc/httpd/certs/acme/www.example.jp.cert.pem \
  --ca-file        /etc/httpd/certs/acme/www.example.jp.inca.pem \
  --fullchain-file /etc/httpd/certs/acme/www.example.jp.full_cert.pem

(2) Apacheでの設定

ssl.confで以下のように記載します。

SSLCertificateFile /etc/httpd/certs/acme/www.example.jp.full_cert.pem
SSLCertificateKeyFile /etc/httpd/certs/acme/www.example.jp.privkey_nopwd.pem