本稿では、CentOS 7 上で Let’s Encrypt の無償のSSL/TLSサーバー証明書を発行して Apache 2.4 で利用する手順について解説します。

手順と事前知識

　まずは Let’s Encrypt で SSL/TLS サーバー証明書を発行するにあたり知っておくべき手順と事前知識について解説します。

Let’s Encrypt サーバーと Certbot クライアント

　Let’s Encrypt における証明書発行の手順は、そのほとんどが自動化されています。 その自動化を担っているのが Let’s Encrypt のサーバーと、Certbot クライアントというソフトウェアです。 Let’s Encrypt を利用するのに最初にすべきことは、証明書を設定しようとしているマシンに Certbot クライアントをインストールすることです。 インストールした Certbot クライアントが、 Let’s Encrypt のサーバーとやり取りすることで証明書の発行と設定を自動的におこなってくれます。

事前に設定しておくべきこと (前提条件)

　Let’s Encrypt で発行される証明書は、いわゆる「DV証明書」という種類の証明書です。 Let’s Encrypt サーバーは、発行する証明書の対象のドメインの所有者自身が発行要求をしてきたことを確認した上で、SSL/TLSサーバー証明書を発行します。 具体的にどのような確認が行われるのかというと、証明書の発行を要求された Let’s Encrypt サーバーは、発行しようとしている証明書のドメインの80番ポートにアクセスし、特定の内容のファイルが存在していることを確認します。 問題なくファイルが取得できればドメインの所有者が発行要求を出していることを確認できますので、これをもって証明書の発行を行うというわけです。 よって本稿の手順では、次のことを前提として解説を進めます。

• Apache httpd 2.4 がすでにインストールされている。
• インターネットから HTTP で 80 番ポートで公開しているホームページにアクセスできること。

　Apache httpd 2.4 の導入が済んでいない方は、別稿「Apache httpd 2.4 を CentOS 7 に yum でインストールする手順」を参考の上でインストールしてください。 それでは事前の説明はこれくらいにしておいて、それではさっそく Let’s Encrypt での証明書の発行手順を説明します。

Certbot クライアントをインストールする

　CentOS 7 用の Certbot クライアントは、EPELリポジトリからインストールすることができます。　　次のように epel リポジトリをインストールした上で、certbot と python-certbot-apache をインストールします。

SSL/TLS証明書の作成

　それでは Let’s Encrypt クライアントを実行して証明書を作成しましょう。 ここでは、Apache httpd の DocumentRoot が /var/www/www.mywebsite.jp に設定されていると仮定して話を進めます。 実際の DocumentRoot の設定に合わせて読み替えてください。

　次のようにオプションを指定して certbot コマンドを実行します。 -d オプションには、証明書を発行するサーバーのドメインを、-w には DocumentRoot のパスを指定します。

　すると、まずは次のようにメールアドレスを入力するように求められます。 このメールアドレスは、後に証明書の有効期限が近づいた際にお知らせしてくれたりすることなどに利用されます。 有効なメールアドレスを入力しましょう。

　次に規約に同意するかを問われます。 同意するために A と入力します。

　次に Electronic Frontier Foundation にメールアドレスを共有するかを問われます。 メールアドレスを共有すると、 EFF や証明書のことなどについてのメールを送ると書かれています。 メーリングリストのようなものです。 メールを受け取りたければ Y を、受け取りたくなければ N と入力します。

　これで証明書の作成が開始されます。 正しく証明書の作成が行われた場合は、次のように出力されます。

　これにて証明書の発行は終了です。 作成されたサーバー証明書は、次のように /etc/letsencrypt/live/[発行したサーバーのドメイン]/ 内に作成されました。

Apache 2.4 への設定

　SSL/TLSサーバー証明書が作成できましたので、Apache 2.4 に設定を追加します。 ssl.conf の SSLCertificateFile SSLCertificateKeyFile SSLCertificateChainFile にそれぞれ設定します。

　これで Apache httpd を再起動して完了です。

　それではさっそく https://[サーバーのドメイン]/ にアクセスしてみましょう。 アクセスすることができましたでしょうか？ もし接続できない場合は、SELinux や firewalld などによりアクセスが遮断されていないかを確認してください。 firewalld によってアクセスが遮断されてしまっている場合は、次のようなコマンドで HTTPS (443) ポートを開放することができます。

　ブラウザで証明書の情報を確認してみると Let’s Encrypt で発行したものだということがわかると思います。

　これで Let’s Encrypt での証明書の設定は終了です。

証明書の更新

　Let’s Encrypt で発行した証明書は、有効期限が3ヶ月となっています。 証明書の有効期限が近づくと、証明書の発行時に入力したメールアドレスに「まもなく証明書の有効期限が切れる」という旨のメールが届きます。 その際には、証明書の有効期限が切れる前に certbot renew というコマンドを実行するだけで、証明書の有効期限を延長することができます。

　証明書の有効期限が近づくたびに手動で証明書の有効期限を延長しても良いですが、cron などで certbot renew コマンドを毎月1回実行するようにしておくと手間が省けて良いでしょう。 自動的に証明書を更新することができます。 なおその際には、Apache も再起動して更新された証明書を読み込むようにすることを忘れないようにしましょう。 自動的に証明書を更新する詳しい手順については、別稿をご覧ください。

おわりに

　本稿では、CentOS 7 で Let’s Encrypt で発行されたSSL/TLS証明書を Apache 2.4 に設定する手順について解説しました。 個人でも手軽にSSL/TLS証明書が手に入れられるようになったのは、とても革新的だと思います。 是非積極的に利用したいものです。

更新履歴

• 2015年12月09日 – Let’s Encrypt の Open Beta 版に合わせた初稿を公開しました。
• 2017年04月17日 – Certbot を利用した最新の利用方法に合わせて記事を改変しました。