Let’s Encryptの証明書自動更新設定について

security
security


Let’s Encrypt


Let’s Encrypt は、無料で利用できる SSL/TLS 証明書を発行する非営利の認証局（CA）です。ウェブサイトの通信を暗号化するために使用され、インターネット上の安全性とプライバシーを向上させることを目的としています。

主な特徴

1. 無料：SSL/TLS 証明書を誰でも無料で取得できます。
2. 自動化：証明書の取得、設定、更新が自動化されるため、手動の手間が少ないです。
3. オープン：Let’s Encrypt はオープンソースコミュニティに支えられています。
4. 信頼性：主要なブラウザやデバイスで信頼されています。
5. 短期間の有効期限：証明書の有効期限は 90 日間で、定期的な更新が推奨されています。

Let’s Encrypt 証明書の管理と更新手順

1. 証明書管理クライアントの確認

$ which certbot
/usr/bin/certbot

2. 現在の証明書情報の確認

証明書の有効期限 、対象ドメイン名（Domains:の行） •、証明書の保存パスを確認する

$ sudo certbot certificates
Saving debug log to /var/log/letsencrypt/letsencrypt.log

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Found the following certs:
  Certificate Name: techblog-jin.com
    Serial Number: *********************
    Key Type: *****
    Domains: techblog-jin.com
    Expiry Date: 2024-11-30 02:57:40+00:00 (VALID: 5 days)
    Certificate Path: /etc/letsencrypt/*********************
    Private Key Path: /etc/letsencrypt/*********************
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
$

3. 手動更新をする場合

手動更新のテスト

$ sudo certbot renew --dry-run
	Saving debug log to /var/log/letsencrypt/letsencrypt.log
	
	- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
	Processing /etc/letsencrypt/renewal/************************
	- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
	Account registered.
	Simulating renewal of an existing certificate for techblog-jin.com
	
	- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
	Congratulations, all simulated renewals succeeded: 
	  /etc/letsencrypt/************************ (success)
	- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
$

4. 自動更新設定の確認

Let’s Encrypt証明書は有効期限が90日と短いため、自動更新を設定することが推奨される

cronを設定

$ cat /etc/crontab | grep certbot
0 0 * * 0 root certbot renew --quiet
$