Apache Web Serverを実行しているCentOS 7にSSLを暗号化してインストールする方法

• 前書き
• 前提条件
• 依存モジュールのインストール
• Let's Encryptクライアントのダウンロード
• SSL証明書を取得して構成する
• 証明書の自動更新の構成
• 結論

前書き

このチュートリアルでは、Apache WebサーバーにTLS / SSL証明書をインストールする手順を学習します。完了すると、サーバーとクライアント間のすべてのトラフィックが暗号化されます。これは、eコマースサイトやその他の金融サービスをオンラインで保護するための標準的な方法です。Let's Encryptは無料のSSLを実装する先駆者であり、この場合は証明書プロバイダーとして使用されます。

前提条件

このガイドを始める前に、次のものが必要です。

• CentOS 7 VPSへのSSHルートアクセス
• ドメインとvhostが正しく設定されたApache Webサーバー
• 非ルートsudoユーザー

依存モジュールのインストール

certbotをインストールするには、EPELリポジトリをインストールする必要があります。EPELリポジトリはデフォルトでmod_sslは使用できないため、Apacheが暗号化を認識するためにも必要です。

sudo yum install -y epel-release mod_ssl

Let's Encryptクライアントのダウンロード

次に、EPELリポジトリからcertbotクライアントをインストールします。

sudo yum install python-certbot-apache

SSL証明書を取得して構成する

Certbotは、SSL証明書の管理を非常に簡単に処理します。指定されたドメインの新しい証明書をパラメーターとして生成します。

この場合、example.com証明書が発行されるドメインとして使用されます。

sudo certbot --apache -d example.com

複数のドメインまたはサブドメインのSSLを生成する場合は、次のコマンドを使用します。

sudo certbot --apache -d example.com -d www.example.com

注： この例では、最初のドメインはベースドメインである必要がありますexample.com。

証明書をインストールすると、証明書の詳細をカスタマイズできるステップバイステップガイドが表示されます。デフォルトのプロトコルとして強制するHTTPSか残すかを選択できHTTPます。セキュリティ上の理由から、電子メールアドレスの提供も必要になります。

インストールが完了すると、同様のメッセージが表示されます。

IMPORTANT NOTES:
- If you lose your account credentials, you can recover through
emails sent to user@example.com.
- Congratulations! Your certificate and chain have been saved at
/etc/letsencrypt/live/example.com/fullchain.pem. Your cert
will expire on 2019-04-21. To obtain a new version of the
certificate in the future, simply run Let's Encrypt again.
- Your account credentials have been saved in your Let's Encrypt
configuration directory at / etc / letsencrypt. You should make a
secure backup of this folder now. This configuration directory will
also have certificates and private keys obtained by Let's
Encrypt so regular backups of this folder is ideal.
- If you like Let's Encrypt, please consider supporting our work by:

証明書の自動更新の構成

証明書を暗号化してみましょう。有効期間は90日間です。問題を回避するために、60日以内に更新することをお勧めします。これを達成するために、certbotが更新コマンドを支援します。証明書が有効期限から30日未満であることを確認します。

sudo certbot renew

インストールされた証明書が最新の場合、certbotは有効期限のみを確認します。

Processing  /etc/letsencrypt/renewal/example.com.conf
The following certs are not due for renewal yet:
    /etc/letsencrypt/live/example.com/fullchain.pem (skipped)
No renewals were attempted.

この更新プロセスを自動化するために、cronジョブを設定できます。まず、crontabを開きます。

sudo crontab -e

この作業は、毎週月曜日の深夜に実行するように安全にスケジュールできます。

0 0 * * 1 / usr / bin / certbot renew >> /var/log/sslrenew.log

スクリプトの出力は/var/log/sslrenew.logファイルにパイプされます。

結論

無料のSSL証明書を実装して、Apache Webサーバーを保護しました。これ以降、サーバーとクライアント間のすべてのトラフィックが暗号化されます。