【AWS】Apache(Linux)にさくらのドメイン認証型(JPRS)SSL証明書を設定する

 どうもです。最近のnoteを始めてみたHashi(@rinoo8433)です。

 さて、そんなことはどうでもいいんですけど、今回はクライアント案件でAWSで運用しているWebサービスにさくらインターネットで取得したドメイン認証型SSLを設定してくれという要望があったので、備忘録も兼ねてその手順を紹介したいと思います。というか、そもそもAWSを使っていればSSLも無料で設定できるので今回のようなケースはあまりないかと思いますけど、ELBをいれていないようなニッチなサービスをSSL化したいというようなケースですね。

環境

 なお、今回の環境は下記の通りとなります。

今回の環境

  • AWS EC2(Amazon Linux AMI)
  • Apache 2.4.33 (Amazon)
  • さくらのドメイン認証型証明書(JPRS)

mod_sslのインストール

 それでは早速諸々設定していきましょう。

 まずは、mod_sslをイントールしていくので、下記コマンドでインストールできるパッケージの確認をします。

 今回は下記のパッケージをインストールします。

 インストールができたら一応下記コマンドで確認しておきます。

CSRファイルの生成

 続いて、さくらインターネットで申請する際にCSRファイルが必要になってくるので、事前にCSRファイルを生成します。

OpenSSLのバージョン確認

 まずは、お使いのサーバー(今回はAWS、EC2)環境にログインして、OpenSSLのバージョンは確認します。

 上記のようにバージョンが表示されれば問題ありません。

秘密鍵の生成

 続いて、下記コマンドでApacheのconfディレクトリに移動します。

 上記パスへ移動したら下記コマンドで秘密鍵を保管するディレクトリを作ります。

 ディレクトリを作成したら下記コマンドで秘密鍵を生成します。

 なお、秘密鍵の名称には識別できるように任意の名前を入力してください。一般的には大体ドメイン名にその年を付与する形が多いと思います。(例:example.com2019)。

 今回は便宜上、「example.com2019」という名称で進めたいと思います。

 上記コマンドを叩くとパスフレーズを求められますのでパスフレーズを入力します。確認も含めて2回入力が必要になります。

 秘密鍵を生成したら下記コマンドで鍵ができているか確認しておきましょう。

 上記のように生成した鍵の名前が表示されればOKです。

CSRファイルの生成

 秘密鍵を生成したらCSRファイルも生成していきます。

 まず、秘密鍵の時と同様CSRファイルを保管するディレクトリを下記コードで作成します。

 続いて、下記のコードでCSRファイルを生成します。

 このように秘密鍵の情報を元にCSRファイルを生成します。

 なお、CSRファイル生成時に下記のことをいろいろと聞かれるので事前に用意しておいてください。下表は例になるので実際はそれぞれの環境に合わせて設定してください。なお、「Email Address」等、入力不要な項目に関してはEnterで飛ばして大丈夫です。

 また、CSRファイル生成時にパスフレーズを求められると思うので、秘密鍵生成時に設定したパスフレーズを入力してください。

フィールド
Country Name JP
State or Province Name Tokyo
Locality Name Shibuya-ku
Organization Name Example Inc
Organization Unit Name Technical Division
Common Name example.com
Email Address 入力不要
A challenge password 入力不要
An optional company name 入力不要

CSRファイルの内容を確認

 必要事項を入力したらCSRファイルが完成していると思うので、下記コマンドで中身の確認をしてください。

 英数字が羅列されていると思います。この内容はSSL証明書申請時に必要になってくるので、テキストファイルなどにコピーしておくといいでしょう。

さくらインターネットでドメイン認証型SSLを申請

 CSRファイルも生成したので、続いてさくらインターネット
で申請をしていきます。

 今回はドメイン認証型の証明書を使用するのでこちらのページからドメイン認証型を選択します。

プランの選択

 まずはプランの選択をします。今回はとりあえず1年の契約で申し込みたいので下図の通り「JPRS ドメイン認証型」の1年を選択します。

お支払い方法の設定

 プランの選択をしたら、続いて支払い方法について設定します。今回はクレジットカードで決済したいと思います。

 支払い方法を設定したら、約款に同意してCSRの入力に進みます。

CSRの入力

  CSRの入力画面が表示されると思うので、先ほど生成したCSRファイルの内容を貼り付けます。

 あとは、そのまま内容の確認をして申請は完了です。

認証ファイルをサーバーにアップロード

 申請が完了したらさくらインターネットから申請完了メールが届きます。

認証ファイルのアップロード

 申請が完了したら認証局よりドメインの使用権の確認があるので、認証ファイルを指定のディレクトリにアップします。

 認証ファイルはさくらの契約情報ページから「契約サービスの確認」ボタンを押して表示される「契約サービス一覧」ページの「サーバ証明書」ボタンをクリックすることでダウンロードできます。なお、認証ファイル名は、[ランダムな文字列].txt形式になっています。

指定のディレクトリにアップロード

 認証ファイルをダウンロードしたら、今回SSL化したいWebサイトの公開ディレクトリに「/.well-known/pki-validation/」というディレクトリを作成してそこにファイルをアップロードします。

 公開ディレクトリは各環境によって違うと思いますが、「public」と仮定すると「public」配下に「.well-known」というディレクトリを、そしてその中に「pki-validation」というディレクトリを作成して、その中にファイルを格納するということになります。公開URLとしては、「https://example.com/.well-known/pki-validation/認証ファイル名」のような形になります。

 これで認証ファイルのアップロードは完了になります。

 認証局は自動でクローリングをしているので、そのまま認証されるのを待ってください。

 なお、Basic認証などをかけているとクローリングできないのでアップロード後、認証されるまでは一時的に外してください。

 また、認証ファイルは10日以内にダウンロードしてアップロードしてください。

SSL化設定

 認証局にてファイルが認証されたら、サーバ証明書発行完了のメールがさくらインターネットから届きます。

SSLサーバ証明書

 メールの内容を確認したら、再度さくらインターネットにログインして認証ファイルをダウンロードした際と同じ手順でSSLサーバ証明書をダウンロードします。

 「server.crt」というファイルがダウンロードされると思います。

中間CA証明書ダウンロード

 続いて、中間CA証明書も必要になってくるのでダウンロードします。

 さくらのレンタルサーバーを利用している場合はさくらのサイトでダウンロードできるようですが、今回のように他サーバーの場合はJPRSの公式サイト内のこちらのページからダウンロードできます。

 今回はドメイン認証型の中間CA証明書をダウンロードするので下図の通り「PEM形式」というリンクをクリックしてファイルをダウンロードします。

 「JPRS_DVCA_G2_PEM.cer」というファイルがダウンロードされると思います。

SSLサーバ証明書をサーバーに設置

 SSLサーバ証明書と中間CA証明書をダウンロードしたら、今度はサーバーに再度ログインしてダウンロードした2つのファイルの内容でファイルを生成していきます。

 まず、下記のコードでcsrファイルと秘密鍵を生成した場所へ移動します。

 上記パスへ移動したら下記コマンドでSSLサーバ証明書ファイルを保管するディレクトリを作ります。

 ディレクトリを作成したら下記コードでファイルを生成します。なお、ファイル名は秘密鍵やCSRファイルと同様、ドメイン名とその年の数値を合わせたファイル名にします。今回は「example.com2019.crt」。

 エディタが開くので、先ほどダウンロードしたSSLサーバ証明書(server.crt)をテキストエディターかなんかで開いてその内容をコピーして貼り付けます。貼り付けたら保存してください。

中間CA証明書をサーバーに設置

 続いて、中間CA証明書のSSLサーバ証明書と同じ手順で作成します。

 まず中間CA証明書を保管するディレクトリを作成。

 続いて下記コードでcerファイルを生成。ファイル名はこれまでと同様の形式にします。

 ダウンロードした中間CA証明書(JPRS_DVCA_G2_PEM.cer)の内容をコピーして貼り付け。貼り付けたら保存。

 これでSSL化に必要なファイルが揃いました。「/etc/httpd/conf」配下に「ssl.cer」、「ssl.crt」、「ssl.csr」、「ssl.key」の4つのディレクトリが存在し、その中にそれぞれファイルが格納されている状態になると思います。

パスフレーズの入力を省略

 続いて、Apacheを再起動する際にパスワードの入力を省略するためにシェルスクリプトファイルを生成します。

 設置する場所はどこまでいいのですが、今回はこれまでファイルを作成してきた「/etc/httpd/conf」の中に作りたいと思います。

 下記のコードでシェルスクリプトファイルを生成します。

 エディタが開いたら下記の内容を入力します。

 続いて作成したファイルに下記コードで所有者権限を与えます。

ssl.confの編集

 最後に、「/etc/httpd/conf.d/ssl.conf」に今回生成した各ファイルのパスを記載していきます。

 下記コマンドでssl.confファイルをエディタで開きます。

 エディタで開いたらSSLCertificateFile(crtファイル)のパスを今回生成したcrtファイルのパスに変更します。

 次に、SSLCertificateKeyFile(keyファイル)のパスも今回生成したkeyファイルのパスに変更します。

 さらに、SSLCertificateChainFile(cerファイル)のパスも今回生成したcerファイルのパスに変更します。

 そして、最後にさきほど作成したパスフレーズに自動応答シェルスクリプトファイルのパスも紐づけておきます。

 これでssl.confの編集は完了です。

記述エラーの確認

 ssl.confの記述を編集したので、Apacheの再起動をかける前に記述エラーのチェックを下記コマンドで確認しておきます。

 エラーがなければ「Syntax OK」と表示されると思います。

Apacheの再起動

 最後に今回の変更内容を適用するためにApacheの再起動をして終わりです。

 問題なければSSL化されていると思います。

まとめ

 ということで、今回はさくらインターネットで取得ドメイン認証型SSL証明書をAWSのEC2(linux Apache)環境に導入する手順を備忘録も兼ねて紹介させていただきました。

 少しニッチなケースになるかもしれませんが、ご参考になれば。

 それでは今回はここまでまた!

お仕事のご相談・ご依頼
お気軽にお問い合わせください!

お仕事の依頼はこちら

シェアありがとうございます!

タグ
AWS

著者プロフィール

Takanori Hashi

東京、奄美大島、宮崎の3拠点生活をしたい30代のおじさん。仕事の傍、子育て&趣味に精を出す一児のパパ。普段はプログラム書いたりデザインしたりWeb関連のお仕事をしています。TwitterもInstagramも基本フォローバックするのでお気軽にフォローしてください!

人気記事

コメントを残す

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です