# TLS/SSL証明書の運用自動化【Let's Encrypt × Certbot × Nginx】

## 1. はじめに
TLS/SSL証明書の管理は、ウェブサイトのセキュリティを確保するために不可欠です。しかし、手動で証明書を更新する作業は手間がかかるだけでなく、更新忘れによる証明書の失効がセキュリティリスクを招くことがあります。その解決策として、無料で証明書を発行できるLet’s Encryptと、その自動化ツールであるCertbotを使用する方法があります。本記事では、Nginxサーバー環境でLet’s EncryptとCertbotを用いたTLS/SSL証明書の自動化について説明します。

## 2. 前提条件
- **Nginxがインストール済み**: 最小限の設定で起動していること。
- **ドメインが利用可能**: 公開されているドメインを所有し、Aレコードがサーバーに向けられていること。
- **シェルにアクセス権限がある**: サーバーの管理者権限が必要です。

## 3. Certbotのインストール
CertbotはLet’s Encryptの推奨するクライアントで、証明書の発行と更新を自動で行えます。

### 3.1 Certbotのインストール
CertbotはEPELリポジトリ経由でインストールできます。
![img](/mosaic-code.jpg)

## 4. 初回の証明書発行
初回の証明書発行は手動で行います。以下のコマンドを使用します。

### 4.1 証明書の取得
![img](/mosaic-code.jpg)
- `-d`オプションでドメイン名を指定します。ワイルドカードは対応していないので、サブドメインごとに指定が必要です。

### 4.2 Nginx設定の自動更新
Certbotは、Nginxの設定ファイルを自動で更新して、SSLが有効化された設定を作成してくれます。この過程で443ポートをリッスンし、証明書を使用する設定が追加されます。

## 5. 証明書の自動更新設定
Let’s Encryptの証明書は90日間有効です。Certbotを設定して、定期的に証明書を更新しましょう。

### 5.1 crontabの設定
Certbotは`renew`コマンドを使って証明書を更新可能です。通常、このプロセスを自動化するためにcrontabを設定します。
![img](/mosaic-code.jpg)

この設定により、証明書が失効する30日前から毎日2回更新が試みられ、成功するとNginxが再読み込みされます。

## 6. NginxのSSL設定詳細
NginxのSSL設定を確認して、最新のセキュリティ規範に従っているか確認し、必要な微調整を行います。

### 6.1 設定サンプル
![img](/mosaic-code.jpg)

## 7. まとめ
Let’s EncryptとCertbotを利用することで、Nginxサーバー上でSSL/TLS証明書の管理を自動化できます。この導入は、証明書の有効期限管理やセキュリティを向上させるだけでなく、SSL証明書の維持にかかる手間を大幅に軽減します。今後もセキュリティアップデートを欠かさず、適切に環境を整備することが重要です。 [cv:issue_marketplace_engineer]

# TLS/SSL証明書の運用自動化【Let's Encrypt × Certbot × Nginx】

## 1. はじめに
TLS/SSL証明書の管理は、ウェブサイトのセキュリティを確保するために不可欠です。しかし、手動で証明書を更新する作業は手間がかかるだけでなく、更新忘れによる証明書の失効がセキュリティリスクを招くことがあります。その解決策として、無料で証明書を発行できるLet’s Encryptと、その自動化ツールであるCertbotを使用する方法があります。本記事では、Nginxサーバー環境でLet’s EncryptとCertbotを用いたTLS/SSL証明書の自動化について説明します。

## 2. 前提条件
- **Nginxがインストール済み**: 最小限の設定で起動していること。
- **ドメインが利用可能**: 公開されているドメインを所有し、Aレコードがサーバーに向けられていること。
- **シェルにアクセス権限がある**: サーバーの管理者権限が必要です。

## 3. Certbotのインストール
CertbotはLet’s Encryptの推奨するクライアントで、証明書の発行と更新を自動で行えます。

### 3.1 Certbotのインストール
CertbotはEPELリポジトリ経由でインストールできます。
```bash
# CentOS/RHELの場合
$ sudo yum install epel-release
$ sudo yum install certbot python3-certbot-nginx

# Ubuntu/Debianの場合
$ sudo apt update
$ sudo apt install certbot python3-certbot-nginx
```

## 4. 初回の証明書発行
初回の証明書発行は手動で行います。以下のコマンドを使用します。

### 4.1 証明書の取得
```bash
$ sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com
```
- `-d`オプションでドメイン名を指定します。ワイルドカードは対応していないので、サブドメインごとに指定が必要です。

### 4.2 Nginx設定の自動更新
Certbotは、Nginxの設定ファイルを自動で更新して、SSLが有効化された設定を作成してくれます。この過程で443ポートをリッスンし、証明書を使用する設定が追加されます。

## 5. 証明書の自動更新設定
Let’s Encryptの証明書は90日間有効です。Certbotを設定して、定期的に証明書を更新しましょう。

### 5.1 crontabの設定
Certbotは`renew`コマンドを使って証明書を更新可能です。通常、このプロセスを自動化するためにcrontabを設定します。
```bash
$ sudo crontab -e
# 以下の行を追加して、1日2回更新を試みる
0 0,12 * * * certbot renew --nginx --post-hook "systemctl reload nginx"
```

この設定により、証明書が失効する30日前から毎日2回更新が試みられ、成功するとNginxが再読み込みされます。

## 6. NginxのSSL設定詳細
NginxのSSL設定を確認して、最新のセキュリティ規範に従っているか確認し、必要な微調整を行います。

### 6.1 設定サンプル
```nginx
server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    server_name yourdomain.com www.yourdomain.com;

    ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;
    
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;
    ssl_ciphers "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256";
}
```

## 7. まとめ
Let’s EncryptとCertbotを利用することで、Nginxサーバー上でSSL/TLS証明書の管理を自動化できます。この導入は、証明書の有効期限管理やセキュリティを向上させるだけでなく、SSL証明書の維持にかかる手間を大幅に軽減します。今後もセキュリティアップデートを欠かさず、適切に環境を整備することが重要です。 

TLS/SSL証明書の運用自動化【Let's Encrypt × Certbot × Nginx】

1. はじめに

続きを読むには単価診断を受けてください（30秒）