Let's Encrypt ワイルドカード certbot-dns-route53 設定手順 CentOS7

      2018/03/30

Let's Encryptのワイルドカード利用が開始されました。
https://letsencrypt.jp/blog/2018-03-14.html

ワイルドカード指定＋Route53の自動更新手順をまとめてみます。
あくまで当方の環境に合わせたメモレベルです。

環境

  • EC2 (CentOS7)
  • Nginx (1.12.2)
  • pip (python 3.7)
  • DNSサーバー (Route53)

１．Linux > certbotインストール

下記のURLからインストール手順を表示する。
https://certbot.eff.org/


以下抜粋。

yum -y install yum-utils
yum-config-manager --enable rhui-REGION-rhel-server-extras rhui-REGION-rhel-server-optional
sudo yum install certbot-nginx

 

２．Route53 > DNS-01チャレンジでワイルドカードが取得できるか確認する

certbot certonly --manual -d example.net -d *.example.net --preferred-challenges dns-01 --server https://acme-v02.api.letsencrypt.org/directory -m yourmail@mail.com

～中略～

-------------------------------------------------------------------------------
Please deploy a DNS TXT record under the name
_acme-challenge.example.net with the following value:

JG1t16hnucN1Vkpozvzz4w3WtbEahguVtmRRiybfuzQ

Before continuing, verify the record is deployed.
-------------------------------------------------------------------------------
Press Enter to Continue

このメッセージがでたら、Route53で、TXTレコードを作成する。
ただし、すぐにはDNS反映されないので、
nslookupでTXTレコードの内容が上記と同じになっていることを確認する。
※「-d example.net -d *.example.net」の2つドメインを指定しているので、
メッセージは2回表示され、TXTレコードも2回作成します。

＞ Windowsコマンドプロンプト

nslookup -q=txt _acme-challenge.example.net

サーバー: UnKnown
Address: xxx.xxx.xxx.xxx

権限のない回答: _acme-challenge.example.net text =
"JG1t16hnucN1Vkpozvzz4w3WtbEahguVtmRRiybfuzQ"

 

３．AWS ＞ IAM Management Console で、実行ユーザーとポリシーを作成

以下画面イメージで手順説明。
＞3.1. ユーザーを追加

＞3.2. ユーザー名を入力、アクセスの種類の「プログラムによるアクセス」にチェック

＞3.3. ユーザーのアクセス権限を設定と確認

＞3.4. ユーザー作成完了後、「アクセスキーID」と「シークレットアクセスキー」をメモしておく。

＞3.5. Route53で、対象ドメインの「Hosted Zone ID」をメモしておく

＞3.6. ポリシーコマンドのサンプルを取得

下記のURLから、サンプルコードを取得し、赤枠のソースを取得し、「３．５．」でメモしたIDに書き換えておく
https://certbot-dns-route53.readthedocs.io/en/latest/index.html#module-certbot_dns_route53

＞3.7. IAM Management Consoleへ戻り、ポリシーを作成

※この時「Review policy」を押下すると上記のように検証エラーになります。
「管理ポリシーのインポート」を設定します。

管理ポリシーをインポートしましたが、すべて必要ではないので、下記のように書き換えます。
なお、「Hosted Zone ID」は、マスクしています。
また、ID行があるとエラーになった為、削除しています。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "route53:ListHostedZones",
                "route53:GetChange"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "route53:ChangeResourceRecordSets"
            ],
            "Resource": [
                "arn:aws:route53:::hostedzone/xxxxxxxxxxxxxx"
            ]
        }
    ]
}

 

＞3.8. ポリシー名を設定し、作成する

＞3.9. ポリシーに「3.4.」で作成ユーザーをアタッチする

 

４．Linux ＞ certbot-dns-route53 プラグインをインストールする


pip install certbot-dns-route53

 

５．Linux ＞ certbot に certbot-dns-route53 を使う設定をする


mkdir ~/.aws
vi ~/.aws/config
---------------------------
[default]
aws_access_key_id=#「3.4.」で作成したAMIユーザーのアクセスキーID
aws_secret_access_key=#「3.4.」で作成したAMIユーザーのシークレットアクセスキーID
---------------------------

#certbotに認証の種類を登録する。（登録だけでキーは使わない）
#内容がちょっと違っているかもしれない・・・。
[root@example.net ~]# certbot -i nginx
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Starting new HTTP connection (1): xxx.xxx.xxx.xxx (<-接続クライアントのグローバルIP)

How would you like to authenticate with the ACME CA?
-------------------------------------------------------------------------------
1: Obtain certificates using a DNS TXT record (if you are using AWS Route53 for
DNS). (dns-route53)
2: Nginx Web Server plugin - Alpha (nginx)
3: Spin up a temporary webserver (standalone)
4: Place files in webroot directory (webroot)
-------------------------------------------------------------------------------
Select the appropriate number [1-4] then [enter] (press 'c' to cancel): 1
Plugins selected: Authenticator dns-route53, Installer nginx
Enter email address (used for urgent renewal and security notices) (Enter 'c' to
cancel): youraddress@mail.com
Starting new HTTPS connection (1): acme-v01.api.letsencrypt.org

-------------------------------------------------------------------------------
Please read the Terms of Service at
https://letsencrypt.org/documents/LE-SA-v1.2-November-15-2017.pdf. You must
agree in order to register with the ACME server at
https://acme-v01.api.letsencrypt.org/directory
-------------------------------------------------------------------------------
(A)gree/(C)ancel: a

-------------------------------------------------------------------------------
Would you be willing to share your email address with the Electronic Frontier
Foundation, a founding partner of the Let's Encrypt project and the non-profit
organization that develops Certbot? We'd like to send you email about EFF and
our work to encrypt the web, protect its users and defend digital rights.
-------------------------------------------------------------------------------
(Y)es/(N)o: y
Starting new HTTPS connection (1): supporters.eff.org

Which names would you like to activate HTTPS for?
-------------------------------------------------------------------------------
1: example.net
2: ml.example.net
-------------------------------------------------------------------------------
Select the appropriate numbers separated by commas and/or spaces, or leave input
blank to select all options shown (Enter 'c' to cancel):
Obtaining a new certificate
Performing the following challenges:
dns-01 challenge for example.net
dns-01 challenge for ml.example.net
Cleaning up challenges
Unable to locate credentials
To use certbot-dns-route53, configure credentials as described at https://boto3.readthedocs.io/en/la
test/guide/configuration.html#best-practices-for-configuring-credentials and add the necessary permi
ssions for Route53 access.

IMPORTANT NOTES:
- Your account credentials have been saved in your Certbot
configuration directory at /etc/letsencrypt. You should make a
secure backup of this folder now. This configuration directory will
also contain certificates and private keys obtained by Certbot so
making regular backups of this folder is ideal.

 

６．Linux ＞ certbot に ワイルドカードドメイン、RSA-4096bitで正式設定

#上記の更新方法を基に、ワイルドカード指定とRSA-4096bitに設定して再度取得する
[root@example.net ~]# certbot certonly --dns-route53 --force-renew --rsa-key-size 4096 -d example.net -d *.example.net --server https://acme-v02.api.letsencrypt.org/directory
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Credentials found in config file: ~/.aws/config
Plugins selected: Authenticator dns-route53, Installer None
Starting new HTTPS connection (1): acme-v02.api.letsencrypt.org
Renewing an existing certificate
Performing the following challenges:
dns-01 challenge for example.net
dns-01 challenge for example.net
Starting new HTTPS connection (1): route53.amazonaws.com
Waiting 10 seconds for DNS changes to propagate
Waiting for verification...
Cleaning up challenges
Resetting dropped connection: route53.amazonaws.com

IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at:
/etc/letsencrypt/live/example.net/fullchain.pem
Your key file has been saved at:
/etc/letsencrypt/live/example.net/privkey.pem
Your cert will expire on 2018-xx-xx. To obtain a new or tweaked
version of this certificate in the future, simply run certbot
again. To non-interactively renew *all* of your certificates, run
"certbot renew"
- If you like Certbot, please consider supporting our work by:

Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
Donating to EFF: https://eff.org/donate-le

 

７．証明書のワイルドカード確認

下記のURLで詳細確認ができます。
ワイルドカードを含んだドメインが表示されていることを確認出来ればOKです。

https://www.ssllabs.com/ssltest/index.html

 

８．Linux ＞ 自動更新の設定

cronなどで上記の同じコマンド、または、「certbot renew」を登録する。

１か月くらいで自動更新するのがよいと思われます。

更新後に、Webサーバーをrestart か、reloadする必要があります。

 

 - AWS, Linux, サーバー, セキュリティー