OracleLinux9.3　 Let’s Encrypt証明書を自動更新する方法

2024年7月20日

環境
OracleLinux9.3

1.登録前のテスト
以下の–dry-runオプションを使って自動更新をテストします。

# certbot renew --dry-run

2.Snap版certbotをインストールする
証明書自動更新機能がインストールされます
# systemctl list-timers | less

3.snap.certbot.renew.timer のユニットファイルを確認する

# vi /etc/systemd/system/snap.certbot.renew.timer

[Unit]
# Auto-generated, DO NOT EDIT
Description=Timer renew for snap application certbot.renew
Requires=var-lib-snapd-snap-certbot-3700.mount
After=var-lib-snapd-snap-certbot-3700.mount
X-Snappy=yes

[Timer]
Unit=snap.certbot.renew.service
OnCalendar=*-*-* 08:25
OnCalendar=*-*-* 21:27

[Install]
WantedBy=timers.target

上記設定によるとOnCalenderパラメータで指定されている
毎日8時25分と21時27分に更新を行います

4.snap.certbot.renew.serviceのユニットファイルを確認する

# vi /etc/systemd/system/snap.certbot.renew.service

[Unit]
# Auto-generated, DO NOT EDIT
Description=Service for snap application certbot.renew
Requires=var-lib-snapd-snap-certbot-3700.mount
Wants=network.target
After=var-lib-snapd-snap-certbot-3700.mount network.target snapd.apparmor.service
X-Snappy=yes

[Service]
EnvironmentFile=-/etc/environment
ExecStart=/usr/bin/snap run --timer="00:00~24:00/2" certbot.renew
SyslogIdentifier=certbot.renew
Restart=no
WorkingDirectory=/var/snap/certbot/3700
TimeoutStopSec=30
Type=oneshot

5.証明書を使用するWebサーバーの再起動は行われませんので、更新後に自動的に実行されるスクリプトを設定します
# vi /etc/letsencrypt/renewal-hooks/post/web_restart.sh
下記内容を記述

#!/bin/bash
systemctl reload httpd

# chmod 755 /etc/letsencrypt/renewal-hooks/post/web_restart.sh

6. mod_sslをインストールします

# dnf -y install mod_ssl

ssl.conf ファイルを編集します

# vi /etc/httpd/conf.d/ssl.conf

#43 行目 コメント解除して変更
DocumentRoot "/var/www/html/[FQDN]"

#44 行目 コメント解除して変更
ServerName [FQDN]:443

#85行目 コメントにしてその下に追加
# SSLCertificateFile /etc/pki/tls/certs/localhost.crt
SSLCertificateFile /etc/letsencrypt/live/[FQDN]/cert.pem

#93行目 コメントにしてその下に追加
# SSLCertificateKeyFile /etc/pki/tls/private/localhost.key
SSLCertificateKeyFile /etc/letsencrypt/live/[FQDN]/privkey.pem

#103行目 追加
SSLCertificateChainFile /etc/letsencrypt/live/[FQDN]/chain.pem

Apacheを再起動します
# systemctl restart httpd

Firewallでhttpsを許可する

# firewall-cmd --add-service=https --permanent
success
# firewall-cmd --reload
success

7.HTTP 通信を HTTPS へリダイレクトする
.htaccessを/var/www/html/[FQDN]/　配下に作成する
# vi /var/www/html/[FQDN]/.htaccess

.htaccessに以下の内容を記載する

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]