FujiSSL-安心・安全の格安SSLサーバ証明書

1. Certbot のインストール

Ubuntu 20.04/22.04/24.04（apt）

sudo apt update
sudo apt install -y certbot python3-certbot-apache python3-certbot-nginx
# Apache 利用時（必要な方のみ）:
# sudo apt install -y python3-certbot-apache
# NGINX 利用時（必要な方のみ）:
# sudo apt install -y python3-certbot-nginx

RHEL 8/9、CentOS Stream（dnf + EPEL）

sudo dnf install -y epel-release
sudo dnf install -y certbot python3-certbot-apache python3-certbot-nginx

Amazon Linux 2/2023（dnf / yum）

# 2023:
sudo dnf install -y certbot
# 2:
sudo yum install -y certbot
# ウェブサーバ連携プラグインは環境により提供状況が異なります。未提供なら「--standalone」や DNS-01 を利用してください。

macOS（Homebrew）

/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
brew install certbot

Windows（WSL 経由）

# WSL で Ubuntu を導入後、Ubuntu 手順（apt）を実施
wsl --install -d Ubuntu
# 再起動→Ubuntu 起動→「Ubuntu（apt）」の手順へ

2. FujiSSL ACME へのアカウント登録（EAB）

取得済みの EAB 情報を使って Certbot アカウントを作成します。

certbot register \
  --server 管理画面で取得したACMEサーバURL \
  --eab-kid <EAB_KID> \
  --eab-hmac-key <EAB_HMAC_KEY> \
  -m admin@example.com \
  --agree-tos --no-eff-email

3. 証明書の発行（HTTP-01 / DNS-01）

Apache に自動組み込み（HTTP-01）

sudo certbot --apache \
  --server 管理画面で取得したACMEサーバURL \
  -d example.com -d www.example.com

NGINX に自動組み込み（HTTP-01）

sudo certbot --nginx \
  --server 管理画面で取得したACMEサーバURL \
  -d example.com -d www.example.com

ウェブサーバ停止が可能な場合（standalone, HTTP-01）

# 80番ポートを certbot が一時占有
sudo systemctl stop apache2 nginx || true
sudo certbot certonly --standalone \
  --preferred-challenges http \
  --server 管理画面で取得したACMEサーバURL \
  -d example.com
sudo systemctl start apache2 nginx || true

ワイルドカード対応やCDN越しの環境（DNS-01）

一旦「手動DNS-01」で例示。運用はDNSプラグインの利用を推奨します。

certbot certonly \
  --manual --preferred-challenges dns \
  --server 管理画面で取得したACMEサーバURL \
  -d example.com -d *.example.com \
  -m admin@example.com --agree-tos --no-eff-email \
  --manual-public-ip-logging-ok

# Cloudflare 例
sudo apt install -y python3-certbot-dns-cloudflare
cat > ~/.secrets/cf.ini <<'EOF'
dns_cloudflare_api_token = <CF_API_TOKEN>
EOF
chmod 600 ~/.secrets/cf.ini

certbot certonly \
  --dns-cloudflare --dns-cloudflare-credentials ~/.secrets/cf.ini \
  --server 管理画面で取得したACMEサーバURL \
  -d example.com -d *.example.com

4. 取得ファイルの場所

5. 自動更新（renew）

sudo crontab -e
# 毎日 03:15 に更新チェック。成功時はサービスをリロード
15 3 * * * certbot renew --server 管理画面で取得したACMEサーバURL --deploy-hook "systemctl reload nginx || systemctl reload apache2"

systemctl list-timers | grep -i certbot
journalctl -u certbot.service -n 200 --no-pager

6. セキュリティとネットワーク

• EAB・APIトークンは 600 / root:root。リポジトリや共有に置かない。
• HTTP-01 は 80/TCP、HTTPS は 443/TCP を開放。
• SELinux 有効環境では httpd_can_network_connect や httpd_can_network_connect_db などの Booleans を確認。

7. トラブルシュート（要点）

# 詳細ログ
sudo certbot -v ...   # または --debug-challenges で検証

8. 次のステップ

• 運用ではDNS-01 の自動化（APIトークン最小権限＋0600）を推奨。
• 証明書配布先（ロードバランサ、アプリGW、メールサーバ等）へのデプロイフックを整備。
• 監視に有効期限チェックを追加（Nagios/Icinga/cron + OpenSSL など）。