FujiSSL-安心・安全の格安SSLサーバ証明書

• FujiSSL 管理ツールで ACME 契約（OV） を作成済み、以下4点を控える：
  ACMEサーバURL（例：ユーザごとに異なります）／ドメイン（FQDN）／EAB KID／EAB HMAC Key
• ゴール：fullchain.pem と key.pem を安全に配置し、自動更新まで動かす。

# 公式リリースから最新を取得（例：vX.Y.Z）
LEGO_VER=vX.Y.Z
curl -L -o /tmp/lego.tar.gz "https://github.com/go-acme/lego/releases/download/${LEGO_VER}/lego_${LEGO_VER#v}_linux_amd64.tar.gz"
sudo tar -C /usr/local/bin -xzf /tmp/lego.tar.gz lego
lego --version

/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
brew install lego
lego --version

• WSL：Ubuntu を導入して上記 Linux 手順でOK。
• ネイティブ：GitHub Releases の lego_windows_amd64.zip を展開し、lego.exe を PATH の通った場所へ配置。

# メールは通知用（失効/更新の連絡先）
lego --server 管理画面で取得したACMEサーバURL \
     --eab \
     --kid <EAB_KID> \
     --hmac <EAB_HMAC_KEY> \
     --email admin@example.com \
     --accept-tos \
     run --http --domains example.com
# ↑ ここでは一度 http チャレンジで run して「アカウント作成」を済ませるのが最短です。
#   以降の正式発行は別コマンドで行って構いません。

• HMAC Key の形式：FujiSSL の管理ツールに表示される EAB HMAC Key をそのまま指定します（base64 等への変換は不要です）。
• 作成されたアカウント情報は lego のワークディレクトリ（次章参照）に保存されます。

lego はカレントに .lego/ を作成します。運用では明示的に --path を固定しましょう。

/opt/lego/
  ├── certificates/
  │   ├── example.com.crt       （サーバ証明書）
  │   ├── example.com.issuer.crt（中間証明書）
  │   ├── example.com.json      （メタ）
  │   └── example.com.key       （秘密鍵）
  └── accounts/…                （ACMEアカウント）

# 例：/var/www/html がドキュメントルート
sudo lego --server 管理画面で取得したACMEサーバURL \
  --path /opt/lego \
  --eab --kid <EAB_KID> --hmac <EAB_HMAC_KEY> \
  --email admin@example.com \
  --http --http.webroot /var/www/html \
  --domains example.com --domains www.example.com \
  run

• 80/TCP を外部公開。CDN/リバプロ経由は /.well-known/acme-challenge/ を素通し・キャッシュ無効に。

sudo systemctl stop nginx apache2 httpd || true

sudo lego --server 管理画面で取得したACMEサーバURL \
  --path /opt/lego \
  --eab --kid <EAB_KID> --hmac <EAB_HMAC_KEY> \
  --email admin@example.com \
  --http \
  --domains example.com \
  run

sudo systemctl start nginx apache2 httpd || true

# 最小権限の API Token を用意（Zone.DNS:Edit）
export CLOUDFLARE_DNS_API_TOKEN=<CF_API_TOKEN>

sudo lego --server 管理画面で取得したACMEサーバURL \
  --path /opt/lego \
  --eab --kid <EAB_KID> --hmac <EAB_HMAC_KEY> \
  --email admin@example.com \
  --dns cloudflare \
  --domains example.com --domains *.example.com \
  run

• 環境変数名は CLOUDFLARE_DNS_API_TOKEN（もしくは旧来の CLOUDFLARE_API_TOKEN）。
• トークンはファイル600、root 管理。~/.bashrcへの平文保存は避け、systemd EnvironmentFile などで供給を推奨。

# awscli やIMDSで認証済みであること（route53:ChangeResourceRecordSets 権限）
export AWS_PROFILE=<profile>   # ロールなら不要

sudo lego --server 管理画面で取得したACMEサーバURL \
  --path /opt/lego \
  --eab --kid <EAB_KID> --hmac <EAB_HMAC_KEY> \
  --email admin@example.com \
  --dns route53 \
  --domains example.com --domains *.example.com \
  run

他のDNSプロバイダ：--dns にプロバイダ名（例：azure、dnspod、gcloud など）を指定し、legoの要求する環境変数を設定してください。

# lego 出力（/opt/lego/certificates）を本番パスへコピー
install -d -m 755 /etc/nginx/ssl
install -m 600 /opt/lego/certificates/example.com.key /etc/nginx/ssl/example.com.key
install -m 644 /opt/lego/certificates/example.com.crt /etc/nginx/ssl/example.com.fullchain.pem

# nginx.conf（例）
# ssl_certificate     /etc/nginx/ssl/example.com.fullchain.pem;
# ssl_certificate_key /etc/nginx/ssl/example.com.key;

systemctl reload nginx

install -d -m 755 /etc/ssl/{certs,private}
install -m 640 /opt/lego/certificates/example.com.key /etc/ssl/private/example.com.key
install -m 644 /opt/lego/certificates/example.com.crt /etc/ssl/certs/example.com.fullchain.pem
chgrp www-data /etc/ssl/private/example.com.key  # Debian系の例

# vhost（例）
# SSLCertificateFile      /etc/ssl/certs/example.com.fullchain.pem
# SSLCertificateKeyFile   /etc/ssl/private/example.com.key

systemctl reload apache2 || systemctl reload httpd

lego は renew を定期実行します。満了が近い証明書のみ更新されます。

cron 例（毎日 3:10）

sudo crontab -e
10 3 * * * lego --server 管理画面で取得したACMEサーバURL \
  --path /opt/lego \
  --email admin@example.com \
  --eab --kid <EAB_KID> --hmac <EAB_HMAC_KEY> \
  renew --days 30 --renew-hook "systemctl reload nginx || systemctl reload apache2"

systemd で環境変数を安全に渡す（例）

# /etc/systemd/system/lego-renew.service
[Unit]
Description=lego renew

[Service]
Type=oneshot
EnvironmentFile=/etc/lego/env   # EAB/TOKEN をここに（600）
ExecStart=/usr/local/bin/lego --server 管理画面で取得したACMEサーバURL --path /opt/lego --email admin@example.com --eab --kid %EAB_KID% --hmac %EAB_HMAC_KEY% renew --days 30 --renew-hook "systemctl reload nginx || systemctl reload apache2"

# /etc/systemd/system/lego-renew.timer
[Unit]
Description=Run lego renew daily

[Timer]
OnCalendar=03:10
Persistent=true

[Install]
WantedBy=timers.target

※ /etc/lego/env は 600 / root:root で保存し、平文でリポジトリに入れないこと。

• HTTP-01：対象 FQDN の A/AAAA が発行サーバに向いていること。/.well-known/acme-challenge/ をリダイレクト/キャッシュしない。
• DNS-01：_acme-challenge.<FQDN> に TXT。ワイルドカードは _acme-challenge.example.com。TTL は 60〜300 秒で運用。
• CAA を独自運用している場合のみ、使用 CA を許可（未設定なら作業不要）。
• 伝播確認：dig +short TXT _acme-challenge.example.com @8.8.8.8。

• HTTP-01 失敗：80/TCP 未開放、CDN がチャレンジをキャッシュ、リライトで別ドメインへ。→ 素通し・一時的に「DNS only」へ。
• DNS-01 失敗：TXT 値の余分な引用符/空白、委任ゾーンの編集漏れ。→ 伝播完了をパブリックDNSで確認。
• 権限エラー：設置先への書込/参照権限不足。秘密鍵は 600（Apache は 640 + chgrp）。
• 原因追跡：--verbose を付与し、lego の出力と権限/ファイアウォール/ログを確認。

# 例：詳細表示で再試行（HTTP-01 Webroot）
sudo lego --server 管理画面で取得したACMEサーバURL \
  --path /opt/lego \
  --eab --kid <EAB_KID> --hmac <EAB_HMAC_KEY> \
  --email admin@example.com \
  --http --http.webroot /var/www/html \
  --domains example.com --domains www.example.com \
  run --verbose

# 既存証明書の更新（即時）
lego --server 管理画面で取得したACMEサーバURL --path /opt/lego renew --days 90 --no-hook

# 単一ドメインだけ更新
lego --server 管理画面で取得したACMEサーバURL --path /opt/lego --domains example.com renew --days 30

# アカウント/証明書の場所表示
tree /opt/lego -L 2

# 失効（必要時のみ）
lego --server 管理画面で取得したACMEサーバURL --path /opt/lego revoke --cert /opt/lego/certificates/example.com.crt