無料SSL証明書「Let’s Encrypt」でワイルドカードSSL証明書を適用する

*.example.com というサブドメインを有するドメインを１つの証明書で運用できます。
* の部分が多くなる想定のドメインにおいて、SSL証明書の取得と維持管理のコストを下げることができます。

※ * は任意の文字列を指定可能。ただしドット（.）を含むことはできない。
※ 証明書の自動更新ができない場合があるのでご注意ください。（後述）

less /etc/redhat-release 
CentOS release 6.10 (Final)

certbot コマンドが入っていなかったので以下の手順にてインストールしました。
すでにインストール済みの場合、このセクションは読み飛ばしてください。

なお、yum でのインストール

# yum install certbot

では、エラーで入らなかったので、pip（pythonのパッケージ管理ツール）にてインストールしました。
※ yumでは下記のエラーで原因は不明。

• エラー内容

# yum install certbot

  :

パッケージ certbot は利用できません。
エラー: 何もしません

# yum install https://repo.ius.io/ius-release-el6.rpm
# yum install python36*
# yum install python-pip

# update db
# locate pip | less
  :
/opt/eff.org/certbot/venv/bin/pip
/opt/eff.org/certbot/venv/bin/pip3
/opt/eff.org/certbot/venv/bin/pip3.4
  :

# /opt/eff.org/certbot/venv/bin/pip install --upgrade pip

# /opt/eff.org/certbot/venv/bin/pip --version
pip 19.1.1 from /opt/eff.org/certbot/venv/lib64/python3.4/site-packages/pip (python 3.4)

# /opt/eff.org/certbot/venv/bin/pip install certbot

# locate certbot | less
  :
/opt/eff.org/certbot/venv/bin/certbot
  :

# cd /usr/bin
# ln -s /opt/eff.org/certbot/venv/bin/certbot certbot

# which certbot
/usr/bin/certbot

# certbot --version
certbot 1.0.0

# certbot certonly --manual \
--server https://acme-v02.api.letsencrypt.org/directory \
--preferred-challenges dns \
-d *.example.com -d example.com \
-m admin@example.com \
--agree-tos \
--manual-public-ip-logging-ok

※「*.example.com」「example.com」「admin@example.com」は適宜変更

上記コマンドを実行すると、以下のようにDNSのTXTレコードに値（トークン）を設定するように指示されます。
これは、ドメインの正規所有者であるか確認のためです。

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

xxxx-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

Before continuing, verify the record is deployed.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Press Enter to Continue

指示されたTXTレコードを設定し、反映されるまで待ちます。
今回は「お名前.com」で管理されているドメインだったため、「お名前.com」の管理画面からTXTレコードを登録しました。

登録後、以下のコマンドにて、TXTレコードが反映されたかを確認します。

• nslookup の場合

# nslookup -type=TXT _acme-challenge.example.com
  :
Non-authoritative answer:
_acme-challenge.example.com	text = "xxxx-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
  :

• dig の場合

# dig -t TXT _acme-challenge.example.com
  :
;; ANSWER SECTION:
_acme-challenge.example.com. 41 IN	TXT	"xxxx-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
  :

反映されたらターミナルに戻り、エンターキーを押下して続行します。
（このとき、ドメインの正規所有者であるか認証されます）

Press Enter to Continue
　→　【Enter】キーを押下

なお、エンターキーでの待機状態の時間が経ち過ぎると、認証に失敗するので、その場合はやり直します。
※ 認証失敗に備え、TXTレコードのTTLは短め（60sec位）の設定が推奨されます。

認証に成功すると、以下のように「Congratulations!」と表示され、生成された証明書等のパスが表示されます。

Waiting for verification...
Cleaning up challenges

  :

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/example.com/fullchain.pem

  :

証明書
/etc/letsencrypt/live/＜ドメイン名＞/cert.pem

証明書＋中間CA証明書
/etc/letsencrypt/live/＜ドメイン名＞/fullchain.pem

秘密鍵
/etc/letsencrypt/live/＜ドメイン名＞/privkey.pem

中間CA証明書
/etc/letsencrypt/live/＜ドメイン名＞/chain.pem

vhosts.conf

<VirtualHost *:443>
    ServerName example.com
    ServerAlias *.example.com

    DocumentRoot /path/to/www/htdocs

      :

    <Directory "/path/to/www/htdocs">

      :

    </Directory>

    # ssl certificate
    SSLCertificateFile /etc/letsencrypt/live/example.com/cert.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
    Include /etc/letsencrypt/options-ssl-apache.conf
    SSLCertificateChainFile /etc/letsencrypt/live/example.com/chain.pem

</VirtualHost>

• 上記は抜粋した箇所のみ

configtest して、問題なければリロードして反映

# /etc/init.d/httpd configtest
# /etc/init.d/httpd reload

ブラウザから

https://example.com
https://hoge.example.com
https://fuga.example.com

などにアクセスして、問題がないか確認します。

sub2.sub1.example.com

のようなホスト名が複数になるサブサブドメインは、今回の取得手順では有効ではありません。

sub2.sub1.example.com

に対して有効にしたい場合は、

sub1.example.com

に対するワイルドカード

*.sub1.example.com

の証明書を取得する必要があります。

ワイルドカードSSL証明の自動更新については、認証方式に「DNS-01方式」が利用されます。
そのため、API等が用意されている必要があり、以下等でドメイン管理されている必要があります。

• Route53（Amazon）
• Cloudflare
• MyDNS

それ以外の「お名前.com」や「ValueDomain」の場合は、手動更新しか手段がないようです（2020年8月現在）

なお、Cloudflare と MyDNS については、以下などを参考にしてください。

Cloudflare

• https://qiita.com/ooxif/items/99ad3c93d4d6862d45f0

MyDNS

• https://ideal-reality.com/computer/server/mydns-01/
  • https://kulog.org/pc/software/k6047/

関連エントリー：

• 無料SSL証明書「Let’s Encrypt」でサイトを HTTPS に対応する（Apache編）