狠狠撸

キャッチアップ社内勉強会（2016/08/10）
Lets Encryptについて話す

Let’s Encryptってなんなん？
? Let’s Encryptの概要
Let's Encrypt は、無料で利用できる自動化されていてオープンな認証局
（CA）です。公共の利益を図る目的で Internet Security Research Group
(ISRG) が運営しています。
Copyright Catchup, Inc. All Rights Reserved.
2

Internet Security Research Group ってなに？
Let's Encrypt を運営している Internet Security Research Group (略称：
ISRG) は、アメリカ合衆国カリフォルニア州にある公益法人で、アメリ
カ合衆国内国歳入法 Section 501(c)(3) による非課税法人として、アメリ
カ合衆国内国歳入庁 (IRS) による承認を受けています。
インターネットを介した安全な通信を行う際の、経済面?技術面?教育
面での障壁を減らすことが、ISRG の使命です。
ISRG は、誰もがより安全なインターネットがに興味を持つことで、公共
の利益のためのデジタル基盤を提供する取り組みを一緒に行うことを可
能にするという模範を示すことができると信じています。
非営利団体やフォーチュン100企業などの様々な組織からが ISRG をサ
ポートしています。スポンサーの一覧については Current Sponsors (英
文) をご覧ください。
3

Let's Encrypt の基本方針
1. 無料
ドメイン名を所持している人であれば、Let‘s Encrypt を使うことで、誰
でも信頼された証明書を無料で取得できます。
5

2. 運用自動化
ウェブサーバ上で動作しているソフトウェアが、面倒な手間無しに Let's
Encrypt から証明書を取得することができます。
これらの仕組みは、安全に構成されており、証明書の更新も自動化でき
ます。
6

3. 安全
Let‘s Encrypt は、認証局（CA）サイドとウェブサイト管理者の安全な
サーバ構築の補助の両面から、最先端の TLS を実装したプラットフォー
ムを提供します。
7

4. 透明性
証明書の発行と失効（revoke）は、公式に記録されます。
これらの記録は一般公開され、誰でも監査することができます。
8

5. オープン
証明書の自動発行?更新プロトコルは、不特定多数が採択可能なオープ
ン標準（Open Standard）として公表されています。
9

6. 助け合い?協力
Let's Encrypt は、下層のインターネット?プロトコルのようなコミュニ
ティの利益のための共同の取り組みであって、1つの組織によって統制さ
れているものではありません。
10

わかりやすくいうと？

何が出来るか
公開された技術による公益的かつ無料で安全なSSL証明書の提供。
12

公式サイトの翻訳サイト
https://letsencrypt.jp/ （引用元）
このページは、Let‘s Encrypt Frequently Asked Questions (FAQ) の全文を和訳（意訳）した上で、補足説
明などを加えたものです。詳しくは翻訳記事の出典と留意事項をご覧ください。
13

今回の構成
15
ユーザサイトwww
CentOS7
nginx
Apache
PHP
MariaDB

今回の構成
16
ユーザサイトwww
CentOS7
nginx
Apache
PHP
MariaDB
暗号化

SSL証明書発行の準備
sshログイン
yum install -y git openssl mod_ssl
cd /usr/local
git clone https://github.com/letsencrypt/letsencrypt
cd letsencrypt
./letsencrypt-auto --help –debug
以上で準備完了
17

発行する
sshログイン
./letsencrypt-auto certonly --standalone -d blog.gufii.net
18

OKOK
19

ん？
20

翻訳（ごんどう）
21
Let’sさん「nginxたらいうプロセス
id 24428で動いとるプログラムが
TCPポート80番つことるやんけ。
とめてやりなおせーや」

感想（ごんどう）
22
そういえば某掲示板のLet’s
Encryptスレで証明書の請求80番
ポートから動かせねーのかつって
議論してたな???

nginxを停止してやってみる
出来たっぽい＼(^o^)／
IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at
/etc/letsencrypt/live/blog.gufii.net/fullchain.pem. Your cert will
expire on 2016-11-08. To obtain a new or tweaked version of this
certificate in the future, simply run letsencrypt-auto again. To
non-interactively renew *all* of your certificates, run
“letsencrypt-auto renew”
- If you like Certbot, please consider supporting our work by:
※ 後で知りましたがwebrootモードを利用すると無停止で导入できます
23

設定を変更する
発行した証明書をnginxのconfに記述して再起動
server {
listen 443 default ssl;
server_name blog.gufii.net blog2.gufii.net;
root /var/www/blog.gufii.net/html;
index index.php index.php;
ssl on;
ssl_certificate /etc/letsencrypt/live/blog.gufii.net/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/blog.gufii.net/privkey.pem;
ssl_session_timeout 5m;
ssl_protocols TLSv1.2;
ssl_prefer_server_ciphers on;
location / {
#proxy_pass http://localhost:8080/;
proxy_pass http://backend;
#proxy_redirect default;
}
}
24

出来た！
25

自動更新
有効期間は90日間です。
自動的に更新されるようにしよう。
/usr/local/letsencrypt/letsencrypt-auto certonly --webroot --webroot-path
/var/www/blog.gufii.net/html --register-unsafely-without-email --renew-by-
default -d blog.gufii.net --agree-tos && systemctl restart nginx
26

サブドメイン 1000件で発行してみた
<?php
$command = "./letsencrypt-auto certonly --standalone ”;
foreach($i = 0; $i < 1000; $i++) {
$command .= "-d blog{$i}.gufii.net ”;
}
exec($command);
27

????
An unexpected error occurred:
There were too many requests of a given type :: Error creating new
authz :: Too many currently pending authorizations.
Please see the logfiles in /var/log/letsencrypt for more details.
怒られt
28

発行制限
公式に書いてました。
https://letsencrypt.org/docs/rate-limits/
?1証明書で100ドメインまで
?1週間に20証明書まで
１週間で最大2,000ドメインを対象とした証明書が発行できる。
※ ただし1IPアドレスから3時間で500ドメインまでだよ
翻訳間違ってたら誰かおしえてね
29

終了
また進捗ありましたら勉強会で共有します。

狠狠撸

Let's Encryptについて話す【勉強会資料】

More Related Content

Let's Encryptについて話す【勉強会資料】