Let’s Encryptの証明書の自動更新の手順（Apacheに適用した例で解説）

投稿日：2021年3月2日更新日：2021年4月3日

＜目次＞

(１) Let’s Encryptの証明書の自動更新の手順（Apacheに適用した例で解説）
　(１-１) Let’s Encriptで発行した証明書の期限について
　 (１-２) 自動化に必要なコマンド：renew
　(１-３) 自動化の仕組みと設定方法：cron
　(１-４) 更新が正常に行えたか？のチェック

(１) Let’s Encryptの証明書の自動更新の手順（Apacheに適用した例で解説）

(１-１) Let’s Encriptで発行した証明書の期限について

Let’s Encryptで発行した証明書は90日間有効ですが、万が一トラブルが起きた時のバッファも考慮して、60日程度での更新が推奨されています。そのため、証明書の状態をチェックして更新する処理を自動化する対応が望まれます。

＞目次にもどる

(１-２) 自動化に必要なコマンド：renew

certbotのrenewコマンドは現在インストールされている証明書をチェックし、有効期限が残り30日未満の場合は更新を行ってくれます。このrenewコマンドには「–dry-run」というオプションがあり、これにより更新のシミュレーションをする事ができます。

（コマンド）

$ sudo certbot renew --dry-run

（出力例）

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
new certificate deployed with reload of apache server; fullchain is
/etc/letsencrypt/live/tennis-database.com/fullchain.pem
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
 
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
** DRY RUN: simulating 'certbot renew' close to cert expiry
**          (The test certificates below have not been saved.)
 
Congratulations, all renewals succeeded. The following certs have been renewed:
  /etc/letsencrypt/live/tennis-database.com/fullchain.pem (success)
** DRY RUN: simulating 'certbot renew' close to cert expiry
**          (The test certificates above have not been saved.)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

（図１２１）

（参考）

もし複数のドメインを含んだ証明書の場合、ドメイン名は１つしか表示されませんが、実際の更新は全てのドメインに対して適用されます。

＞目次にもどる

(１-３) 自動化の仕組みと設定方法：cron

定期的な更新（renew）を自動化するための手段の一つとして、今回は「cron」を使った方法を見ていきます。renewは残り期限が30日未満の場合に更新を行うので、cronによる更新のトライは週次または日次で行っていくのが確実です（※EFFの推奨では１日に２回の更新トライを推奨しており、更に頻度が高い）。

①crontabを開く

定期的にスケジューリングされたタスクを計画するには「crontab」を編集します。viエディタ等を使って編集を行います（⇒viエディタの使い方）。私の環境下では「/etc/」直下にcrontabがあります。