SSLならセクティゴ・コモドのEV・企業・ドメイン認証

1. Route 53でのTXTレコード自動設定 (Certbotプラグイン)

ACMEクライアントとして最も普及している「Certbot」を利用するのが一般的です。Certbotには、AWS Route 53と連携するための専用プラグインがあります。

コマンド実行例

# Ubuntuの場合
sudo apt-get update
sudo apt-get install certbot python3-certbot-dns-route53

# CentOSの場合
sudo yum install certbot python3-certbot-dns-route53

ドメイン認証タイプ取得のコマンド実行例

sudo certbot certonly \
--dns-route53 \
--dns-route53-propagation-seconds 60 \
-d "example.com" -d "*.example.com" \
--server https://acme.sectigo.com/v2/DV \
--eab-kid Sectigo Japanから提供されるEABのキーID \
--eab-hmac-key Sectigo Japanから提供されるEABのHMACキー

2. ELBへの証明書自動設定

Certbotは証明書の取得と更新は自動化できますが、取得した証明書をELBに自動的に適用する機能は標準ではありません。このプロセスは、Certbotの--deploy-hookを利用してスクリプトを呼び出すことで自動化します。

2.1. 必要なIAM権限

ELB(Application Load Balancer: ALB)のリスナーに証明書を適用するため、以下のIAM権限を持つIAMユーザー/ロールが必要です。

acm:ImportCertificate	証明書をAWS Certificate Manager (ACM)にインポートする権限
acm:ListCertificates	ACMにインポートされた証明書の一覧を取得する権限
elasticloadbalancing:SetCertificate または elasticloadbalancing:AddListenerCertificate	ELBリスナーに証明書を設定する権限

2.2. デプロイフックスクリプトの作成

Certbotが証明書を更新した際に実行されるデプロイフックスクリプトを作成します。このスクリプトは、新しい証明書をACMにインポートし、ALBのリスナーに適用する役割を担います。

Bashスクリプト例

#!/bin/bash

# ドメイン名
DOMAIN=example.com

# ALBのリスナーARN
LISTENER_ARN="arn:aws:elasticloadbalancing:ap-northeast-1:123456789012:listener/app/your-alb-name/abcdefg"

# 証明書ファイルのパス (Certbotによって設定される)
CERT_PATH="/etc/letsencrypt/live/$DOMAIN/fullchain.pem"
PRIVKEY_PATH="/etc/letsencrypt/live/$DOMAIN/privkey.pem"


# ACMに証明書をインポート
# 既存の証明書がある場合、それを更新するために事前にARNを取得する
CERT_ARN=$(aws acm list-certificates --query "CertificateSummaryList[?DomainName==`"$DOMAIN"`].CertificateArn" --output text)


if [ -z "$CERT_ARN" ]; then
echo "Importing new certificate to ACM..."
CERT_ARN=$(aws acm import-certificate \
--certificate file://$CERT_PATH \
--private-key file://$PRIVKEY_PATH \
--query CertificateArn --output text)
else
echo "Updating existing certificate in ACM with ARN: $CERT_ARN"
aws acm import-certificate \
--certificate file://$CERT_PATH \
--private-key file://$PRIVKEY_PATH \
--certificate-arn "$CERT_ARN"
fi

# 証明書が正しくインポートされたか確認
if [ -z "$CERT_ARN" ]; then
echo "Failed to import certificate to ACM."
exit 1
fi

echo "Certificate ARN: $CERT_ARN"

# ALBのリスナーに新しい証明書を適用
echo "Setting new certificate on ELB listener: $LISTENER_ARN"
aws elbv2 modify-listener \
--listener-arn "$LISTENER_ARN" \
--certificates CertificateArn="$CERT_ARN"

echo "Certificate update complete."

コマンド実行例

# 初回取得時
sudo certbot certonly \
--dns-route53 \
-d "example.com" -d "*.example.com" \
--server https://acme-v02.api.sectigo.com/directory \
--eab-kid Sectigo Japanから提供されるEABのキーID \
--eab-hmac-key Sectigo Japanから提供されるEABのHMACキー
--deploy-hook /path/to/your/deploy-hook.sh

CRON設定例

# cron.d に設定する場合の例
# 毎日午前3時に自動更新を試行
0 3 * * * root certbot renew --quiet --deploy-hook /path/to/your/deploy-hook.sh