SSLならセクティゴ・コモドのEV・企業・ドメイン認証

TIP

Google Cloud Load Balancingは、Certbotが生成した証明書(自己管理型証明書)を直接自動更新する機能を持っていないため、証明書の更新とロードバランサへの適用を自動化するには、Certbotのフックスクリプトとgcloudコマンドを組み合わせる必要があります。

Bashでの実行コマンドサンプル

gcloud iam service-accounts create certbot-automation --display-name="Certbot Automation"

Bash

# Cloud DNS の権限を付与
gcloud projects add-iam-policy-binding YOUR_PROJECT_ID \
--member="serviceAccount:certbot-automation@YOUR_PROJECT_ID.iam.gserviceaccount.com" \
--role="roles/dns.admin"

# Cloud Load Balancing の権限を付与
gcloud projects add-iam-policy-binding YOUR_PROJECT_ID \
--member="serviceAccount:certbot-automation@YOUR_PROJECT_ID.iam.gserviceaccount.com" \
--role="roles/compute.admin" # 簡略化のため。本番環境では最小権限を推奨

Bash

gcloud iam service-accounts keys create ./certbot-key.json \
--iam-account="certbot-automation@YOUR_PROJECT_ID.iam.gserviceaccount.com"

Bash

certbot certonly \
--email your-email@example.com \
--dns-google \
--dns-google-credentials ./certbot-key.json \
--agree-tos \
--server https://acme.sectigo.com/v2/DV \
--domain example.com,www.example.com \
--non-interactive \
--deploy-hook /path/to/gcp-deploy-hook.sh

Bash

#!/bin/bash

# 環境変数から証明書、キー、チェインのパスを取得
CERT_PATH=$RENEWED_LINEAGE/fullchain.pem
KEY_PATH=$RENEWED_LINEAGE/privkey.pem
CERT_NAME="ssl-cert-$(date +%Y%m%d%H%M%S)"

# 1. 新しいSSL証明書をGCPにアップロード
gcloud compute ssl-certificates create $CERT_NAME \
--certificate-file=$CERT_PATH \
--private-key-file=$KEY_PATH \
--global

# 2. ターゲットHTTPSプロキシを更新
# ロードバランサのターゲットプロキシ名を指定してください
TARGET_PROXY_NAME="your-target-https-proxy"

# 既存の証明書を取得し、新しい証明書を追加
CURRENT_CERTS=$(gcloud compute target-https-proxies describe $TARGET_PROXY_NAME --global --format="value(sslCertificates)")

# 新しい証明書をリストの先頭に追加して更新
NEW_CERTS=$CERT_NAME,$CURRENT_CERTS

gcloud compute target-https-proxies update $TARGET_PROXY_NAME \
--ssl-certificates=$NEW_CERTS \
--global

# 3. 古い証明書をクリーンアップ
# 注: 古い証明書が使用中でないことを確認してから削除してください。
# ロードバランサが新しい証明書に切り替わるまでに時間差があるため、
# 即時削除は避けるべきです。
# 以下は、古い証明書を識別して削除するための例です。
OLD_CERT_NAME="your-old-cert-name" # 手動または別の方法で取得
gcloud compute ssl-certificates delete $OLD_CERT_NAME --global --quiet
スクリプトの解説
CERT_PATH, KEY_PATH: Certbotは更新された証明書とキーのパスをRENEWED_LINEAGE環境変数で提供します。スクリプト内でこの変数を活用します。

コード スニペット

0 0 * * * /usr/bin/certbot renew --quiet
このcronジョブは毎日深夜0時にcertbot renewコマンドを実行します。Certbotは証明書の有効期限が30日以内になった場合にのみ更新処理とフックスクリプトの実行を行います。