2016年12月19日開催　「なぜ常時SSLなのか？いまからでも間に合うATS対策！」の資料となります。 https://idcf-seminar.connpass.com/event/46761/

1. IDC Frontier Inc. All rights reserved.
ATSでも使える！Let's Encrypt
で無料ではじめるSSL
なぜ常時SSLなのか？いまからでも間に合うATS対策！
株式会社IDCフロンティア
エバンジェリストグループ 神谷 拳四郎
2016/12/19

2. 2
IDC Frontier Inc. All rights reserved.
自己紹介
・静岡県三島市出身
・2016年4月入社（社会人1年目！）
・提案活動、セミナー対応
趣味：仮面ライダー バレーボール ロードバイク
週末は大体多摩川でサイクリング
カミヤ ケンシロウ
神谷 拳四郎

3. 3
IDC Frontier Inc. All rights reserved.
アジェンダ
・Let’s Encryptについて
・Let’s Encryptの導入手順
・導入時の注意点

4. 4
IDC Frontier Inc. All rights reserved.
Let’s Encryptについて

5. 5
IDC Frontier Inc. All rights reserved.
一般的な証明書
ドメイン数が増えればコストと手間も増大していく
コスト 手間
・発行/更新費用
・安くても年間1000円〜
・Webサーバーへの設定
・証明書の発行/更新作業
・CSR(証明書署名要求)の作成

6. 6
IDC Frontier Inc. All rights reserved.
Let’s Encryptなら
無料
コストがかからず、お手軽に
ATSの要件を満たした証明書が使える
証明書の取得・設定・更新
全て自動
コスト 手間

7. 7
IDC Frontier Inc. All rights reserved.
Let’s Encryptの導入手順

8. 8
IDC Frontier Inc. All rights reserved.
デモ環境
・IDCFクラウド(仮想マシン・ILB)
・CentOS 6.8 64bit
・Apache 2.2.15
https://letsencrypt.jp/usage/
Internet
ILB
…
その他のOSなど、対応状況は公式をご覧ください
WebWeb

9. 9
IDC Frontier Inc. All rights reserved.
導入の流れ
1.環境設定
2.インストール
3.証明書取得/設定
・Certbotクライアントの実行
・証明書の取得
・EPELリポジトリの有効
・Certbotクライアントのインストール
・ファイアウォールの設定
・DNSの設定

10. 10
IDC Frontier Inc. All rights reserved.
環境設定
ファイアウォールの設定
Let‘s Encrypt のサーバーから、WebサーバーのTCP Port 80 と TCP Port 443 に
接続することで、ドメイン所有者であることの認証が行われる
対象の仮想ルーターの
ファイアウォールに必ず設定
コメント ソースCIDR タイプ ポートレンジ
HTTP Anyを選択 (0.0.0.0/0) HTTPを選択 80
HTTPS Anyを選択 (0.0.0.0/0) HTTPSを選択 443

11. 11
IDC Frontier Inc. All rights reserved.
環境設定
DNSの設定
対象のマシンにドメイン名でアクセスできないと、証明書の作成に失敗する
あらかじめドメイン名のAレコードを設定する

12. 12
IDC Frontier Inc. All rights reserved.
EPELリポジトリの有効
#yum –y install epel-release
Certbotクライアントのインストール
#wget https://dl.eff.org/certbot-auto
#chmod a+x certbot-auto
#./certbot-auto
インストール

13. 13
IDC Frontier Inc. All rights reserved.
Certbotクライアントの実行
秘密鍵・公開鍵・署名リクエスト（CSR）の作成はCertbotクライアントで行う
#./certbot-auto
TUIが表示され、対話的に設定が可能に
証明書取得/設定

14. 14
IDC Frontier Inc. All rights reserved.
証明書取得/設定
対象のドメイン名の設定
SSL/TLS サーバ証明書の取得を希望するドメイン名を指定
・ドメイン名の入力
・＜了解＞で次のステップへ

15. 15
IDC Frontier Inc. All rights reserved.
証明書取得/設定
・メールアドレスの入力
・＜了解＞で次のステップへ
メールアドレスの設定
鍵を紛失したときの復旧、証明書の有効期限が近付いた場合などの通知に使用

16. 16
IDC Frontier Inc. All rights reserved.
証明書取得/設定
・確認して問題なければ、
＜Agree＞で次のステップへ
利用規約の同意

17. 17
IDC Frontier Inc. All rights reserved.
証明書取得/設定
・＜Select＞で次のステップへ
Apacheの設定ファイルの確認
Certbotが自動で設定する

18. 18
IDC Frontier Inc. All rights reserved.
証明書取得/設定
Easy :HTTPとHTTPSどちらも許可
Secure :HTTPSのみ許可
ここではEasyを選択し<OK>
通信プロトコルの設定

19. 19
IDC Frontier Inc. All rights reserved.
証明書取得/設定
・＜了解＞で次のステップへ
証明書取得完了

20. 20
IDC Frontier Inc. All rights reserved.
証明書取得/設定
証明書の取得完了
CLIに切り替わり、証明書情報が表示される
IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at
/etc/letsencrypt/live/ats.kenshiroh.sa.egg.jp/fullchain.pem. Your
cert will expire on 2017-03-15. To obtain a new or tweaked version
of this certificate in the future, simply run certbot-auto again
with the "certonly" option. To non-interactively renew *all* of
your certificates, run "certbot-auto renew"
- If you like Certbot, please consider supporting our work by:
証明書のパス
証明書の期限

21. 21
IDC Frontier Inc. All rights reserved.
証明書取得/設定
ILBへの証明書登録
/etc/letsencrypt/archive/ドメイン名
/privkey.pem
/etc/letsencrypt/archive/ドメイン名
/cert.pem
/etc/letsencrypt/archive/ドメイン名
/chain.pem
各ディレクトリにある証明書を登録

22. 22
IDC Frontier Inc. All rights reserved.
コンテンツキャッシュでも
同様の手順で登録できます
証明書取得/設定

23. 23
IDC Frontier Inc. All rights reserved.
導入時の注意

24. 24
IDC Frontier Inc. All rights reserved.
導入時の注意点
・デフォルトではECDHE-RSAで証明書が作成される
-ECDHE-ECDSA証明書の作成はCSRを作成する必要あり
・ILBの証明書の更新は手動で行う必要がある
-Let’s Encryptの証明書の期限は90日と短めなので注意

25. 25
IDC Frontier Inc. All rights reserved.