メインコンテンツまでスキップ

設定例

本ページでは、よく使われる「ミドルウェア × 証明書フォーマット」の組み合わせについて、完全な設定例を提供します。各例には2つの部分が含まれます。サービス側の証明書マウント設定と、clmBot の config.yaml インストールポイント設定です。

例中のパスはすべてデモ用の値です。実際の環境のパスに置き換えてください。フィールドの意味については設定リファレンスを参照してください。

nginx + PEM​

サービス側の証明書設定​

nginx のサイト設定で ssl_certificate と ssl_certificate_key を使用して証明書をマウントします。

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate     /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;

    location / {
        root /usr/share/nginx/html;
    }
}
情報

nginx は ssl_certificate ファイルに完全な証明書チェーン（サイト証明書 + 中間証明書）が含まれていることを要求します。そのため、clmBot インストールポイントでは ca_path を空のままにしておくことをお勧めします。clmBot が完全な証明書チェーンを結合して cert_path に書き込みます。

clmBot インストールポイント設定​

servers:
  - id: nginx_pem
    sub_code: <证书订阅号>
    format:
      pem:
        cert_path: /etc/nginx/ssl/example.com.crt
        ca_path: ""
        key_path: /etc/nginx/ssl/example.com.key
    after_script: |
      nginx -t && nginx -s reload

Apache + PEM​

サーバー側証明書の設定​

Apacheサイト設定でSSLCertificateFileなどのディレクティブを使用して証明書をマウントします：

<VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLCertificateFile      /etc/httpd/ssl/example.com.crt
    SSLCertificateKeyFile   /etc/httpd/ssl/example.com.key
    SSLCertificateChainFile /etc/httpd/ssl/example.com.ca.crt
</VirtualHost>
情報
  • Apache 2.4.8 以降では、証明書チェーンを SSLCertificateFile ファイルに直接統合することも可能です。この場合、SSLCertificateChainFile は省略でき、clmBot インストールポイントの ca_path は空欄のままにします。
  • サービス名はディストリビューションに応じて選択します：RHEL/CentOS では httpd、Debian/Ubuntu では apache2 を使用します。

clmBot インストールポイント設定​

servers:
  - id: apache_pem
    sub_code: <证书订阅号>
    format:
      pem:
        cert_path: /etc/httpd/ssl/example.com.crt
        ca_path: /etc/httpd/ssl/example.com.ca.crt
        key_path: /etc/httpd/ssl/example.com.key
    after_script: |
      apachectl configtest && systemctl restart httpd.service

Tomcat + JKS​

サービス側の証明書設定​

Tomcat 8.5 以降のバージョンでは、conf/server.xml 内で SSLHostConfig を使用して JKS キーストアをマウントします：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="/opt/tomcat/conf/example.com.jks"
                     certificateKeystorePassword="<keystore密码>"
                     certificateKeyAlias="tomcat"
                     certificateKeyPassword="<私钥密码>"
                     type="RSA" />
    </SSLHostConfig>
</Connector>

clmBot インストールポイント設定​

servers:
  - id: tomcat_jks
    sub_code: <证书订阅号>
    format:
      jks:
        path: /opt/tomcat/conf/example.com.jks
        alias: tomcat
        key_pass: <私钥密码>
        store_pass: <keystore密码>
    after_script: |
      export JAVA_HOME=/usr/java
      /opt/tomcat/bin/shutdown.sh
      /opt/tomcat/bin/startup.sh
情報

Tomcatがsystemdによって管理されている場合、after_script は systemctl restart <tomcat 服务名> に簡略化できます。

Tomcat + PEM​

サーバー側証明書の設定​

Tomcat 8.5以降のバージョンでは、PEMファイルを直接使用でき、JKSへの変換は不要です：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeyFile="/opt/tomcat/ssl/example.com.key"
                     certificateFile="/opt/tomcat/ssl/example.com.crt"
                     certificateChainFile="/opt/tomcat/ssl/example.com.ca.crt"
                     type="RSA" />
    </SSLHostConfig>
</Connector>

clmBot インストールポイント設定​

servers:
  - id: tomcat_pem
    sub_code: <证书订阅号>
    format:
      pem:
        cert_path: /opt/tomcat/ssl/example.com.crt
        ca_path: /opt/tomcat/ssl/example.com.ca.crt
        key_path: /opt/tomcat/ssl/example.com.key
    after_script: |
      export JAVA_HOME=/usr/java
      /opt/tomcat/bin/shutdown.sh
      /opt/tomcat/bin/startup.sh

カスタムサービス + PFX​

単一ファイルの証明書パッケージ（PKCS#12）形式で証明書を使用するサービスに適しており、after_script ではスクリプトテンプレート変数を使用できます：

servers:
  - id: app_pfx
    sub_code: <证书订阅号>
    format:
      pfx:
        path: /opt/app/ssl/example.com.pfx
        key_pass: <PFX密码>
    after_script: |
      echo "certificate updated at {{ .DATETIME }}"
      /usr/bin/systemctl restart example-app.service

検証​

設定完了後、手動で更新を1回トリガーし、フロー全体を検証できます：

./clm-bot-linux-amd64 update-certificate

証明書ファイルが更新され、サービスが再読み込みされ、新しい証明書が有効になっていることを確認してから、証明書更新方式 に従って自動更新を設定します。

に最終更新