Ubuntu20のHTTPS化、certbotのエラーが消えない

Ubuntu20.04 LTS、Nginx、DjangoのHTTPS化で、certbot-autoを使うためにはpython-virtualenvが必要ですがインストールできません。そこでpython3-certbot-nginxを使いました。

なお、サイトのHTTPS化において必要なSSL証明書の発行は無料のものと有料のものがあります。この記事では無料のSSL証明書を扱っているLet'EncryptでSSL証明書を発行します。

無料の認証局Let'Encryptでは独自ドメインをHTTPS化することはできますが、IPアドレスのHTTPS化はできないので注意して下さい。

1.サブドメインをHTTPS化できるのか

私がHTTPS化したのはVPSサーバーのドメインですが、このVPSサーバーのドメインは別のレンタルサーバーで使用しているドメインのサブドメインです。

メインのドメインとサブドメインを別のサーバーで扱い、そのサブドメインをHTTPS化できるのかどうか不安でしたが、特に問題なくHTTPS化することができました。

2.python-virtualenvがインストールできない

ただ、HTTPS化を実行するにあたり、python-virtualenvがインストールできず苦労しました。おそらくUbuntu20.04 LTSとの相性の問題だと思うのですが、手順にミスがあるのかもしれません。

そこで、最初にうまくいかなかった手順を失敗例として簡単に紹介したいと思います。失敗例ではありますが「standaloneモード」と「webrootモード」については知っておいた方がよいと思いますので、ざっと目を通してください。

(1) cerbotのインストール

私は最初にcertbotをインストールしました。certbotのインストール先は、以下2行目の「git clone・・・」を実行するときのカレントディレクトリです。

なお、一般的にユーザーのみで使用するアプリケーションは「/home/user_name/」にインストールし、全ユーザーで共有するアプリケーションは「/usr/local/」にインストールするため、/usr/local/にインストールしました。

cd /usr/local
sudo git clone https://github.com/certbot/certbot

(2) Nginxの設定

Nginxの設定をする前に、certbotのstandaloneモードとwebrootモードの説明をします。

webrootモードでは、SSL証明書を発行するときにNginxなどのWebサーバーを利用します。したがって、NginxなどのWebサーバーが起動し、更にHTTPS化するドメインが利用可能な状態である必要があります。

それに対して、standaloneモードではNginxなどのWebサーバーの代わりに、cerbotがSSL発行用に用意した仮のWebサーバーを一時的に利用します。この一時的なwebサーバーは80番ポートを利用するために、webrootモードの時とは逆にNginxなどのwebサーバ-を停止させておかなければなりません。

従って、Nginxを使用しないstandaloneモードは、Nginxの設定をする必要がないため手順が簡単なのが長所です。一方、作業の間はWebサーバーを停止しなければならない点が欠点です。その間は自分のサイトにアクセスできなくなるので、運用中のサイトを停止する必要があります。

私の場合は新規のサイトなのでstandaloneモードでも良かったのですが、設定の練習のためにwebrootモードで実行することにしました。

さて、webrootモードを使用する最初の手順として、Nginxの設定ファイルの中でワンタイムトークンの保存場所を指定する必要があります。例えば私の環境では設定ファイルは「/etc/nginx/sites-available/」に保存しました。

なお、ワンタイムトークンとは使い捨ての乱数であり、Let's EncryptがSSL証明書を発行するときにサーバーやドメイン所有者の識別に使用します。

以下のように、6~7行目を追加することで、certbotコマンドを実行するときにドキュメントルートにディレクトリ「/.well-known/acme-challenge/」が自動で作られ、その中にワンタイムトークンが保存されます。

server {
    ・・・
    root /usr/share/nginx/html;  #ドキュメントルート
    ・・・
    #SSL証明書発行のためのワンタイムトークンの保存場所
    location /.well-known/acme-challenge {
    }
    ・・・
}

設定を変更したら忘れずにreloadします。

$ sudo systemctl reload nginx.service

以上でNginxの設定は終了です。

(3) python-virtualenvがインストールできない

ここからが、うまくいかなかったのですが、certbot-autoを実行するにはpython-virtualenvをインストールする必要があります。しかし、以下のようなエラーが発生してインストールできませんでした。

sudo apt -y install python-virtualenv
Reading package lists... Done
Building dependency tree       
Reading state information... Done
Package python-virtualenv is not available, but is referred to by another package.
This may mean that the package is missing, has been obsoleted, or
is only available from another source

E: Package 'python-virtualenv' has no installation candidate

そこで、python-virtualenvをインストールせずに、以下のコードの実行を試みましたが同じエラーが発生してcertbot-autoが実行できませんでした。

sudo /usr/local/certbot/certbot-auto --webroot -w /usr/share/nginx/html -d ドメイン名 -m メールアドレス  --agree-tos
E: Package 'python-virtualenv' has no installation candidate

以上で失敗例の報告は終了です。

他にも「python-certbot-nginx」をインストールする方法も試しましたが、以下の5行目でエラーが発生しました。

$ sudo apt update
$ sudo apt-get install software-properties-common
$ sudo add-apt-repository ppa:certbot/certbot
$ sudo apt update
$ sudo apt install python-certbot-nginx 

この後で説明する「python3-certbot-nginx」はpythonの後ろに3がついていますが、上記のコードは「python-certbot-nginx」ですので、注意して下さい。

3.python3-certbot-nginxを使用した認証

エラーを打開するためにpython3-certbot-nginxを使用してHTTPS化し、今度は成功しました。

python3-certbot-nginxは、Nginxを使用することを前提とするパッケージであり、必要な設定をほとんど自動で行ってくれます。したがって、先ほどの失敗例の手順のようにワンタイムトークンの保存先を指定する必要はありません。

ただ、Nginxを使う事を前提としたパッケージであるため、Nginxがインストールされており、更にHTTPS化したいドメインが使用可能な状態である必要はあります。

(1) Nginxの設定の確認

念のためNginxが正しく設定されているかどうかを「nginx -t」で確認してみましょう。

$ sudo nginx -t

Nginxの設定に問題なければ以下のように表示されます。

$ nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
$ nginx: configuration file /etc/nginx/nginx.conf test is successful

(2) ファイアウォールの設定

ファイアウォールの設定により80番、443番のポートを解放してください。80番はhttp、443はhttpsで使用するポート番号です。

なお、ファイアウォールの設定は以下の記事を参考にしてください。

ConoHa VPSにUbuntu。ufwでファイアウォール。

(3) python3-cerbot-nginxのインストール

python3-cerbot-nginxをインストールします。公式のリポジトリであり、PPA(Personal Package Archive)を使用しなくてもすぐにインストール可能です。また、「python3-certbot-nginx」だけインストールすればよく、「certbot」のインストールは不要です。

$ sudo apt update
$ sudo apt install python3-certbot-nginx

では、いよいよ、certbotによりドメインをHTTPS化します。なお、certbotファイルはディレクトリ「/bin/」にインストールされています。

「-d ドメイン名」は、https化したいドメイン名を指定します。サブドメインをhttps化したいばあいには、ドメイン名の部分にサブドメインを記述します。

「-m メールアドレス」は、登録するメールアドレスを指定します。このオプションがない場合、インストール中に聞かれるので先に書いておきましょう。

「--agree-tos」を付けるとLet's Encrypteの規約に同意済みとして処理を進めます。規約を読みたい場合にはこのオプションは付けません。

sudo certbot --nginx -d ドメイン名 -m メールアドレス  --agree-tos

複数のドメインをHTTPS化したい場合には、以下のように指定します。

sudo certbot --nginx -d ドメイン名1 -d ドメイン名2 -m メールアドレス  --agree-tos

インストールを開始すると、メールアドレスを公開してもよいか聞かれるので、嫌な場合には「n」とします。

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Would you be willing to share your email address with the Electronic Frontier
Foundation, a founding partner of the Let's Encrypt project and the non-profit
organization that develops Certbot? We'd like to send you email about our work
encrypting the web, EFF news, campaigns, and ways to support digital freedom.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(Y)es/(N)o: 

「http://ドメイン名/」でアクセスした場合に「https://ドメイン名/」にリダイレクトしない場合には「1」、リダイレクトする場合には「2」を選びます。基本的には「2」を選択することになるのではないでしょうか。

Please choose whether or not to redirect HTTP traffic to HTTPS, removing HTTP access.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
1: No redirect - Make no further changes to the webserver configuration.
2: Redirect - Make all requests redirect to secure HTTPS access. Choose this for
new sites, or if you're confident your site works on HTTPS. You can undo this
change by editing your web server's configuration.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Select the appropriate number [1-2] then [enter] (press 'c' to cancel): 2

認証が成功すると、認証関係のファイルの保存場所が表示されます。

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/【ドメイン名】/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/【ドメイン名】/privkey.pem
   Your cert will expire on 2020-08-18. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot again
   with the "certonly" option. To non-interactively renew *all* of
   your certificates, run "certbot renew"
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

(4) Nginxの設定ファイルが自動で更新される

「python3-certbot-nginx」を使った場合にはNginxの設定ファイルが自動で更新されます。自動更新された行の後ろには「# managed by Certbot」の記述が付加されるので、変更部分が一目でわかります。認証関係のファイルの保存先などが設定されています。

server {
    server_name 【ドメイン名】;
    root /usr/share/nginx/html;
    ・・・
    ・・・
    listen 443 ssl; # managed by Certbot
    ssl_certificate /etc/letsencrypt/live/【ドメイン名】/fullchain.pem; # managed by Certbot
    ssl_certificate_key /etc/letsencrypt/live/【ドメイン名】/privkey.pem; # managed by Certbot
    include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot

}

以下の「# managed by Certbot」部分も自動追加された部分です。以下の設定により、「http://ドメイン名/」にアクセスしても「https://ドメイン名/」にリダイレクトされます。

server {
    if ($host = 【ドメイン名】) {
        return 301 https://$host$request_uri;
    } # managed by Certbot

	listen 80;
	server_name 【ドメイン名】;
        root /usr/share/nginx/html;
        return 404; # managed by Certbot
}

では、更新のテストを行ってみましょう。「--dry-run」はテスト用オプションですので、実際の更新は行われません。

sudo certbot renew --dry-run

成功すると、以下のような注意事項が最後に表示されます。注意事項では証明書と秘密鍵が含まれるフォルダの定期的なバックアップを勧めています。

IMPORTANT NOTES:
 - Your account credentials have been saved in your Certbot
   configuration directory at /etc/letsencrypt. You should make a
   secure backup of this folder now. This configuration directory will
   also contain certificates and private keys obtained by Certbot so
   making regular backups of this folder is ideal.

4.認証ファイルの更新

Let's EncryptのSSL証明書の有効期限は90日であるため、証明書を定期的に更新する必要があります。これは、cronにコマンドを登録することにより自動化できます。しかし、python-certbot-nginxを使用した場合は、定期更新のための設定ファイルが自動で作成されるため、自分で設定する必要はありません。

どのような設定になっているかを確認するために以下のコマンドを実行してみましょう。

sudo systemctl status certbot.timer

内容を確認すると以下の様に表示されます。

● certbot.timer - Run certbot twice daily
     Loaded: loaded (/lib/systemd/system/certbot.timer; enabled; vendor preset: enabled)
     Active: active (waiting) since Tue 2020-12-08 22:20:30 JST; 54min ago
    Trigger: Wed 2020-12-09 06:34:19 JST; 7h left
   Triggers: ● certbot.service

実はcronの設定ファイルは、ディレクトリ「/etc/cron.d/」に保存されているファイル「certbot」です。エディタでファイルの内容を確認すると以下のように記述されていました。

0 */12 * * * root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(43200))' && certbot -q renew

以上でHTTPS化の設定は完了し、自動更新の設定の確認も終了しました。

5.(参考)自分で更新の設定を行う場合

参考までに自分で自動更新の設定ファイルを記述する方法を紹介します。

(1) crontabによる設定

cronの設定ファイルはエディタで直接作成することもできますが、ユーザー用の自動更新ファイルを作成するにはcrontabを実行する方法が楽です。

「crontab -e」を実行すると、以下のような画面が表示されます。設定ファイルを編集するエディタを選択するように求められますので、お好みのエディタを1~4の番号で指定します。

$ crontab -e
no crontab for user_name - using an empty one

Select an editor.  To change later, run 'select-editor'.
  1. /bin/nano        <---- easiest
  2. /usr/bin/vim.basic
  3. /usr/bin/vim.tiny
  4. /bin/ed

Choose 1-4 [1]: 

このエディタで編集したファイルは、ディレクトリ「/var/spool/cron/crontabs/」の中に、ファイル名が「ユーザー名」のファイルとして保存されます。

設定ファイルには、例えば以下のような内容を記述します。

00 04 01 * * /bin/certbot renew -q --webroot-path /usr/share/nginx/html --post-hook "systemctl reload nginx.service"

なお、ユーザーの設定ファイルではなくシステムの設定ファイルの場合は、例えば以下のコードの「root」のようにユーザー名を指定する必要があります。設定方法を区別するようにしましょう。

00 04 01 * * root /bin/certbot renew -q --webroot-path /usr/share/nginx/html --post-hook "systemctl reload nginx.service"

(2) cronの主なコマンド

cronの主なコマンドは以下の通りです。2通りの記述方法があります。

$ sudo systemctl start cron  #cronの起動
$ sudo systemctl status cron  #cronのステータス確認
$ sudo systemctl stop cron  #cronの停止
$ sudo service cron start #cronの起動
$ sudo service cron status #cronのステータス確認
$ sudo service cron stop #cronの停止

私が実際にレンタルしたVPSサーバー

私が実際にレンタルしたVPSサーバーはConoHa VPSです。私は1GBのプランを申し込みました。VPSサーバーは一般のレンタルサーバーと異なりOSやアプリケーションを自由に設定できるので、Pythonで計算した結果をサイトに表示することもできます。

なお、ConoHa VPSの特長として、サーバーのディスクイメージを丸ごとバックアップできるイメージ保存機能を無料で使用することができます。コードを変更して元に戻せなくなった場合にも安心です。

また、ConoHa VPSは途中でプランをスケールアップできるだけでなく、スケールダウンすることもできます。つまり、2Gプランを1Gプランに変更することができます。ただし、512MBプランだけはスケールアップ・ダウン機能が使用できないので注意してください。

また、初期費用なしで3日だけ借り、3日分の費用だけ払うといったことも可能なので気軽に始められます。※時間課金(月の上限額は決まっています)

私からの友達紹介でクーポンをゲット

なお、以下のリンクから入ると、私からの友達紹介の扱いとなり1000円分のクーポンが支給されます。リンク先には「友達紹介」といった表記がないので「友達紹介」が適用されているのか不安になりますが、登録終了後にユーザーTop画面から支給されたクーポン1000円を確認できます。

[ Conohaの友達紹介 ]

その他

Twitterへのリンクです。SNSもはじめました♪

以下、私が光回線を導入した時の記事一覧です。
 (1) 2020年「光回線は値段で選ぶ」では後悔する ←宅内工事の状況も説明しています。
 (2) NURO光の開通までWiFiルーターを格安レンタルできる
 (3) NURO光の屋外工事の状況をご紹介。その日に開通!
 (4) 光回線開通!実測するとNURO光はやっぱり速かった
 (5) ネット上のNURO光紹介特典は個人情報がもれないの?

実行されたログはどのようにして見るのか