Amazon LinuxのApache 2.4にSSL証明書を設定してみた

清水俊也

2016.10.26

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

清水です。先日、Amazon Linux上のApache 2.4にSSL証明書を設定する機会がありました。これまでCloudFrontやELBなどへの証明書設定（インストール）は行ったことがありましたが、Apacheにきちんと証明書を設定したことはなかったな、、ということで、今回はその手順をまとめてみました。

ApacheへのSSL証明書の設定については数多くの情報がありますが、Amazon LinuxのApache 2.4の場合、mod_sslがmod24_sslというパッケージ名でのインストールが必要なこと、また中間CA証明書の扱いだけ注意が必要となります。他は秘密鍵、証明書をそれぞれ適切に配置して設定すれば、すんなり導入できた、という印象です。

設定する環境

証明書の設定方法に入る前に、まずは設定してみたサーバ環境と証明書についての情報をまとめてみます。

サーバ環境

今回設定した環境は以下になります。

Amazon Linux (2016.09.0)
Apache 2.4 + mod_ssl

まずはAmazon Linuxのインスタンスを作成します。Security GroupについてはHTTPS 443も開放するようにします。

そして独自ドメインでアクセスできるように設定します。今回は起動後のPublic DNSをRoute53で管理しているドメインのCNAMEレコードに登録しました。

続いて、Amazon LinuxインスタンスにSSHで接続して、Apache 2.4をインストールします。

 $ sudo yum install httpd24

またApacheのSSL対応に必要なmod_sslもインストールします。 Apacheが2.4の場合、このmod_sslについてはmod24_sslというパッケージをインストールする必要があります。

 $ sudo yum install mod24_ssl

mod24_sslではなく、mod_sslをインストールしようとすると、以下のようなエラーが発生してインストールできません。

 $ sudo yum install mod_ssl
Loaded plugins: priorities, update-motd, upgrade-helper
Resolving Dependencies
--> Running transaction check
---> Package mod_ssl.x86_64 1:2.2.31-1.8.amzn1 will be installed
--> Processing Dependency: httpd = 2.2.31-1.8.amzn1 for package: 1:mod_ssl-2.2.31-1.8.amzn1.x86_64
--> Processing Dependency: httpd-mmn = 20051115 for package: 1:mod_ssl-2.2.31-1.8.amzn1.x86_64
--> Running transaction check
---> Package httpd.x86_64 0:2.2.31-1.8.amzn1 will be installed
--> Processing Dependency: httpd-tools = 2.2.31-1.8.amzn1 for package: httpd-2.2.31-1.8.amzn1.x86_64
--> Processing Dependency: apr-util-ldap for package: httpd-2.2.31-1.8.amzn1.x86_64
--> Running transaction check
---> Package apr-util-ldap.x86_64 0:1.4.1-4.17.amzn1 will be installed
---> Package httpd-tools.x86_64 0:2.2.31-1.8.amzn1 will be installed
--> Processing Conflict: httpd24-2.4.23-1.66.amzn1.x86_64 conflicts httpd < 2.4.23
--> Processing Conflict: httpd24-tools-2.4.23-1.66.amzn1.x86_64 conflicts httpd-tools < 2.4.23
--> Finished Dependency Resolution
Error: httpd24-tools conflicts with httpd-tools-2.2.31-1.8.amzn1.x86_64
Error: httpd24 conflicts with httpd-2.2.31-1.8.amzn1.x86_64
 You could try using --skip-broken to work around the problem
 You could try running: rpm -Va --nofiles --nodigest

これで証明書設定前のサーバ側の準備は完了です。ドキュメントルートにindex.htmlとして何かしらのファイルを作成し、Apacheを起動、http接続で問題ないか確認しておきます。

ドメイン名を記載したindex.htmlファイルを作成します。

  $ sudo sh -c "echo '<html><head><title>apache-ssl-testdomain.mydomain.net</title></head><body>apache-ssl-testdomain.mydomain.net</body></html>' > /var/www/html/index.html"

Apacheを起動します。

 
 $ sudo service httpd start
Starting httpd:                                            [  OK  ]

http接続ができるか確認します。先ほど作成したhtmlファイルが返ってくることを確認できました。

 $ curl http://apache-ssl-testdomain.mydomain.net/
<html><head><title>apache-ssl-testdomain.mydomain.net</title></head><body>apache-ssl-testdomain.mydomain.net</body></html>

証明書

設定した証明書についてもまとめてみます。

秘密鍵ならびにCSRは手元のMac OS X(El Capitan)上のOpenssl(0.9.8)で作成しました。ローカルに以下2つのファイルを保存します。

秘密鍵: apache-ssl-testdomain.mydomain.net.key
CSR: apache-ssl-testdomain.mydomain.net.csr

証明書ですが、今回は検証目的ということもあり、無償で利用できるSSL証明書発行サービスLet's Encryptを利用しました。 Let's Encryptからの証明書発行については、下記のこやまさんのエントリを参考にZeroSSLを使用しています。

Let’s EncryptとZeroSSLで、もっと簡単にSSL証明書を用意する

今回はCSRまで手元のMacで作成していたので、CSRを貼り付けてWizardを進めます。Vertification画面で得られる情報を、Route53の該当ドメインにTXTレコードとして追加します。この承認を経て証明書を取得し、以下のファイル名でローカルに保存しておきます。

証明書: apache-ssl-testdomain.mydomain.net.crt

実際にサーバにコピーして使用するのは、以下2つのファイルになります。

秘密鍵: apache-ssl-testdomain.mydomain.net.key
証明書: apache-ssl-testdomain.mydomain.net.crt

中間CA証明書について

今回のLet's Encryptでの証明書発行では中間CA証明書は使用しませんでしたが、Apache 2.4 （正確には2.4.8）以降で中間CA証明書を使用するときは、これまで（Apache 2.2等）のSSLCertificateChainFileディレクティブで指定せずに、1つの証明書ファイルとしてまとめて、SSLCertificateFileディレクトティブで指定する必要があります。

このとき、SSLCertificateFileディレクトティブで指定するファイルは、以下の中身となります。

-----BEGIN CERTIFICATE-----
    サーバ証明書
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
    中間CA証明書
-----END CERTIFICATE-----

さらに別途クロスルート証明書が必要な場合は、その下に続けます。

Apacheへの設定手順

サーバと証明書の環境ができたので、実際にApache 2.4にSSL証明書を設定してみます。

手順としては以下となります。

証明書ファイルをAmazon Linux上に配置
設定ファイル（/etc/httpd/conf.d/ssl.conf）の編集
設定ファイルの文法確認
Apacheサービスの再起動

1. 証明書ファイルをAmazon Linux上に配置

まずローカルにある秘密鍵と証明書を、設定するAmazo Linuxにscpでコピーします。そしてそれぞれ以下の場所に配置します。配置したディレクトリ/etc/pki/tls/は設定ファイルssl.confで記載されていた場所を使用しています。

証明書
/etc/pki/tls/certs/apache-ssl-testdomain.mydomain.net.crt
秘密鍵
/etc/pki/tls/private/apache-ssl-testdomain.mydomain.net.key

また、ファイルの所有者とグループをroot、アクセス権限を所有者のみ読み込み可能としておきます。

2. 設定ファイル（/etc/httpd/conf.d/ssl.conf）の編集

続いてApacheの設定ファイルを書き換えて、先に配備した証明書ファイルを使用するようにします。編集するフファイルは/etc/httpd/conf.d/ssl.confで、編集箇所は、証明書へのパス、秘密鍵へのパスの2箇所です。

証明書ファイルのパスの変更

以下のSSLCertificateFileディレクトティブの部分を探します。

#   Server Certificate:
# Point SSLCertificateFile at a PEM encoded certificate.  If
# the certificate is encrypted, then you will be prompted for a
# pass phrase.  Note that a kill -HUP will prompt again.  A new
# certificate can be generated using the genkey(1) command.
SSLCertificateFile /etc/pki/tls/certs/localhost.crt

コメントアウトされていない最終行、SSLCertificateFileディレクティブの値を以下のように書き換えます。

SSLCertificateFile /etc/pki/tls/certs/apache-ssl-testdomain.mydomain.net.crt

秘密鍵ファイルのパス変更

証明書ファイルのパス部分のすぐ後に、以下の記載があるSSLCertificateKeyFileディレクトティブが見つかります。

#   Server Private Key:
#   If the key is not combined with the certificate, use this
#   directive to point at the key file.  Keep in mind that if
#   you've both a RSA and a DSA private key you can configure
#   both in parallel (to also allow the use of DSA ciphers, etc.)
SSLCertificateKeyFile /etc/pki/tls/private/localhost.key

こちらも同じく、コメントアウトされていない最終行、SSLCertificateKeyFileディレクティブの値を以下のように書き換えます。

SSLCertificateKeyFile /etc/pki/tls/private/apache-ssl-testdomain.mydomain.net.key

3. 設定ファイルの文法確認

設定ファイルを書き換えたら、Apacheに反映させる前にファイルの文法間違い等がないか、httpd -tコマンドで確認しておきます。

問題がなければ、以下のようにSyntax OKが返ってきます。

$ httpd -t
Syntax OK

文法や、設定ファイル記載内容にミスがあると、以下のようにエラーメッセージが返ってきます。内容を確認して修正しましょう。

$ sudo httpd -t
AH00526: Syntax error on line 98 of /etc/httpd/conf.d/ssl.conf:
SSLCertificateFile: file '/etc/pki/tls/certs/apache-ssl-testdomain.mydomain.crt' does not exist or is empty

こちらは、ファイルの拡張子を間違えてしまったパターンです。設定ファイルの文法的には問題ありませんが、実在していないファイルを設定してしまったことでエラーとなっています。

4. Apacheサービスの再起動

設定ファイルに問題がないことが確認できたら、Apacheのサービスを再起動させて、設定を反映させます。

$ sudo service httpd restart
Stopping httpd:                                            [  OK  ]
Starting httpd:                                            [  OK  ]

動作確認

設定ができたら、ブラウザからhttpsでアクセスしてみます。アクセス後、ブラウザから証明書が有効であるかも確認してみます。

apache-ssl-001

有効な証明書として設定されていることが確認できました！

まとめ

Amazon LinuxのApache 2.4にSSL証明書を設定する手順をまとめてみました。 Apacheについては2.4とバージョンを明記していますが、大まかな導入方法については2.2についても変わらないのではないでしょうか。前述の通りmod_sslインストールの際のパッケージ名と、中間CA証明書の扱いについてはご注意ください。

ApacheにSSL証明書を設定するにあたりハマったところは（本エントリでは記載していませんが）、中間CA証明書とサーバ証明書を1つのファイルにまとめるときにcatコマンドで連結したら、改行コードが混ざってしまったところです(汗)。こちらもエントリ本文には記載していませんが、ファイルの中身をみることも大事なと実感しました。。

なお、AWS環境でSSL接続をする場合には、ELBやCloudFrontに証明書を設定することができます。また証明書とその管理機能としてACM(AWS Certificate Manager)を使用することもできますので、状況に応じて使い分けてみてはいかがでしょうか。