Certificate Management Service:Jetty サーバー (Linux) に SSL 証明書をインストールする

使用上の注意

開始する前に、次の要件を満たしていることを確認してください:

ステップ 1: SSL 証明書をダウンロードする

1. SSL 証明書管理ページに移動します。対象の証明書の 操作 列で、証明書のダウンロード をクリックします。次に、ダウンロード タブで、サーバータイプ が JKS の証明書をダウンロードします。

   説明

   JKS (Java Keystore) は、Java 環境向けの独自のキーストア形式です。

2. 展開されたファイルには、証明書ファイル (完全な証明書チェーンを含む .jks 拡張子) とパスワードファイル (jks-password.txt) が含まれています。

ステップ 2: システムとネットワーク環境を構成する

このステップでは、アプリケーションが指定されたポートでリッスンする権限を持ち、セキュリティグループとファイアウォールが外部トラフィックの到達を許可することを確認します。

1. サーバーターミナルで次のコマンドを実行して、ポート 443 が開いているかどうかを確認します:

   RHEL/CentOS

   command -v nc > /dev/null 2>&1 || sudo yum install -y nc
   # <your_server_public_ip> をサーバーの実際のパブリック IP アドレスに置き換えます。
   sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

   出力が Ncat: Connected to <現在のサーバーのパブリック IP アドレス>:443 の場合、ポート 443 は開いています。そうでない場合は、セキュリティグループとファイアウォールでポート 443 を開きます。

   Debian/Ubuntu

   command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
   # <your_server_public_ip> をサーバーの実際のパブリック IP アドレスに置き換えます。
   sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

   出力が Connection to <現在のサーバーのパブリック IP アドレス> port [tcp/https] succeeded! または [<現在のサーバーのパブリック IP アドレス>] 443 (https) open の場合、ポート 443 は開いています。そうでない場合は、セキュリティグループとファイアウォールでポート 443 を開きます。

2. セキュリティグループの構成でポート 443 を開きます。

   重要

   サーバーがクラウドプラットフォームにデプロイされている場合は、そのセキュリティグループが TCP ポート 443 でのインバウンドトラフィックを許可していることを確認してください。そうでない場合、サービスにアクセスできなくなります。以下の手順では、Alibaba Cloud Elastic Compute Service (ECS) を例として使用します。他のクラウドプラットフォームについては、公式ドキュメントをご参照ください。

   Elastic Compute Service インスタンスページに移動し、対象のインスタンス名をクリックしてインスタンス詳細ページに移動します。「セキュリティグループルールの追加」をご参照いただき、[セキュリティグループ] に新しいルールを追加します。[アクション] を [許可]、[プロトコルタイプ] を [カスタム TCP]、[宛先ポート範囲] を [HTTPS(443)]、[認証オブジェクト] を [すべての IPv4 アドレス] に設定します。

3. ファイアウォールでポート 443 を開きます。

   次のコマンドを実行して、システムでアクティブなファイアウォールサービスを特定します:

   if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
       echo "firewalld"
   elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
       echo "ufw"
   elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
       echo "nftables"
   elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
       echo "iptables"
   elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
       echo "iptables"
   else
       echo "none"
   fi

   出力が none の場合、これ以上の操作は必要ありません。そうでない場合は、出力 (firewalld、ufw、nftables、または iptables) に応じて、以下の対応するコマンドを実行してポート 443 を開きます:

   firewalld

   sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

   ufw

   sudo ufw allow 443/tcp

   nftables

   sudo nft add table inet filter 2>/dev/null
   sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
   sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

   iptables

   sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

   iptables ルールがシステム再起動後も維持されるようにするには、次のコマンドを実行します:

   RHEL/CentOS

   sudo yum install -y iptables-services
   sudo service iptables save

   Debian/Ubuntu

   sudo apt-get install -y iptables-persistent
   sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

ステップ 3: Jetty サーバーに SSL 証明書をインストールする

1. Jetty のベースディレクトリ ($JETTY_BASE) を作成して移動し、その中に証明書ファイルを保存するための cert ディレクトリを作成します。

   重要

   Jetty のインストールディレクトリ ($JETTY_HOME) とベースディレクトリ ($JETTY_BASE) を分離すると、将来のアップグレードとメンテナンスが簡素化されます。

   # 例: Jetty が /usr/local/jetty にインストールされ、アプリケーションと構成が /var/www/my-app にあると仮定します。
   export JETTY_HOME=/usr/local/jetty
   export JETTY_BASE=/var/www/my-app
   
   # 証明書ファイル、Web サイトのコードリソースなどのために必要なディレクトリ構造を作成します。
   mkdir -p $JETTY_BASE/cert
   mkdir -p $JETTY_BASE/webapps
   
   # $JETTY_BASE ディレクトリで次の操作を実行します。
   cd $JETTY_BASE

2. 作成した cert ディレクトリに証明書ファイルをアップロードします。

   説明

   PuTTY、Xshell、WinSCP などのリモートアクセスツールのファイルアップロード機能を使用します。Alibaba Cloud ECS を使用している場合は、「ファイルのアップロードまたはダウンロード」をご参照ください。

3. Jetty の ssl モジュールを有効にし、証明書情報を指定します。

   1. $JETTY_BASE ディレクトリで、次のコマンドを実行して ssl モジュールを初期化します。

      # このコマンドは、$JETTY_BASE/start.d/ ディレクトリに ssl.ini と https.ini 構成ファイルを生成します。
      java -jar $JETTY_HOME/start.jar --add-to-start=ssl

   2. $JETTY_BASE/start.d/ssl.ini ファイルを編集して、証明書のパスとパスワードを指定します。

      # 次のコマンドを実行して編集モードに入り、証明書情報を構成する準備をします。
      vim $JETTY_BASE/start.d/ssl.ini

   3. 次のパラメーターを見つけて変更し、# でコメントアウトされていないことを確認します。Alibaba Cloud からダウンロードした JKS 証明書の場合、keyStorePassword と keyManagerPassword に同じパスワードを使用します。

      # ---------------------------------------
      # SSL コンテキストファクトリキーストア構成
      # ---------------------------------------
      # jetty.ssl.keystore.path は非推奨です。代わりに jetty.ssl.keyStorePath を使用してください。
      jetty.ssl.keyStorePath=cert/your_domain.jks
      
      # jetty.ssl.keystore.password は非推奨です。代わりに jetty.ssl.keyStorePassword を使用してください。
      jetty.ssl.keyStorePassword=[jks-password.txt ファイルのパスワード]
      
      # jetty.ssl.keymanager.password は非推奨です。代わりに jetty.ssl.keyManagerPassword を使用してください。
      jetty.ssl.keyManagerPassword=[jks-password.txt ファイルのパスワード]

ステップ 4: Jetty サービスを再起動する

$JETTY_BASE ディレクトリで、Jetty サーバーを起動します。

# Jetty の作業ディレクトリに変更します。
cd $JETTY_BASE

# サービスを再起動します。
sudo java -jar $JETTY_HOME/start.jar

ステップ 5: インストールを検証する

インストールまたは更新後、証明書が機能しない、または HTTPS にアクセスできないのはなぜですか？

一般的な理由には以下が含まれます:

• サーバーのセキュリティグループまたはファイアウォールがポート 443 でのトラフィックを許可していません。「システムとネットワーク環境を構成する」をご参照ください。

• アクセスしているドメインが証明書の ドメイン名のバインド に含まれていません。「ドメイン名の一致」をご参照ください。

• 構成ファイルを変更した後に Jetty サービスを再起動していません。「Jetty サービスを再起動する」をご参照ください。

• 証明書ファイルが正しく置き換えられていないか、Jetty の構成が正しい証明書パスを指していません。構成と証明書ファイルが最新で有効であることを確認してください。

• ドメインのトラフィックが Content Delivery Network (CDN)、SLB、Web Application Firewall (WAF) などのクラウド製品を経由しているが、そのサービスに証明書がインストールされていません。「複数の Alibaba Cloud サービスを通過する際の証明書のデプロイ場所」をご参照いただき、設定を完了してください。

• ドメインの DNS が複数のサーバーに解決されているが、証明書が一部のサーバーにしかインストールされていません。各サーバーに証明書をインストールしてください。

Jetty で SSL 証明書を更新または置換するにはどうすればよいですか？

まず、サーバー上の既存の証明書ファイル (.jks および .txt) をバックアップします。次に、Certificate Management Service コンソールにログインし、新しい証明書ファイルをダウンロードして対象のサーバーにアップロードし、古いファイルを上書きします。パスとファイル名が同じであることを確認してください。最後に、Jetty サービスを再起動して新しい証明書を適用します。

起動時に「Address already in use」または「Port is already occupied」というエラーが表示されるのはなぜですか？

このエラーは、ポート 443 がすでに別のプロセスによって使用されていることを示します。sudo ss -tlnp | grep :443 または sudo lsof -i:443 コマンドを使用して、ポートを占有しているプロセスを見つけて停止します。一般的な原因には、Nginx、Apache、または正しくシャットダウンされなかったテストコマンドなどがあります。

起動時に「Permission denied」エラーが表示されるのはなぜですか？

Linux システムでは、1024 未満のポートにバインドするには root 権限が必要です。sudo を使用して Jetty を起動します。本番環境では、root ユーザーとして直接サービスを実行することは避けてください。より安全な方法は、setcap (例: sudo setcap 'cap_net_bind_service=+ep' /path/to/your/java) を使用して Java 実行可能ファイルに低番号ポートへのバインド権限を付与するか、Jetty を Nginx などのリバースプロキシの背後に配置することです。