Certificate Management Service:Jetty サーバーへの SSL 証明書のインストール (Linux)

セキュリティグループでポート 443 を開く

サーバーが Alibaba Cloud Elastic Compute Service (ECS) で実行されている場合は、セキュリティグループにインバウンドルールを追加します。

1. Elastic Compute Service (ECS) インスタンスページに移動し、対象のインスタンス名をクリックします。

2. [セキュリティグループの詳細] セクションで、以下の設定でルールを追加して保存します。詳細については、「セキュリティグループルールを追加する」をご参照ください。

   フィールド	値
   アクション	許可
   プロトコル	カスタム TCP
   宛先 (現在のインスタンス)	HTTPS (443)
   ソース	0.0.0.0/0 (任意)

他のクラウドプラットフォームについては、それぞれのドキュメントをご参照ください。

ポート 443 がすでに開いているかどうかの確認

次のコマンドを実行して、ポート 443 が到達可能であることを確認します。<your_server_public_ip> をサーバーのパブリック IP アドレスに置き換えてください。

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# <your_server_public_ip> をサーバーのパブリック IP アドレスに置き換えます。
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# <your_server_public_ip> をサーバーのパブリック IP アドレスに置き換えます。
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

ファイアウォールでポート 443 を開く

まず、アクティブなファイアウォールサービスを特定します。

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

出力が none の場合、ファイアウォールはアクティブではなく、これ以上の操作は必要ありません。そうでない場合は、お使いのファイアウォールに対応するコマンドを実行してください。

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

sudo ufw allow 443/tcp

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

sudo yum install -y iptables-services
sudo service iptables save

sudo apt-get install -y iptables-persistent
sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

ディレクトリ構造のセットアップ

Jetty はインストールディレクトリ ($JETTY_HOME) と作業ディレクトリ ($JETTY_BASE) を分離します。将来のアップグレードを簡素化するために、これらを分離したままにしてください。

# 例：Jetty は /usr/local/jetty にインストールされ、アプリケーションは /var/www/my-app から実行されます。
export JETTY_HOME=/usr/local/jetty
export JETTY_BASE=/var/www/my-app

# 証明書ファイルと Web アプリケーションリソース用のディレクトリを作成します。
mkdir -p $JETTY_BASE/cert
mkdir -p $JETTY_BASE/webapps

cd $JETTY_BASE

証明書ファイルのアップロード

「.jks」ファイルと「jks-password.txt」ファイルを、PuTTY、Xshell、または WinSCP などのファイル転送ツールを使用して、$JETTY_BASE/cert/ ディレクトリにアップロードします。サーバーが Alibaba Cloud ECS 上にある場合は、「ファイルのアップロードまたはダウンロード」を参照してください。

SSL モジュールの有効化

$JETTY_BASE ディレクトリで、次のコマンドを実行して ssl モジュールを初期化します。これにより、ssl.ini と https.ini が $JETTY_BASE/start.d/ に生成されます。

java -jar $JETTY_HOME/start.jar --add-to-start=ssl

証明書パスとパスワードの設定

$JETTY_BASE/start.d/ssl.ini を編集用に開きます。

vim $JETTY_BASE/start.d/ssl.ini

以下のパラメーターを見つけて更新します。いずれも # でコメントアウトされていないことを確認してください。

jetty.ssl.keyStorePath=cert/your_domain.jks
jetty.ssl.keyStorePassword=<jks-password.txt のパスワード>
jetty.ssl.keyManagerPassword=<jks-password.txt のパスワード>

古いパラメーター名 jetty.ssl.keystore.path、jetty.ssl.keystore.password、jetty.ssl.keymanager.password は非推奨です。上記に示されているキャメルケースの名前を使用してください。

インストール後に HTTPS が機能しない

以下の項目を順に確認してください。

• ポート 443 がブロックされている：セキュリティグループまたはファイアウォールがポート 443 でのインバウンドトラフィックを許可していません。「ポート 443 の開放」をご参照ください。

• ドメインの不一致：アクセスしているドメインが証明書の [バインドされたドメイン] にリストされていません。ワイルドカードと完全一致のカバー範囲ルールについては、「前提条件」セクションをご参照ください。

• Jetty が再起動されていない：設定の変更は再起動後にのみ有効になります。「Jetty の再起動」をご参照ください。

• 証明書パスまたはパスワードが間違っている：jetty.ssl.keyStorePath が正しい .jks ファイルを指していること、および ssl.ini のパスワードが jks-password.txt と一致していることを確認してください。

• アップストリームサービスに証明書がありません：ドメインでコンテンツデリバリーネットワーク (CDN)、Server Load Balancer (SLB)、または Web Application Firewall (WAF) を使用している場合は、これらのサービスにも証明書をインストールしてください。 詳細については、「トラフィックが複数の Alibaba Cloud サービスを通過する場合の証明書のデプロイ先」をご参照ください。

• 複数のサーバー：DNS が複数のサーバーに解決される場合は、すべてのサーバーに証明書をインストールしてください。

さらにトラブルシューティングを行う場合は、「ブラウザのエラーメッセージに基づく証明書のデプロイメントに関する問題の解決」および「SSL 証明書のデプロイメントに関するトラブルシューティングガイド」をご参照ください。

Jetty で SSL 証明書を置き換えるにはどうすればよいですか？

1. 古いファイルのバックアップ：サーバーから既存の .jks および jks-password.txt ファイルを保存します。

2. 新しいファイルの取得：Certificate Management Service コンソールから新しい証明書をダウンロードします。

3. ファイルの置き換え：ssl.ini で指定された同じパスに新しいファイルをアップロードし、古いファイルを上書きします。

4. Jetty の再起動：サービスを再起動して、新しい証明書を適用します。

起動の失敗：「Address already in use」または「Port is already occupied」

ポート 443 はすでに別のプロセスによってバインドされています。sudo ss -tlnp | grep :443 または sudo lsof -i:443 を実行してプロセスを特定し、停止してください。一般的な原因には、Nginx、Apache、またはシャットダウンされなかったテストリスナーなどがあります。

起動の失敗：「Permission denied」

Linux では、1024 未満のポートにバインドするには root 権限が必要です。sudo を使用して Jetty を起動してください。本番環境では、サービスを直接 root として実行することは避け、setcap を使用して Java バイナリに特権ポートへのバインド能力を付与します。

sudo setcap 'cap_net_bind_service=+ep' /path/to/your/java

または、Jetty を Nginx などのリバースプロキシの背後に配置し、ポート 443 でリッスンしてトラフィックを非特権ポートに転送します。