Certificate Management Service:Python Flask（Linux）へのSSL証明書のインストール

ポート 443 が開放されているか確認する

以下のコマンドを実行して、ポート 443 の状態を確認します。<your_server_public_ip> をサーバーのパブリック IP アドレスに置き換えてください。

RHEL/CentOS

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# <your_server_public_ip> をサーバーのパブリック IP アドレスに置き換えます。
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

ポート 443 が開放されている場合、出力は次のようになります。

Ncat: Connected to <your_server_public_ip>:443

Debian/Ubuntu

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# <your_server_public_ip> をサーバーのパブリック IP アドレスに置き換えます。
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

ポート 443 が開放されている場合、出力は次のいずれかになります。

Connection to <your_server_public_ip> port [tcp/https] succeeded!

または

[<your_server_public_ip>] 443 (https) open

ポート 443 が開放されていない場合は、次の 2 つの手順を実行して開放してください。

セキュリティグループでポート 443 を開放する

ECS インスタンス ページに移動し、ターゲットインスタンスをクリックしてその詳細ページを開きます。[セキュリティグループの詳細] セクションで、次の設定で セキュリティグループルールを追加します。

ファイアウォールでポート 443 を開放する

アクティブなファイアウォールサービスを特定するため、以下のコマンドを実行します。

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

出力が none の場合、追加の操作は不要です。それ以外の場合、以下の対応するコマンドを実行してポート 443 を開放します。

firewalld

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

ufw

sudo ufw allow 443/tcp

nftables

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

iptables

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

iptables ルールを再起動後も維持するには：

• RHEL/CentOS：

  sudo yum install -y iptables-services
  sudo service iptables save

• Debian/Ubuntu：

  sudo apt-get install -y iptables-persistent
  sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

ブラウザで証明書を確認する

ブラウザで https://yourdomain を開きます（yourdomain を実際のドメイン名に置き換えます）。アドレスバーに鍵アイコンが表示されれば、証明書が正しくデプロイされたことを確認できます。

Chrome バージョン 117 以降では、 アイコンが に変更されています。このアイコンをクリックすると、証明書の詳細を確認できます。

鍵アイコンが表示されない場合やアクセスエラーが発生した場合は、ブラウザのキャッシュをクリアするか、シークレットモードで再度試してください。

問題が解決しない場合は、「ブラウザのエラーメッセージに基づいて証明書のデプロイメントに関する問題を解決する」および「SSL 証明書デプロイメントのトラブルシューティングガイド」をご参照ください。

証明書のインストールまたは更新後に HTTPS にアクセスできないのはなぜですか？

これは通常、以下のいずれかの原因によって発生します。順に確認してください。

• ポート 443 がブロックされている：セキュリティグループまたはファイアウォールがポート 443 のトラフィックを許可していません。「ステップ 2：システムおよびネットワーク環境の構成」をご参照ください。

• ドメイン名の不一致：アクセスしようとしているドメイン名が証明書の バインド済みドメイン にリストされていません。ドメイン名の一致ルールについては、「前提条件」をご参照ください。

• Flask の再起動が行われていない：アプリケーションファイルを変更した後は、Flask を再起動してください。

• 証明書パスの誤り：.pem および .key ファイルのパスが ssl_context で正しく指定されているか、最新かつ有効な証明書ファイルが使用されているかを確認してください。

• 他のサービスに証明書がない場合：ドメインでコンテンツデリバリーネットワーク (CDN)、Server Load Balancer (SLB)、または Web Application Firewall (WAF) を使用している場合は、これらのサービスにも証明書をインストールしてください。詳細については、「トラフィックが複数の Alibaba Cloud サービスを経由する場合の証明書のデプロイ先」をご参照ください。

• 複数サーバーへの部分的なデプロイメント：ドメインの DNS が複数のサーバーを指す場合、すべてのサーバーに証明書をインストールする必要があります。

インストール済みの証明書を更新または置き換えるにはどうすればよいですか？

1. サーバー上の既存の .pem および .key ファイルをバックアップします。

2. Certificate Management Service コンソールから新しい証明書および秘密鍵ファイルをダウンロードします。

3. 新しいファイルをサーバーにアップロードし、古いファイルを上書きします。Flask 構成で指定されたファイルパスおよびファイル名はそのまま保持します。

4. 新しい証明書を適用するために Flask を再起動します。

Flask が起動時に FileNotFoundError をスローする

このエラーは、ssl_context 内のファイルパスが誤っていることを意味します。ssl_context で指定された証明書および秘密鍵ファイルのパスが正しいか確認してください。パスは python <your-app-file>.py コマンドを実行するディレクトリを基準とした相対パスであるか、絶対パスを使用してください。

ブラウザに ERR_SSL_PROTOCOL_ERROR が表示される、または接続がリセットされる

以下の点を確認してください。

• 証明書ファイルと秘密鍵ファイルは互いに一致します。

• 証明書ファイルは、完全な証明書チェーン (通常は .pem ファイル) です。Alibaba Cloud からダウンロードした証明書ファイルには、すでに完全なチェーンが含まれています。

• セキュリティグループとファイアウォールは、ポート 443 上のインバウンドトラフィックを許可します。