Certificate Management Service:Tomcat サーバー (Linux) への SSL 証明書のインストール

注意事項

作業を開始する前に、以下の要件を満たしていることを確認してください。

セキュリティグループでポート 443 を開放する

サーバーが Alibaba Cloud ECS 上で実行されている場合は、TCP ポート 443 を許可するインバウンドルールを追加します。

1. Elastic Compute Service (ECS) インスタンスに移動し、対象のインスタンス名をクリックします。

2. セキュリティグループの詳細セクションで、以下の設定でセキュリティグループルールを追加し、保存します。他のクラウドプラットフォームを使用している場合は、各プラットフォームのドキュメントをご参照ください。

   フィールド	値
   操作	許可
   プロトコル	カスタム TCP
   宛先 (現在のインスタンス)	HTTPS (443)
   ソース	0.0.0.0/0 (任意の場所)

OS のファイアウォールでポート 443 を開放する

まず、ポート 443 がすでに到達可能かどうかを確認します。使用している Linux ディストリビューションに応じて、次のコマンドを実行します。

RHEL/CentOS

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# <your_server_public_ip> をご利用のサーバーのパブリック IP アドレスに置き換えてください。
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

出力に Ncat: Connected to <your_server_public_ip>:443 が含まれている場合、ポート 443 はすでに開放されており、これ以上の操作は不要です。

Debian/Ubuntu

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# <your_server_public_ip> をご利用のサーバーのパブリック IP アドレスに置き換えてください。
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

出力に Connection to <your_server_public_ip> port [tcp/https] succeeded! または [<your_server_public_ip>] 443 (https) open が含まれている場合、ポート 443 はすでに開放されており、これ以上の操作は不要です。

ポート 443 が開放されていない場合は、アクティブなファイアウォールを特定してポートを開放します。

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

出力が none の場合、アクティブなファイアウォールはありません。それ以外の場合は、ご利用のファイアウォールに対応するコマンドを実行します。

firewalld

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

ufw

sudo ufw allow 443/tcp

nftables

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

iptables

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

iptables ルールを再起動後も維持するには、次のようにします。

• RHEL/CentOS：

  sudo yum install -y iptables-services
  sudo service iptables save

• Debian/Ubuntu：

  sudo apt-get install -y iptables-persistent
  sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

（オプション）HTTP から HTTPS への強制リダイレクト

すべての HTTP リクエストを自動的に HTTPS にリダイレクトするには、conf/web.xml の末尾、終了タグ </web-app> の直前に次のブロックを追加します。

<security-constraint>
    <web-resource-collection>
        <web-resource-name>SSL</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

構成の検証と Tomcat の再起動

1. 構成を検証します。 Tomcat の bin ディレクトリから、次のコマンドを実行します。

   ./configtest.sh

   出力が Configuration file test successful の場合、構成は有効です。エラーが表示された場合は、エラーメッセージに基づいて構成を修正し、再度検証を実行してください。

2. 変更を適用するために Tomcat を再起動します。

   sudo ./shutdown.sh
   sudo ./startup.sh

インストール後または証明書更新後に HTTPS にアクセスできない

次の項目を順に確認してください。

1. ポート 443 がブロックされています。 セキュリティグループと OS のファイアウォールの両方がポート 443 でのインバウンド TCP トラフィックを許可していることを確認してください。ステップ 2をご参照ください。

2. ドメイン不一致。 アクセスしているドメインが証明書のバインド済みドメインフィールドに記載されていることを確認してください。ドメイン一致のルールについては「前提条件」セクションをご参照ください。

3. Tomcat が再起動されていません。 新しい構成は Tomcat の再起動後にのみ有効になります。ステップ 3の検証および再起動手順をご参照ください。

4. 証明書のパスまたはファイルが正しくありません。 server.xml 内の certificateKeystoreFile（または keystoreFile）が、最新かつ正しい証明書ファイルを指していることを確認してください。

5. 上流サービスに証明書がありません。 ドメインがコンテンツデリバリーネットワーク (CDN)、Server Load Balancer (SLB)、または Web Application Firewall (WAF) を経由する場合、これらのサービスにも証明書をインストールする必要があります。詳細については、「トラフィックが複数の Alibaba Cloud サービスを経由する場合の証明書デプロイメント場所」をご参照ください。

6. 複数サーバーへのデプロイメントが不完全です。 ドメインの DNS が複数のサーバーに解決される場合、すべてのサーバーに証明書をインストールする必要があります。

詳細なトラブルシューティングについては、「ブラウザのエラーメッセージに基づく証明書のデプロイメントに関する問題の解決」および「SSL 証明書のデプロイメントに関するトラブルシューティングガイド」をご参照ください。

Tomcat の起動に失敗し、ログに「Keystore was tampered with, or password was incorrect」というエラーが表示される

これはほぼ確実に、server.xml に記載されたパスワードがキーストアファイルと一致していないことを意味します。これを修正するには、次の手順を実行してください。

1. 証明書パッケージ内のパスワードファイル（.txt）を開き、末尾のスペースや改行を含めずに、内容を正確にコピーします。

2. server.xml の certificateKeystorePassword（または keystorePass）属性を、その値で更新します。

3. certificateKeystoreFile（または keystoreFile）が正しいファイルパスを指していることを確認します。

4. Tomcat ユーザーが証明書ファイルを読み取る権限を持っていることを確認します。

サーバーにアクセスすると「接続がリセットされました」または「接続を拒否されました」と表示される

これは証明書の問題ではなく、ネットワーク接続の問題です。次の項目を確認してください。

1. セキュリティグループと OS のファイアウォールの両方がポート 443（または server.xml で構成されたポート）でのインバウンドトラフィックを許可していることを確認してください。ステップ 2をご参照ください。

2. Tomcat が実行中であることを確認します：ps -ef | grep tomcat

3. server.xml の SSL コネクタ内の port 属性が、アクセスしているポートと一致していることを確認します。

Tomcat での SSL 証明書の更新または置き換え方法

1. 既存のファイルをバックアップします。 サーバー上の現在の証明書ファイル（.pfx または .jks）およびパスワードファイル（.txt）のコピーを保存します。

2. 新しい証明書をダウンロードします。 Certificate Management Service コンソールから新しい証明書パッケージを取得します。

3. ファイルを置き換えます。 新しい証明書ファイルおよびパスワードファイルをサーバー上の同じパスにアップロードし、古いファイルを上書きします。ファイルパスおよびファイル名は、server.xml で構成されているものと完全に一致している必要があります。

4. Tomcat を再起動します。 Tomcat の bin ディレクトリから、sudo ./shutdown.sh および sudo ./startup.sh を実行して、新しい証明書を適用します。