Certificate Management Service:Apache サーバー (Windows) に SSL/TLS 証明書をインストールする

前提条件

ステップ 1: 証明書の準備

1. SSL 証明書サービスページに移動します。 証明書の 操作 列で、もっと をクリックして証明書詳細ページを開きます。 ダウンロード タブで、Apache サーバータイプ の証明書をダウンロードします。

2. ダウンロードした証明書パッケージを解凍します。

   • パッケージに証明書ファイル (<your_domain_name>_public.crt)、証明書チェーンファイル (<your_domain_name>_chain.crt)、および秘密鍵ファイル (<your_domain_name>.key) が含まれている場合は、デプロイメント用に 3 つのファイルをすべて安全に保管してください。

   • パッケージに証明書ファイル (<your_domain_name>_public.crt) と証明書チェーンファイル (<your_domain_name>_chain.crt) のみが含まれ、秘密鍵ファイル (<your_domain_name>.key) が含まれていない場合は、ローカルに保存した秘密鍵ファイルを使用してください。

     説明

     OpenSSL または Keytool で CSR を生成した場合、秘密鍵はローカルマシンにのみ存在します。紛失した場合、証明書は使用できなくなり、新しい CSR と秘密鍵で新しい公式証明書を購入する必要があります。

3. 証明書、チェーン、および秘密鍵ファイルをウェブルート外のディレクトリにアップロードします。このガイドでは D:\cert を使用します。

   説明

   以下の手順では、Alibaba Cloud Elastic Compute Service (ECS) インスタンスを例として使用します。他の種類のサーバーについては、ご利用のサーバーのドキュメントをご参照ください。

   1. ECS コンソール - インスタンスに移動します。左上のコーナーで、ターゲットリソースのリージョンとリソースグループを選択します。

   2. インスタンス詳細ページで、接続 をクリックし、ワークベンチ を選択します。サーバーデスクトップにログオンします。

   3. [スタート] メニューをクリックし、[PC]、[コンピューター]、または [エクスプローラー] を開きます。

   4. [リダイレクトされたドライブとフォルダー] で、[workbench on ***] をダブルクリックします。証明書ファイルをこのディレクトリにドラッグし、右クリックして [更新] を選択します。

   5. ファイルを D:\cert ディレクトリにコピーします。

      重要

      Workbench は、再接続またはサインアウト時に [リダイレクトされたドライブとフォルダー] からアップロードされたすべてのファイルをクリアします。このディレクトリは転送にのみ使用し、ファイルを永続的に保存しないでください。

ステップ 3: 証明書のデプロイ

管理者としてコマンドプロンプト (cmd.exe) を開きます：

1. Apache のインストールディレクトリに移動し、バージョンを確認します。

   # コマンドラインで、Apache のインストールディレクトリに移動し、相対パスを使用してコマンドを実行します。
   .\httpd.exe -v

2. Apache のバージョンに基づいて設定ファイルを変更します。

   Apache 2.4.8 以降

   1. 証明書ファイルを結合します。

      中間証明書がある場合は、サーバー証明書 (your_domain_name_public.crt) とチェーンファイル (your_domain_name_chain.crt) を結合し、結合ファイル (your_domain_name_fullchain.pem) を作成します。

      # 中間証明書ファイルの内容をサーバー証明書ファイルに追加して、完全な証明書チェーンを形成します。
      copy /b your_domain_name_public.crt + your_domain_name_chain.crt your_domain_name_fullchain.pem

      結合後、必要なファイルは your_domain_name_fullchain.pem と your_domain_name.key の 2 つだけです。

   2. 設定ファイルを編集します。

      SSL 設定ファイル (例: httpd-ssl.conf) を開き、以下を追加します。

      <VirtualHost *:443>
      
          # example.com を証明書にバインドされているドメイン名に置き換えます。
          ServerName example.com
      
          # SSL エンジンを有効にします。
          SSLEngine on
      
          # 証明書ファイル。実際の結合された証明書ファイル (your_domain_name_fullchain.pem) へのパスを使用します。
          # 中間証明書ファイルがない場合は、サーバー証明書ファイル (your_domain_name_public.crt) へのパスを使用します。
          SSLCertificateFile D:\cert\your_domain_name_fullchain.pem
      
          # 秘密鍵ファイル。これを実際の秘密鍵ファイルへのパスに置き換えます。
          SSLCertificateKeyFile D:\cert\your_domain_name.key
      
          # その他の設定
          # ...
      
      </VirtualHost>

   Apache 2.4.7 以前

   SSL 設定ファイル (例: httpd-ssl.conf) を開き、以下を追加します。

   <VirtualHost *:443>
   
       # example.com を証明書にバインドされているドメイン名に置き換えます。
       ServerName example.com
   
       # SSL エンジンを有効にします。
       SSLEngine on
   
       # 証明書ファイル。これを実際の証明書ファイルへのパスに置き換えます。
       SSLCertificateFile D:\cert\your_domain_name_public.crt
   
       # 証明書チェーンファイル (別途指定)。これを実際の中間証明書ファイルへのパスに置き換えます。
       # 中間証明書がない場合は、このディレクティブを設定する必要はありません。
       SSLCertificateChainFile D:\cert\your_domain_name_chain.crt
   
       # 秘密鍵ファイル。これを実際の秘密鍵ファイルへのパスに置き換えます。
       SSLCertificateKeyFile D:\cert\your_domain_name.key
   
       # その他の設定
       # ...
   
   </VirtualHost>

3. オプション：HTTP から HTTPS への自動転送を設定します。

   ドメインの <VirtualHost> ブロックに Rewrite ディレクティブを追加します:

   <VirtualHost *:80>
       ServerName example.com
       RewriteEngine On
       RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
   </VirtualHost>

4. 構成を保存し、Apache の bin ディレクトリに移動して、構文エラーを確認します。

   .\httpd.exe -t

   Syntax OK は、構成が正しいことを示します。エラーが返された場合は、エラーメッセージに基づいて修正してください。

5. Apache サービスを再起動します。

   構文チェックに合格したら、次のコマンドを実行して Apache を再起動し、設定を適用します。

   .\httpd.exe -k restart

   説明

   別の方法として、Windows サービス (services.msc) で Apache サービスを見つけて再起動できます。

ステップ 4: デプロイメントの検証

本番環境へのデプロイ

本番環境でアプリケーションをデプロイする際は、セキュリティ、安定性、保守性を向上させるために、以下のベストプラクティスに従ってください：

• 非管理者ユーザーとしてアプリケーションを実行する：

  アプリケーション専用の低権限のシステムユーザーを作成します。管理者権限を持つアカウントを使用してアプリケーションを実行しないでください。

  説明

  ゲートウェイレベルの SSL 設定を使用することを推奨します。これには、SLB や Nginx インスタンスなどのリバースプロキシに証明書をデプロイすることが含まれます。

• 認証情報管理の外部化：

  パスワードなどの機密情報をコードや設定ファイルにハードコーディングしないでください。環境変数、vault、またはクラウドプロバイダーが提供する Key Management Service を使用して認証情報を注入します。

• HTTP から HTTPS への自動転送を強制する：

  HTTP 経由で Web サイトにアクセスするすべてのトラフィックが自動的に HTTPS に転送されるようにしてください。これにより、中間者 (MITM) 攻撃を防ぐことができます。

• 最新の TLS プロトコルを設定する：

  サーバー設定で、SSLv3、TLS 1.0、TLS 1.1 などの廃止された安全でないプロトコルを無効にします。TLS 1.2 と TLS 1.3 のみを有効にしてください。

• 証明書の監視と更新の自動化：

  証明書がデプロイされた後、ドメイン名監視を有効にすることを推奨します。Alibaba Cloud は証明書の有効期間を自動的にチェックし、証明書の有効期限が切れる前にリマインダーを送信します。これにより、証明書をタイムリーに更新してサービスの中断を防ぐことができます。詳細については、「パブリックドメイン名監視の購入と有効化」をご参照ください。

証明書が機能しない、または HTTPS にアクセスできない

一般的な原因：

• サーバーのセキュリティグループまたはファイアウォールでポート 443 が開いていません。詳細については、「ステップ 2: システムとネットワークの設定」をご参照ください。

• ドメイン名が、証明書のドメイン名のバインド内のドメインと一致しません。ドメイン名の照合を確認してください。

• 設定変更後に Apache サービスが再起動されていません。「ステップ 3: 証明書のデプロイ」の説明に従って再起動してください。

• 証明書ファイルが正しく置き換えられていないか、設定が間違ったパスを指しています。証明書ファイルと Apache の設定が最新で有効であることを確認してください。

• ドメイン名が CDN、SLB、WAF などのクラウドサービスと統合されていますが、証明書が対応するサービスにインストールされていません。詳細については、「トラフィックが複数のクラウドサービスを通過する場合の証明書のデプロイ場所」をご参照ください。

• ドメイン名が複数のサーバーに解決されますが、証明書はその一部にしかインストールされていません。各サーバーに証明書をインストールする必要があります。

Apache にインストールされた SSL 証明書を更新または置換する方法

既存の証明書ファイル (.crt および .key) をバックアップします。SSL 証明書サービスコンソールから新しい証明書をダウンロードし、サーバー上の同じパスとファイル名にファイルをアップロードして、Apache を再起動します。