Certificate Management Service:Nginx または Tengine サーバー (Linux) への SSL 証明書のインストール

ポート 443 が開放されているかどうかの確認

次のコマンドを実行して、ポート 443 の接続性をテストします。<your_server_public_ip> は、サーバーのパブリック IP アドレスに置き換えてください。

RHEL/CentOS

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

出力が Ncat: Connected to <your_server_public_ip>:443 の場合、ポート 443 は開放されています。それ以外の場合は、以下の手順を実行してください。

Debian/Ubuntu

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

出力が Connection to <your_server_public_ip> port [tcp/https] succeeded! または [<your_server_public_ip>] 443 (https) open の場合、ポート 443 は開放されています。それ以外の場合は、以下の手順を実行してください。

セキュリティグループでのポート 443 の開放

「Elastic Compute Service (ECS) インスタンス」ページに移動し、ターゲットインスタンス名をクリックします。[セキュリティグループの詳細] セクションで、次の設定を使用してルールを追加し、セキュリティグループルールを追加 をクリックします。

システムファイアウォールでのポート 443 の開放

次のコマンドを実行して、アクティブなファイアウォールを特定します。

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

出力が none の場合、ファイアウォールの操作は不要です。それ以外の場合は、ファイアウォールの種類に応じて次のコマンドを実行します。

firewalld

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

ufw

sudo ufw allow 443/tcp

nftables

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

iptables

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

再起動後に iptables ルールを永続化するには、次の操作を行います。

• RHEL/CentOS:

  sudo yum install -y iptables-services
  sudo service iptables save

• Debian/Ubuntu:

  sudo apt-get install -y iptables-persistent
  sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

SSL モジュールのインストール

次のコマンドを実行します。出力が --with-http_ssl_module の場合、SSL モジュールはすでにインストール済みであり、SSL 証明書の構成 に進むことができます。

nginx -V 2>&1 | grep -o -- '--with-http_ssl_module'

システムが nginx: command not found を返す場合は、完全なインストールパスを使用してください。例：/usr/local/nginx/sbin/nginx -V 2>&1 | grep -o -- '--with-http_ssl_module'。

SSL モジュールが不足している場合は、Nginx のインストール方法に基づいて、以下のいずれかの方法でインストールします。

# 公式 Nginx リポジトリを追加します。
sudo tee /etc/yum.repos.d/nginx.repo <<EOF
[nginx-stable]
name=nginx stable repo
baseurl=https://nginx.org/packages/centos/\$releasever/\$basearch/
gpgcheck=1
enabled=1
gpgkey=https://nginx.org/keys/nginx_signing.key
module_hotfixes=true
EOF

# Nginx をアップグレードします。
sudo yum upgrade nginx

# Nginx をアップグレードします。
sudo apt-get update
sudo apt-get install --only-upgrade nginx

SSL 証明書の構成

1. 構成ファイルを開きます。

   sudo vim /etc/nginx/nginx.conf

2. HTTPS 用のサーバーブロックを追加します。ポート 80 でリッスンしている既存の server ブロックをコピーし、listen 80 を listen 443 ssl に変更し、以下に示す SSL ディレクティブを追加します。その他の設定はすべてそのまま保持します。

   # ポート 80 でリッスンする元のサーバーブロック
   server {
       listen 80;
       server_name yourdomain www.yourdomain;
   
       # その他の構成
       location / {
           proxy_pass http://127.0.0.1:8000;
       }
   }
   
   # HTTPS 用の新しいサーバーブロック。
   server {
       # 元の 'listen 80' を 'listen 443 ssl' に変更します。
       listen 443 ssl;
       # 元の server_name。現在の証明書でサポートされているドメイン名をさらに追加できます。
       server_name yourdomain www.yourdomain;
   
       # ======================= 証明書構成の開始 =======================
       # 証明書ファイルを指定します (中間証明書はこの .pem ファイルに追加できます)。/etc/ssl/cert/ssl.pem を、ご利用の証明書ファイルの絶対パスに置き換えてください。
       ssl_certificate /etc/ssl/cert/ssl.pem;
       # 秘密鍵ファイルを指定します。/etc/ssl/cert/ssl.key を、ご利用の秘密鍵ファイルの絶対パスに置き換えてください。
       ssl_certificate_key /etc/ssl/cert/ssl.key;
       # パフォーマンス向上のために SSL セッションキャッシュを構成します。
       ssl_session_cache shared:SSL:1m;
       # SSL セッションのタイムアウト期間を設定します。
       ssl_session_timeout 5m;
       # 使用する TLS プロトコルタイプおよび暗号スイートをカスタマイズします (以下は例示の構成です。必要に応じて構成を検討してください)。
       ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
       # 許可する TLS プロトコルバージョンを指定します。より高い TLS バージョンは HTTPS 通信のセキュリティを向上させますが、低い TLS バージョンよりもブラウザとの互換性が低下します。
       ssl_protocols TLSv1.2 TLSv1.3;
       # サーバーで指定された暗号スイートを優先します。
       ssl_prefer_server_ciphers on;
       # ======================= 証明書構成の終了 =======================
   
       # その他の構成
   }

3. (オプション) HTTP から HTTPS へのリダイレクトを設定します。ポート 80 のサーバーブロックに return ディレクティブを追加します。

   # ポート 80 でリッスンする元のサーバーブロック
   server {
       listen 80;
       server_name yourdomain www.yourdomain;
   
       # すべての HTTP トラフィックを HTTPS にリダイレクトします。
       return 301 https://$host$request_uri;
   
       # 到達しなくなるため、元のその他の構成は削除できます。
   }

4. 構文エラーがないか構成をテストします。

   sudo nginx -t -c /etc/nginx/nginx.conf

   出力に syntax is ok および test is successful の両方が含まれている場合、構成は有効です。それ以外の場合は、報告されたエラーを修正して再度テストを実行してください。

Nginx の再読み込み

sudo nginx -s reload

nginx

インストール後に HTTPS にアクセスできないのはなぜですか？

以下の項目を順に確認してください。

• ポート 443 がブロックされています — セキュリティグループまたはファイアウォールでポート 443 のインバウンドトラフィックが許可されていません。「ポート 443 の開放」をご参照ください。

• ドメイン不一致 — アクセスしているドメインが証明書の バインドドメイン に記載されていません。「前提条件」のドメインカバレッジ表をご参照ください。

• Nginx が再読み込みされていません — 変更後に構成が再読み込みされていません。sudo nginx -s reload を実行してください。

• ファイルパスが誤っています — ssl_certificate または ssl_certificate_key ディレクティブが誤ったパスを指しています。.pem および .key ファイルの絶対パスを確認してください。

• 上流サービスでの証明書の不足 — お客様のドメインがコンテンツデリバリーネットワーク (CDN)、Server Load Balancer (SLB)、またはWeb Application Firewall (WAF)を経由してルーティングされる場合、これらのサービスにも証明書をインストールする必要があります。詳細については、「トラフィックが複数のAlibaba Cloudサービスを通過する場合の証明書デプロイメント場所」をご参照ください。

• すべてのサーバーに証明書がデプロイされていません — ドメインの DNS が複数のサーバーに解決される場合、各サーバーに証明書をインストールする必要があります。

詳細については、「ブラウザのエラーメッセージに基づく証明書デプロイメントの問題解決」および「SSL 証明書デプロイメントのトラブルシューティングガイド」をご参照ください。

ダウンタイムなしで SSL 証明書を更新または置き換える方法を教えてください。

1. サーバー上の現在の .pem および .key ファイルをバックアップします。

2. Certificate Management Service コンソールから新しい証明書および秘密鍵をダウンロードします。

3. 新しいファイルをサーバーにアップロードし、既存のファイルを置き換えます。Nginx 構成で参照されているのと同じファイルパスおよびファイル名を正確に使用してください。

4. Nginx を再読み込みます：sudo nginx -s reload。

Linux サーバーでアクティブな Nginx 構成ファイル (nginx.conf) を特定する方法を教えてください。

1. ps -ef | grep '[n]ginx: master' | grep -- ' -c ' を実行します。出力に -c /etc/nginx/custom.conf のような内容が含まれている場合、Nginx はそのカスタム構成ファイルを使用しています。

2. ステップ 1 の出力が空の場合、Nginx はデフォルトのコンパイルパスを使用しています。nginx -V 2>&1 | grep -oP -- '--conf-path=[^ ]*' を実行してデフォルトパスを表示します (例：--conf-path=/etc/nginx/nginx.conf)。

「証明書が基準を満たしていない」という警告を修正するために TLSv1.0 および TLSv1.1 を無効化する方法を教えてください。

Nginx 構成で ssl_protocols ディレクティブを次のように設定します。

ssl_protocols TLSv1.2 TLSv1.3;

これにより、安全でない TLSv1.0 および TLSv1.1 プロトコルが無効化されます。ファイルを保存後、nginx -s reload を実行して変更を適用してください。

nginx -t が bind() to 0.0.0.0:443 failed (98: Address already in use) で失敗するのはなぜですか？

別のプロセスがすでにポート 443 でリッスンしています。sudo ss -tlnp | grep :443 を実行して、そのプロセスを特定します。その後、競合するプロセス (別の Web サーバーまたはハングした Nginx インスタンスなど) を停止するか、別のポートを使用するように再構成してください。

nginx -t が cannot load certificate "/etc/nginx/ssl/domain.pem": BIO_new_file() failed で失敗するのはなぜですか？

Nginx が構成で指定されたパスに証明書ファイルを見つけられません。nginx.conf の ssl_certificate ディレクティブを修正し、.pem ファイルの実際の絶対パスを指定してください。

Nginx の再読み込みが the "ssl" parameter requires ngx_http_ssl_module で失敗するのはなぜですか？

Nginx のビルドに SSL モジュールが含まれていません。ngx_http_ssl_module を有効にして Nginx をインストールまたは再コンパイルしてください。「SSL モジュールのインストール」をご参照ください。

Nginx の再読み込み時に No such file or directory: fopen('/cert/3970497_demo.aliyundoc.com.pem','r') というエラーが発生するのはなぜですか？

ssl_certificate または ssl_certificate_key に指定されたパスが誤っています。構成内のパスが正しい絶対パスであることを確認し、ファイルがその場所に存在することを確認してください。

Nginx が SSL 証明書ファイルを読み取れず、permission denied エラーが発生するのはなぜですか？

Nginx ワーカープロセスのユーザーに証明書ファイルの読み取り権限がありません。

1. Nginx ワーカーユーザーを特定します：nginx.conf 内の user ディレクティブを確認します (例：user nginx;)。

2. そのユーザーに証明書および秘密鍵ファイルの読み取り (r) 権限、およびパス内のすべての親ディレクトリの実行 (x) 権限を付与します。