Certificate Management Service:ECS および Simple Application Server への SSL 証明書のデプロイ

Nginx のバージョンを確認します。

Nginx バージョン 1.18.0-2.1.al8 から 1.20.1-1.0.5.al8 (このバージョンは含まない) のみがサポートされています。

/etc/nginx/nginx.conf ファイルを開き、pid /run/nginx.pid; の後に ssl_engine pkcs11; を追加して、PKCS#11 暗号化エンジンを指定します。以下の例は、場所と完全な設定を示しています：

user nginx;
worker_processes auto;
error_log /var/log/nginx/error.log;
pid /run/nginx.pid;

# PKCS#11 暗号化エンジンを指定
ssl_engine pkcs11;

/etc/nginx/nginx.conf ファイルを開き、Settings for a TLS enabled server セクションのコメントを解除し、include "/etc/acm/ssl/nginx-acm.conf"; を追加して SSL キー設定を参照します。

• 追加する内容：

  include "/etc/acm/ssl/nginx-acm.conf";

• 以下の例は、場所と完全な設定を示しています：

  server {
          listen       443 ssl http2;
          listen       [::]:443 ssl http2;
         
          # ホスト名またはコモンネーム (CN) を指定
          server_name  example.com;
          root         /usr/share/nginx/html;
  
          ssl_session_cache shared:SSL:1m;
          ssl_session_timeout  10m;
          ssl_prefer_server_ciphers on;
         
          # SSL キー設定を参照
          include "/etc/acm/ssl/nginx-acm.conf";
         
          # デフォルトサーバーブロックの設定ファイルをロード
          include /etc/nginx/default.d/*.conf;
  
          error_page 404 /404.html;
              location = /40x.html {
          }
  
          error_page 500 502 503 504 /50x.html;
              location = /50x.html {
          }
      }

/usr/lib/systemd/system/nginx.service ファイルを開き、P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock と OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf を追加して、SSL キーサービスとの通信を設定します。

1. 追加する内容：

   Environment="P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock"
   Environment="OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf"

2. 以下の例は、場所と完全な設定を示しています：

   [Unit]
   Description=A high performance web server and a reverse proxy server
   Documentation=man:nginx(8)
   After=network.target nss-lookup.target
   
   [Service]
   Type=forking
   PIDFile=/run/nginx.pid
   ExecStartPre=/usr/sbin/nginx -t -q -g 'daemon on; master_process on;'
   ExecStart=/usr/sbin/nginx -g 'daemon on; master_process on;'
   ExecReload=/usr/sbin/nginx -g 'daemon on; master_process on;' -s reload
   ExecStop=-/sbin/start-stop-daemon --quiet --stop --retry QUIT/5 --pidfile /run/nginx.pid
   TimeoutStopSec=5
   KillMode=mixed
   
   # SSL キーサービスとの通信を設定
   Environment="P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock"
   Environment="OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf"
   
   [Install]
   WantedBy=multi-user.target

   説明

   Nginx systemd サービスファイルのパスがわからない場合は、sudo find / -name "nginx.service" を実行して見つけてください。

次のコマンドを実行して、Nginx systemd サービス設定を再読み込みします：

systemctl daemon-reload

/etc/nginx/nginx.conf ファイルを開き、pid /run/nginx.pid; の後に ssl_engine pkcs11; を追加して、SSL/TLS 暗号化エンジンを指定します。以下の例は、場所と完全な設定を示しています：

user www-data;
worker_processes auto;
pid /run/nginx.pid;

# PKCS#11 暗号化エンジンを指定
ssl_engine pkcs11;

include /etc/nginx/modules-enabled/*.conf;

/etc/nginx/sites-enabled/default ファイルを開き、ファイル内に新しいサーバーブロックを作成し、その中に include "/etc/acm/ssl/nginx-acm.conf"; を追加します。

1. 追加する内容：

   include "/etc/acm/ssl/nginx-acm.conf";

2. 以下の例は、場所と完全な設定を示しています：

   server {
       listen 443 ssl;
       
       # ホスト名またはコモンネーム (CN) を指定
       server_name example.com;
       root /var/www/html;
       index index.html index.htm;
       access_log /var/log/nginx/access_6equj5.log;
       error_log /var/log/nginx/error_6equj5.log;
       ssl on;
       
       # SSL キー設定を参照
       include "/etc/acm/ssl/nginx-acm.conf";
   
       location / {
         try_files $uri $uri/ =404;
       }
   }

/usr/lib/systemd/system/nginx.service ファイルを開き、P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock と OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf を追加して、SSL キーサービスとの通信を設定します。

1. 追加する内容：

   Environment="P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock"
   Environment="OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf"

2. 以下の例は、場所と完全な設定を示しています：

   [Unit]
   Description=A high performance web server and a reverse proxy server
   Documentation=man:nginx(8)
   After=network.target nss-lookup.target
   
   [Service]
   Type=forking
   PIDFile=/run/nginx.pid
   ExecStartPre=/usr/sbin/nginx -t -q -g 'daemon on; master_process on;'
   ExecStart=/usr/sbin/nginx -g 'daemon on; master_process on;'
   ExecReload=/usr/sbin/nginx -g 'daemon on; master_process on;' -s reload
   ExecStop=-/sbin/start-stop-daemon --quiet --stop --retry QUIT/5 --pidfile /run/nginx.pid
   TimeoutStopSec=5
   KillMode=mixed
   
   # SSL キーサービスとの通信を設定
   Environment="P11_KIT_SERVER_ADDRESS=unix:path=/etc/acm/ssl/acm-p11-kit.sock"
   Environment="OPENSSL_CONF=/etc/acm/ssl/openssl-acm.cnf"
   
   [Install]
   WantedBy=multi-user.target

次のコマンドを実行して、Nginx systemd サービス設定を再読み込みします：

systemctl daemon-reload