Apache サーバー (Linux) への SSL 証明書のインストール

ポート 443 が開放されているか確認する

次のコマンドを実行して、ポート 443 の接続性をテストします。<your_server_public_ip> は、ご利用のサーバーのパブリック IP アドレスに置き換えてください。

RHEL/CentOS

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# <your_server_public_ip> をご利用のサーバーのパブリック IP アドレスに置き換えます。
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

ポート 443 が開放されている場合の期待される出力：Ncat: Connected to <your_server_public_ip>:443

Debian/Ubuntu

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# <your_server_public_ip> をご利用のサーバーのパブリック IP アドレスに置き換えます。
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

ポート 443 が開放されている場合の期待される出力：Connection to <your_server_public_ip> port [tcp/https] succeeded! または [<your_server_public_ip>] 443 (https) open

ポート 443 が開放されていない場合は、以下の 2 つのサブステップを実行してください。

セキュリティグループでポート 443 を開放する

「Elastic Compute Service (ECS) インスタンス」ページに移動し、インスタンス名をクリックします。「[セキュリティグループの詳細]」セクションで、「セキュリティグループルールを追加する」をクリックし、以下の設定でルールを追加します：

システムファイアウォールでポート 443 を開放する

次のコマンドを実行して、アクティブなファイアウォールを特定します。

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

出力が none の場合、これ以上の操作は不要です。それ以外の場合は、ご利用のファイアウォールタイプに応じて以下のコマンドを実行します。

firewalld

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

ufw

sudo ufw allow 443/tcp

nftables

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

iptables

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

iptables ルールを再起動後も維持するには：

*RHEL/CentOS*

sudo yum install -y iptables-services
sudo service iptables save

*Debian/Ubuntu*

sudo apt-get install -y iptables-persistent
sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

Apache のバージョンを確認し、SSL モジュールを有効化する

ステップ 3a：Apache のバージョンを確認する

httpd -v

apache2 -v

ステップ 3b：SSL モジュールが有効化されているか確認する

httpd -M | grep 'ssl_module'

apachectl -M | grep 'ssl_module'

モジュールが読み込まれている場合、出力に ssl_module (shared) が含まれます。含まれていない場合は、以下を実行してインストールします。

sudo yum install -y mod_ssl
# RHEL/CentOS 8.0 以降の場合：
sudo dnf install -y mod_ssl

sudo a2enmod ssl

VirtualHost の構成

# サーバー証明書に証明書チェーンを追記して、完全なチェーンファイルを作成します。
cat domain_name_public.crt domain_name_chain.crt > domain_name_fullchain.pem

vim /etc/httpd/conf.d/ssl.conf

<VirtualHost *:443>

    # example.com を保護したいドメイン名に置き換えます。
    ServerName example.com

    # 証明書ファイル。結合済みのフルチェーンファイルへのパスを使用します。
    SSLCertificateFile /etc/ssl/cert/domain_name_fullchain.pem

    # 秘密鍵ファイル。ご利用の秘密鍵ファイルへのパスに置き換えます。
    SSLCertificateKeyFile /etc/ssl/cert/domain_name.key

    # その他の構成
    # ...

</VirtualHost>

vim /etc/httpd/conf.d/ssl.conf

<VirtualHost *:443>

    # example.com を証明書にバインドされているドメイン名に置き換えます。
    ServerName example.com

    # 証明書ファイル。ご利用の証明書ファイルへのパスに置き換えます。
    SSLCertificateFile /etc/ssl/cert/domain_name_public.crt

    # 証明書チェーンファイル（別途指定）。実際のパスに置き換えます。
    SSLCertificateChainFile /etc/ssl/cert/domain_name_chain.crt

    # 秘密鍵ファイル。ご利用の秘密鍵ファイルへのパスに置き換えます。
    SSLCertificateKeyFile /etc/ssl/cert/domain_name.key

    # その他の構成
    # ...

</VirtualHost>

Apache の構文検証と再読み込み

構成の構文をチェックします。

sudo httpd -t

sudo apache2ctl -t

出力が Syntax OK の場合、証明書を適用するために Apache を再読み込みまたは再起動します。

# 再読み込み（グレースフル、推奨）：
sudo systemctl reload httpd

# 再起動（強制再起動）：
sudo systemctl restart httpd

# 再読み込み（グレースフル、推奨）：
sudo systemctl reload apache2

# 再起動（強制再起動）：
sudo systemctl restart apache2

インストール後に HTTPS にアクセスできない — 何を確認すればよいですか？

以下のチェックを順番に実施してください。

1. ポート 443 がブロックされている：セキュリティグループおよびシステムファイアウォールでポート 443 が開放されていることを確認します。「ステップ 2：ポート 443 の開放」をご参照ください。

2. ドメイン不一致：アクセスしているドメインが、証明書の バインドドメイン に記載されていません。「前提条件」のドメインカバレッジルールをご確認ください。

3. Apache が再読み込みされていない：構成変更後に Apache サービスが再読み込みまたは再起動されていません。「Apache の構文検証と再読み込み」をご参照ください。

4. 証明書パスの誤りまたは古いファイル：Apache 構成ファイル内のパスが、最新かつ正しい証明書ファイルを指していることを確認します。

5. アップストリームサービスの証明書欠落：ドメインがコンテンツデリバリーネットワーク (CDN)、 Server Load Balancer (SLB)、または Web Application Firewall (WAF) を経由する場合、これらのサービスにも証明書をインストールしてください。 トラフィックが複数の Alibaba Cloud サービスを通過する場合の証明書のデプロイ先をご参照ください。

6. 複数サーバーへのデプロイが不完全：ドメインの DNS が複数のサーバーに解決される場合、すべてのサーバーに証明書をインストールする必要があります。

ブラウザに「証明書名の不一致」または NET::ERR_CERT_COMMON_NAME_INVALID と表示される — これは何を意味しますか？

アクセスしているドメインが、証明書の バインドドメイン に記載されているどのドメインとも一致していません。「前提条件」のドメインカバレッジルールを確認し、必要に応じて証明書を購入または更新してください。

Apache で SSL 証明書を更新または置き換えるにはどうすればよいですか？

1. 古いファイルのバックアップ：サーバー上の既存の .crt および .key ファイルのコピーを保存します。

2. 新しいファイルのダウンロード：SSL 証明書管理コンソールから、新しい証明書および秘密鍵を取得します。

3. ファイルの置き換え：新しいファイルを、Apache 構成で指定されている同じパスにアップロードし、古いファイルを上書きします。

4. Apache の再読み込み：ダウンタイムなしで新しい証明書を適用するために、sudo systemctl reload httpd（RHEL/CentOS）または sudo systemctl reload apache2（Debian/Ubuntu）を実行します。