黒猫サーバー移転（5） Webサーバー整備（Apache導入③　SSL接続）

2026年 9月11日 金曜 雨のち曇り 25℃

これは、11日のブログを 1日遅れで 12日に書いています。

IT関連のネタに興味がない方が、途中で記事をスキップできるように、黒猫サーバー移転の内容は、後半に書きます。

---

朝は、アップルパイ、コーヒーでした。

---

12:00 ～ 13:00 に、アマチュア無線の東京ランチタイムハムグループお昼のミーティングにメンバー局で参加しました。10局参加でした。

お昼は、ハムチーズクロワッサン、ガーリックシュリンプ、ヨーグルトでした。

---

夕食は、赤坂離宮の回旋炒飯（＋卵 2個）でした。

ちゃんと むきエビやイカが入っていて、まあまあ美味しかったです。

---

黒猫サーバー移転（4） Webサーバー整備（Apache導入③ SSL接続）

黒猫サーバーのインフラはVPS(仮想プライベートサーバー)で、大阪リージョンのデータセンターにあります。きのうまでに、さくらのVPSをレンタルして、OSは Rocky Linux 10を入れて、VPSにWebサーバーを インストールして、HTTPで任意のコンテンツを表示するところまでを書きました。きょうは、続きを書きます。

黒猫サーバーのWebサーバーは、HTTPではなく HTTPS（SSL/TSL）で伝送路を暗号化した通信で運用しています。SSLを使用するには、ドメイン名で電子署名したサーバー証明書を導入し、DNSでドメインのIPアドレスを新しい黒猫サーバーに書き換えが必要です。ですが、DNSを書き換えてしまうと、現在の黒猫サーバーのブログが使えなくなってしまいます。このため、DNSの書き換えと、ドメイン名に対応したサーバー証明書の設定は、新しい黒猫サーバーでWordPressが使えるようになってからにして、しばらくの間「オレオレ証明書（自己証明書）」でSSL通信することにします。

ApacheでSSLを使用するには、ApacheにSSLのモジュールをインストールします。

＃ dnf install -y mod_ssl
（または、＃ yum install mod_ssl）
　　　　　　…

Apacheを再起動します。

＃ systemctl restart httpd

これで「オレオレ証明書」でSSL通信することができます。「オレオレ証明書」は、mod_sslをインストール時に以下に作成されます。

　・秘密鍵：
　　　/etc/pki/tls/private/localhost.key
　・証明書（自己署名）：
　　　/etc/pki/tls/certs/localhost.crt
　・設定ファイル：
　　　/etc/httpd/conf.d/ssl.conf

Apacheは、ssl.conf 中の記述から秘密鍵と証明書を参照します。商用の証明書を使うときは、ssl.conf の記述を書き換えることになります。

Webブラウザに、SSLを使うようにhttp を httpsに変えてアクセスすると、いまはまだ「オレオレ証明書」なので警告が出ます。

https://IPアドレス/

エラーではなく警告なので、無視して先へ進めます。

いちいち警告が出るのは煩わしいですが、ドメイン指定で商用の証明書を作って設定するまで、しばらく我慢です。

黒猫サーバーのOSは Rocky Linux 10なので、EPEL 版 Certbot を使って 黒猫ドメイン の Let’s Encrypt 証明書と秘密鍵を生成できます。
yum/dnfでEPEL リポジトリから CertbotとApacheのプラグイン をインストールして、バージョンを確認しておきます。

＃ dnf install -y epel-release
　　　　　　　…
＃ dnf install -y certbot
　　　　　　　…
＃ dnf install -y python3-certbot-apache
　　　　　　　…
＃ certbot –version
certbot 4.2.0

本番環境にDNSを切り替えたときには、certbotコマンドを実行して商用証明書と秘密鍵を生成してインストールします。（DNS切り替え前は以下を保留）

＃ certbot –apache -d 黒猫ドメイン名
　　　　　　　…
　　※ EMAILアドレス入力、規約に同意などを答えます

商用証明書と秘密鍵の保存場所は、ここです。

・証明書（商用）：
　　 /etc/letsencrypt/live/黒猫ドメイン名/fullchain.pem
・秘密鍵：
　　 /etc/letsencrypt/live/黒猫ドメイン名/privkey.pem

Rocky Linux 10 の certbot は systemd timer が自動で設定されますので確認します。

＃ systemctl status certbot-renew.timer


Let’s Encrypt 証明書の期限は30日間なので、systemd timerで 毎日 2 回 certbot renewコマンド を実行して証明書更新チェックを行い、証明書の有効期限が 30 日未満の証明書だけ自動的に更新されます。cronなどの設定は不要です。

ここまでやれば、httpsで黒猫ドメイン名でWebサーバーへアクセスできます。証明書の警告も出なくなります。
　https://黒猫ドメイン名/

Apacheを本番運用するには、セキュリティ設定を、あれやこれやも必要ですが、それはまた、おいおいと・・・

---

ということで、今回は このへんで失礼します。