[Google App Engine]独自ドメインのSSL化対応その2 証明書の発行 Let's Encrypt

昨日のエントリーでは、Google App EngineのSSL化対応としてLet's Encryptの導入方法について書きましたが、証明書の発行で失敗してしまいました。

そこで、今度は、下記のようなコマンドを打って実行しました。

./certbot-auto certonly --debug --manual --domain goodrobot.jp --email mai.musicfactory@gmail.com

すると、





「YES」を選択します。

すると下のようなメッセージが表示されます。

Make sure your web server displays the following content at
http://goodrobot.jp/.well-known/acme-challenge/__j4iGqJf_uy606_i7yRVo55RNjjpfP2fHnV16VEdcU before continuing:

__j4iGqJf_uy606_i7yRVo55RNjjpfP2fHnV16VEdcU.btuS1Llzlg-2rx2dO8_Z7fJ74ixIZXJp3WwZxnB9vSQ

If you don't have HTTP server configured, you can run the following
command on the target server (as root):

mkdir -p /tmp/certbot/public_html/.well-known/acme-challenge
cd /tmp/certbot/public_html
printf "%s" __j4iGqJf_uy606_i7yRVo55RNjjpfP2fHnV16VEdcU.btuS1Llzlg-2rx2dO8_Z7fJ74ixIZXJp3WwZxnB9vSQ > .well-known/acme-challenge/__j4iGqJf_uy606_i7yRVo55RNjjpfP2fHnV16VEdcU
# run only once per server:
$(command -v python2 || command -v python2.7 || command -v python2.6) -c \
"import BaseHTTPServer, SimpleHTTPServer; \
s = BaseHTTPServer.HTTPServer(('', 80), SimpleHTTPServer.SimpleHTTPRequestHandler); \
s.serve_forever()" 
Press ENTER to continue

でEnterを押さずに、app.yamlの設定に移ります。

#for Let's Encrypt
- url: /.well-known/acme-challenge/__j4iGqJf_uy606_i7yRVo55RNjjpfP2fHnV16VEdcU
  static_files: lets_encrypt.txt
  upload: lets_encrypt.txt

で、lets_encrypt.txtを設定します。

__j4iGqJf_uy606_i7yRVo55RNjjpfP2fHnV16VEdcU.btuS1Llzlg-2rx2dO8_Z7fJ74ixIZXJp3WwZxnB9vSQ

完了後、deployします。

deploy後、ターミナルでEnterキーを押すと

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at
   /etc/letsencrypt/live/goodrobot.jp/fullchain.pem. Your cert will
   expire on 2017-02-22. To obtain a new or tweaked version of this
   certificate in the future, simply run certbot-auto again. To
   non-interactively renew *all* of your certificates, run
   "certbot-auto renew"
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

となるので、証明書の発行は完了です。

次回は、これをもとに、opensslを使って下記のようにエンコードを実行します。

sudo openssl rsa -in /etc/letsencrypt/live/goodrobot.jp/privkey.pem -out /etc/letsencrypt/live/goodrobot.jp/privkey_no_pass.pem

出力されたエンコードファイルを、google cloud platformにアップロードするのですが、
「PEM でエンコードされた X.509 公開鍵証明書」に、fullchain.pemをアップロードして、
「復号化された PEM でエンコードされた RSA 秘密鍵」の欄にprivkey_no_pass.pemをアップロードして保存すればおｋ。

参考
Let's encryptで無料のSSL/TLS証明書を取得して独自ドメイン運用のGAEに入れて使う