ACMEクライアント導入ガイド

1. 必要コマンドのインストール

RHEL 系と Debian 系で、パッケージから Certbot と必要なコマンドをインストールする例です。

[RHEL系（Rocky / Alma / RHEL8+ など）]
sudo dnf install -y epel-release
sudo dnf -y install certbot curl ca-certificates openssl

[Debian系]
sudo apt update
sudo apt install -y certbot curl ca-certificates openssl

2. 新規発行

sudo certbot certonly \
  --webroot \
  -w "/var/www/docs/www.domain-keeper.net" \
  --deploy-hook "systemctl reload httpd" \
  --config-dir "/etc/SSL1234567-www.domain-keeper.net" \
  --work-dir "/var/lib/SSL1234567-www.domain-keeper.net" \
  --logs-dir "/var/log/SSL1234567-www.domain-keeper.net" \
  --cert-name "www.domain-keeper.net" \
  -d "www.domain-keeper.net" \
  -d "domain-keeper.net" \
  --server "https://acme.amecert.jprs.jp/DV/getDirectory" \
  --eab-kid "EXAMPLEKID" \
  --eab-hmac-key "EXAMPLEHMAC" \
  --key-type rsa \
  --rsa-key-size 2048 \
  --agree-tos \
  --email "example@domain-keeper.net" \
  --no-eff-email \
  --non-interactive

3. Cronによる自動化

sudo tee /etc/cron.d/SSL1234567-www.domain-keeper.net-certbot >/dev/null <<'EOF'
0 3 * * * root mkdir -p /var/log/SSL1234567-www.domain-keeper.net && /usr/bin/certbot renew --cert-name "www.domain-keeper.net" --deploy-hook "systemctl reload httpd" --config-dir "/etc/SSL1234567-www.domain-keeper.net" --work-dir "/var/lib/SSL1234567-www.domain-keeper.net" --logs-dir "/var/log/SSL1234567-www.domain-keeper.net" --server "https://acme.amecert.jprs.jp/DV/getDirectory" --non-interactive >>/var/log/SSL1234567-www.domain-keeper.net/SSL1234567-www.domain-keeper.net.log 2>&1
EOF

4. 証明書保存ディレクトリ

証明書
/etc/SSL1234567-www.domain-keeper.net/live/www.domain-keeper.net/cert.pem

中間証明書
/etc/SSL1234567-www.domain-keeper.net/live/www.domain-keeper.net/chain.pem

証明書 + 中間証明書
/etc/SSL1234567-www.domain-keeper.net/live/www.domain-keeper.net/fullchain.pem

秘密鍵
/etc/SSL1234567-www.domain-keeper.net/live/www.domain-keeper.net/privkey.pem

主な指定の役割

• --webroot -w: HTTP-01 用の認証ファイルを書き込むWeb公開ディレクトリです。
• --config-dir: Certbot のアカウント情報、更新設定、証明書を保存するディレクトリです。
• --cert-name: Certbot 内で証明書を管理する名前です。
• --eab-kid / --eab-hmac-key: 認証局から発行される外部アカウント連携情報です。
• --deploy-hook: 発行または更新後にWebサーバをリロードするフックです。

複数のWeb公開ディレクトリを使う場合は、-w /path -d host の組み合わせを必要な数だけ並べます。

公式サイト: Certbot Instructions / User Guide

1. win-acme を配置

公式サイトから最新版のZIPをダウンロードし、任意のフォルダへ展開します。 例では C:\win-acme に配置した前提です。

cd C:\win-acme
.\wacs.exe --version

2. 新規発行

cd C:\win-acme
.\wacs.exe ^
  --baseuri "https://acme.amecert.jprs.jp/DV/getDirectory" ^
  --accepttos ^
  --emailaddress "example@domain-keeper.net" ^
  --eab-key-identifier "EXAMPLEKID" ^
  --eab-key "EXAMPLEHMAC" ^
  --source iis ^
  --siteid 1 ^
  --host "www.domain-keeper.net,domain-keeper.net" ^
  --commonname "www.domain-keeper.net" ^
  --validation filesystem ^
  --validationsiteid 1 ^
  --store certificatestore ^
  --certificatestore WebHosting ^
  --installation iis ^
  --installationsiteid 1

3. 自動更新

win-acme は初回発行後、通常はタスクスケジューラへ更新タスクを登録します。 手動で確認したい場合は、次のように実行します。

cd C:\win-acme
.\wacs.exe --renew --verbose

4. 証明書保存先

証明書
Windows 証明書ストア: Local Computer / WebHosting

IIS反映先
--installationsiteid で指定した IIS サイトの HTTPS バインド

主な指定の役割

• --baseuri: ACMEディレクトリURLです。
• --eab-key-identifier / --eab-key: 認証局から発行される外部アカウント連携情報です。
• --source iis: IISサイトから対象ホスト名を取得します。
• --validation filesystem: HTTP-01 用の認証ファイルをWebルートへ配置します。
• --validationsiteid: 認証ファイルを配置するIISサイトを指定します。
• --store certificatestore: Windows証明書ストアへ保存します。
• --installation iis: IISのHTTPSバインドへ反映します。

公式サイト: win-acme / Command line arguments / Automatic renewal