チュートリアル: AL2023 で SSL/TLS を設定する

インスタンスに接続し、Apache が実行されていることを確認します。詳細については、「AL2023 インスタンスへの接続」を参照してください。

[ec2-user ~]$ sudo systemctl is-enabled httpd

返される値が「enabled」でない場合、Apache を起動し、システムブート時に毎回起動されるように設定します。

[ec2-user ~]$ sudo systemctl start httpd && sudo systemctl enable httpd

すべてのソフトウェアパッケージが最新の状態であることを確認するため、インスタンスでソフトウェアの更新を実行します。この処理には数分かかりますが、最新の更新とバグ修正を確実に適用することが重要です。

[ec2-user ~]$ sudo dnf install openssl mod_ssl

次のコマンドを入力すると、サイトに関する情報を入力できるプロンプトが表示されます。

[ec2-user ~]$ sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/pki/tls/private/apache-selfsigned.key -out /etc/pki/tls/certs/apache-selfsigned.crt

/etc/pki/tls/certs/ ディレクトリに新しいファイル apache-selfsigned.crt が生成されます。指定されたファイル名は、SSLCertificateFile の /etc/httpd/conf.d/ssl.conf ディレクティブで割り当てたデフォルトの名前と一致します。

次のファイルがインスタンスに作成されました。このファイルは、セキュアサーバーの設定とテスト用の証明書の作成に使用します。

このファイルには、自己署名証明書と証明書のプライベートキーのいずれも含まれます。Apache では、証明書とキーが PEM形式である必要があります。これは、次の省略例のように、「」行BEGINとEND「」行で囲まれた Base64-encodedされたASCII文字で構成されます。

-----BEGIN PRIVATE KEY-----
MIIEvgIBADANBgkqhkiG9w0BAQEFAASCBKgwggSkAgEAAoIBAQD2KKx/8Zk94m1q
3gQMZF9ZN66Ls19+3tHAgQ5Fpo9KJDhzLjOOCI8u1PTcGmAah5kEitCEc0wzmNeo
BCl0wYR6G0rGaKtK9Dn7CuIjvubtUysVyQoMVPQ97ldeakHWeRMiEJFXg6kZZ0vr
GvwnKoMh3DlK44D9dX7IDua2PlYx5+eroA+1Lqf32ZSaAO0bBIMIYTHigwbHMZoT
...
56tE7THvH7vOEf4/iUOsIrEzaMaJ0mqkmY1A70qQGQKBgBF3H1qNRNHuyMcPODFs
27hDzPDinrquSEvoZIggkDMlh2irTiipJ/GhkvTpoQlv0fK/VXw8vSgeaBuhwJvS
LXU9HvYq0U6O4FgD3nAyB9hI0BE13r1HjUvbjT7moH+RhnNz6eqqdscCS09VtRAo
4QQvAqOa8UheYeoXLdWcHaLP
-----END PRIVATE KEY-----                    

-----BEGIN CERTIFICATE-----
MIIEazCCA1OgAwIBAgICWxQwDQYJKoZIhvcNAQELBQAwgbExCzAJBgNVBAYTAi0t
MRIwEAYDVQQIDAlTb21lU3RhdGUxETAPBgNVBAcMCFNvbWVDaXR5MRkwFwYDVQQK
DBBTb21lT3JnYW5pemF0aW9uMR8wHQYDVQQLDBZTb21lT3JnYW5pemF0aW9uYWxV
bml0MRkwFwYDVQQDDBBpcC0xNzItMzEtMjAtMjM2MSQwIgYJKoZIhvcNAQkBFhVy
...
z5rRUE/XzxRLBZOoWZpNWTXJkQ3uFYH6s/sBwtHpKKZMzOvDedREjNKAvk4ws6F0
CuIjvubtUysVyQoMVPQ97ldeakHWeRMiEJFXg6kZZ0vrGvwnKoMh3DlK44D9dlU3
WanXWehT6FiSZvB4sTEXXJN2jdw8g+sHGnZ8zCOsclknYhHrCVD2vnBlZJKSZvak
3ZazhBxtQSukFMOnWPP2a0DMMFGYUHOd0BQE8sBJxg==
-----END CERTIFICATE-----

ファイル名および拡張子は利便性のためであり、機能には影響しません。例えば、cert.crt または cert.pem などのファイル名で証明書を呼び出すことができます。ただし、ssl.conf ファイルの関連ディレクティブが同じ名前を使用している場合に限ります。

Apache を再起動します。

[ec2-user ~]$ sudo systemctl restart httpd

Apache ウェブサーバーは、ポート 443 経由で HTTPS (セキュア HTTP) をサポートするようになりました。EC2 インスタンスの IP アドレスまたは完全修飾ドメイン名を、プレフィックス が付いたブラウザURLバーに入力してテストしますhttps://。

信頼されていない自己署名ホスト証明書を使用してサイトに接続しようとしているため、ブラウザには一連のセキュリティ警告が表示されることがあります。これの警告を無視し、サイトに進みます。

デフォルトの Apache テストページが開いた場合は、サーバーTLSで が正常に設定されたことを意味します。これで、ブラウザとサーバーの間でやり取りされるすべてのデータが暗号化されるようになります。

インスタンスに接続し、to /etc/pki/tls/private/ に移動します。これは、 のサーバーのプライベートキーを保存するディレクトリですTLS。既存のホストキーを使用して を生成する場合はCSR、ステップ 3 に進みます。インスタンスへの接続の詳細については、「」を参照してください。 AL2023 インスタンスへの接続

(オプション) 新しいプライベートキーを生成します。キー設定のいくつかのサンプルを次に示します。生成されたキーのどれもウェブサーバーで機能しますが、実装されるセキュリティの強度とタイプはそれぞれ異なります。

新しいプライベートキーには、制限の厳しい所有権とアクセス権を設定します (所有者 = root、グループ = root、所有者のみの読み取り/書き込み)。コマンドは次の例のようになります。

[ec2-user ~]$ sudo chown root:root custom.key
[ec2-user ~]$ sudo chmod 600 custom.key
[ec2-user ~]$ ls -al custom.key

上記のコマンドにより、次のような結果が得られます。

-rw------- root root custom.key

十分なキーを作成して設定したら、 を作成できますCSR。

任意のキーCSRを使用して を作成します。次の例では custom.key を使用しています。

[ec2-user ~]$ sudo openssl req -new -key custom.key -out csr.pem

を開くSSLとダイアログが開き、次の表に示す情報の入力を求められます。基本的なドメイン検証済みホスト証明書については、[共通名] 以外のフィールドはすべてオプションです。

最後に、 を開くSSLと、オプションのチャレンジパスワードの入力を求められます。このパスワードは、 CSRおよび と CA 間のトランザクションにのみ適用されるため、CA の推奨事項と、その他のオプションのフィールドであるオプションの会社名に従ってください。CSR チャレンジパスワードはサーバーオペレーションには影響しません。

結果として生成されるファイル csr.pem には、パブリックキー、パブリックキーのデジタル署名、入札したメタデータが含まれています。

CSR を CA に送信します。これは通常、テキストエディタでCSRファイルを開き、その内容をウェブフォームにコピーすることで構成されます。この時点で、証明書に配置する 1 つ以上のサブジェクト代替名 (SANs) を指定するように求められる場合があります。www.example.com が共通名である場合、 は適切な となりSAN、その逆も同様example.comです。サイトへの訪問者がこれら名前のいずれかを入力すると、エラーなしの接続が提示されます。CA ウェブフォームで許可されている場合は、 のリストに共通名を含めますSANs。一部の には、自動的にCAs含まれます。

リクエストが承認されると、CA によって署名された新しいホスト証明書が届きます。CA の信頼チェーンを完成するために必要な、追加の証明書が含まれている中間証明書ファイルをダウンロードするよう指示されることもあります。

- - - - -BEGIN CERTIFICATE - - - - - 

- - - -END CERTIFICATE - - - - -

[ec2-user certs]$ openssl x509 -in certificate.crt -text

新しい CA 署名証明書と任意の中間証明書を /etc/pki/tls/certs ディレクトリに配置します。

/etc/pki/tls/certs ディレクトリ内から、ファイルの所有権、グループ、およびアクセス許可の設定が、制限の厳しい AL2023 のデフォルト (所有者 = ルート、グループ = ルート、所有者のみの読み取り/書き込み) と一致することを確認します。以下の例では、使用するコマンドを示しています。

[ec2-user certs]$ sudo chown root:root custom.crt
[ec2-user certs]$ sudo chmod 600 custom.crt
[ec2-user certs]$ ls -al custom.crt

これらのコマンドによって、次の結果が得られます。

-rw------- root root custom.crt

中間証明書ファイルのアクセス権は、比較的厳しくありません (所有者 = root、グループ = root、所有者による書き込み可、グループによる読み取り可、その他による読み取り可)。以下の例では、使用するコマンドを示しています。

[ec2-user certs]$ sudo chown root:root intermediate.crt
[ec2-user certs]$ sudo chmod 644 intermediate.crt
[ec2-user certs]$ ls -al intermediate.crt

これらのコマンドによって、次の結果が得られます。

-rw-r--r-- root root intermediate.crt

の作成に使用したプライベートキーを /etc/pki/tls/private/ ディレクトリCSRに配置します。

/etc/pki/tls/private ディレクトリ内から、次のコマンドを使用して、ファイルの所有権、グループ、アクセス許可の設定が制限の厳しい AL2023 のデフォルト (所有者 = ルート、グループ = ルート、所有者のみの読み取り/書き込み) と一致することを確認します。

[ec2-user private]$ sudo chown root:root custom.key
[ec2-user private]$ sudo chmod 600 custom.key
[ec2-user private]$ ls -al custom.key

これらのコマンドによって、次の結果が得られます。

-rw------- root root custom.key

新しい証明書とキーファイルに合わせるには、/etc/httpd/conf.d/ssl.conf を編集します。

1. CA 署名のホスト証明書のパスとファイル名を Apache の SSLCertificateFile ディレクティブで指定します。

   SSLCertificateFile /etc/pki/tls/certs/custom.crt

2. 中間証明書ファイル (この例では intermediate.crt) を受け取ったら、Apache の SSLCACertificateFile ディレクティブを使用して、次のファイルのパスとファイル名を指定します。

   SSLCACertificateFile /etc/pki/tls/certs/intermediate.crt

   注記

   一部の CAsでは、ホスト証明書と中間証明書が 1 つのファイルに結合されるため、 SSLCACertificateFile ディレクティブは不要です。CA が提供している手順を参照してください。

3. プライベートキー (この例では custom.key) のパスとファイル名を Apache の SSLCertificateKeyFile ディレクティブで指定します。

   SSLCertificateKeyFile /etc/pki/tls/private/custom.key

/etc/httpd/conf.d/ssl.conf を保存して、Apache を再起動します。

[ec2-user ~]$ sudo systemctl restart httpd

プレフィックス が付いたブラウザURLバーにドメイン名を入力して、サーバーをテストしますhttps://。ブラウザは、エラーを発生させHTTPSずにテストページを にロードする必要があります。

設定ファイル /etc/httpd/conf.d/ssl.conf を開き、行頭に # を付けて以下の行をコメントアウトしてください。

#SSLProtocol all -SSLv3

次のディレクティブを追加します。

#SSLProtocol all -SSLv3
SSLProtocol -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2

このディレクティブは、SSLバージョン 2 と 3、およびTLSバージョン 1.0 と 1.1 を明示的に無効にします。サーバーは、 1.2 TLS 以外のものを使用したクライアントとの暗号化された接続の受け入れを拒否するようになりました。ディレクティブに含める指定が多くなるほど、サーバーの動作に対する設定内容が明確に伝わります。

設定ファイル /etc/httpd/conf.d/ssl.conf で、SSLCipherSuite ディレクティブを含むセクションを探し、行頭に # を付けて既存の行をコメントアウトします。

#SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5

明示的な暗号スイートと、前方秘匿性を優先し、安全でない暗号を禁止する暗号順序を指定します。ここで使用される SSLCipherSuiteディレクティブは、Mozilla SSL Configuration Generator からの出力に基づいています。これにより、サーバーで実行されている特定のソフトウェアに合わせてTLS設定が調整されます。まず、次のコマンドの出力を使用して Apache および OpenSSL のバージョンを確認します。

[ec2-user ~]$ yum list installed | grep httpd

[ec2-user ~]$ yum list installed | grep openssl

例えば、返される情報が Apache 2.4.34 と OpenSSL 1.0.2 の場合、ジェネレーターに入力します。"最新" 互換性モデルを選択すると、SSLCipherSuite ディレクティブが作成されます。このディレクティブは、積極的にセキュリティを適用しますが、ほとんどのブラウザで使用できます。ソフトウェアで最新互換性モデルがサポートされていない場合は、ソフトウェアを更新するか、"中間" の構成を選択します。

SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:
ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256

選択した暗号ECDHEの名前には、楕円曲線 Diffie-Hellman Ephemeral の略語 があります。ephemeral は前方秘匿性を示します。副次的に、これらの暗号は をサポートしていませんRC4。

デフォルトや、内容が見えない簡単なディレクティブに依存するのではなく、暗号化方式の明示的なリストを使用することをお勧めします。

生成されたディレクティブを /etc/httpd/conf.d/ssl.conf にコピーします。

最後に、次の行について、行頭の # を削除してコメント解除します。

#SSLHonorCipherOrder on

このディレクティブは、(この場合) 前方秘匿性をサポートするものも含めて、ランクの高い暗号化方式を優先するようサーバーに強制します。このディレクティブが有効になると、サーバーは、セキュリティの弱い暗号化方式に戻る前に、セキュリティが強力な接続を確立しようとします。