DevecotでSSL証明書を登録するとエラーがでる

Question

問題

IMAP/POPサーバでSSLでアクセスできるように証明書の設定を行っているのですが
証明書を設定してrestartするとエラーが表示されております。
クライアントからの受信は可能なのですが気持ちわるいので
何か対処方法がお分かりの方がいればご助力いただければ幸いです。

service dovecot restart
Stopping Dovecot Imap:                                     [FAILED]
Starting Dovecot Imap: doveconf: Warning: NOTE: You can get a new clean config file with: doveconf -n > dovecot-new.conf
doveconf: Warning: Obsolete setting in /etc/dovecot/conf.d/10-ssl.conf:17: ssl_cert_file has been replaced by ssl_cert = <file
doveconf: Warning: Obsolete setting in /etc/dovecot/conf.d/10-ssl.conf:18: ssl_key_file has been replaced by ssl_key = <file
                                                           [  OK  ]

/etc/dovecot/conf.d/10-ssl.conf

sslconf
# SSL/TLS support: yes, no, required. <doc/wiki/SSL.txt>
# disable plain pop3 and imap, allowed are only pop3+TLS, pop3s, imap+TLS and imaps
# plain imap and pop3 are still allowed for local connections
ssl = yes

# PEM encoded X.509 SSL/TLS certificate and private key. They're opened before
# dropping root privileges, so keep the key file unreadable by anyone but
# root. Included doc/mkcert.sh can be used to easily generate self-signed
# certificate, just make sure to update the domains in dovecot-openssl.cnf
# ssl_cert = </etc/pki/dovecot/certs/dovecot.pem
# ssl_key = </etc/pki/dovecot/private/dovecot.pem

ssl_cert_file = /etc/pki/tls/certs/crt.pem
ssl_key_file = /etc/pki/tls/certs/crt.pem

/etc/dovecot/conf.d/10-master.conf

# Internal user is used by unprivileged processes. It should be separate from
# login user, so that login processes can't disturb other processes.
#default_internal_user = dovecot

service imap-login {
  inet_listener imap {
    port = 143
  }
  inet_listener imaps {
    port = 993
    ssl = yes
  }

  # Number of connections to handle before starting a new process. Typically
  # the only useful values are 0 (unlimited) or 1. 1 is more secure, but 0
  # is faster. <doc/wiki/LoginProcess.txt>
  #service_count = 1

  # Number of processes to always keep waiting for more connections.
  #process_min_avail = 0

  # If you set service_count=0, you probably need to grow this.
  #vsz_limit = $default_vsz_limit
}

service pop3-login {
  inet_listener pop3 {
    port = 110
  }
  inet_listener pop3s {
    port = 995
    ssl = yes
  }
}

試したこと

• crt.pemのアクセス権を644に変更

→変わらず

• 証明書のパスを以下に変更

ssl_cert_file = </etc/pki/tls/certs/crt.pem
ssl_key_file = </etc/pki/tls/certs/crt.pem
→FAILが表示されdovecotが起動できず

環境

Amazon Linux AMI release 2018.03
Dovecot 2.2.10

Comments

[scsi]

何故certとkeyに同じファイルを指定しているのですか？

[Perfume-T-Anata]

返信ありがとうございます。
pemファイルなので、keyと証明書が同じファイルに入っていると認識しております

https://www.ecoop.net/memo/archives/guide-for-pem.html

[scsi]

なるほどー

Answer 1

エラーメッセージのとおり ssl_cert_file, ssl_key_file は古いバージョンの書式です。
ssl_cert, ssl_key と < 記号を使います。

ssl_cert = </etc/pki/tls/certs/crt.pem
ssl_key = </etc/pki/tls/certs/crt.pem

(参考)
https://wiki.dovecot.org/SSL/DovecotConfiguration

Comments

[Perfume-T-Anata]

ありがとうございます！確かに表記が変でしたね。
古いバージョンからコピーしたままだったのを忘れてました。
ありがとうございます！

[Hal.]

たまたまこのコンテンツに出会い・・・

「< 記号を使います。」

・・・でハマリが解決できました。

「<」「>」記号など、よくLinux関連の設定変更の事例で、書き換えポイントの行を、外したり、挿入したりする際に、「ここだよ」的に使われている事例が多いですが、dovecotのsslキーの設定文に関しては実キャラクタとして「<」が必要になるのですね。

－－－－
dovecot: pop3-login: Fatal: Can't load ssl_cert: There is no valid PEM certificate. (You probably forgot '<' from ssl_cert=</etc/letsencrypt/live/mail.example.com/fullchain.pem)
－－－－

ログを見て、ちゃんと指定してるのに「何故読めない(?_?)？？？」と数時間あーでもない、こーでもないと設定ファイルを変更したり、リロードしたり、悩んでいましたが、こちらのコンテンツで一気に謎が氷解しました。

ナレッジベースとしてとても有効な回答だと思います、ありがとうございました。

Answer 2

popsやimpasは古い書き方のようです。
https://futuremix.org/2012/05/centos-6-dovecot-2

Comments

[Perfume-T-Anata]

確かに書式がおかしかったですね。
色々教えていただきありがとうございました！
デバックのコンフィグが非常に参考になりました