vagrant環境へのSlim4のインストールに失敗する

Question

vagrant環境へのSlim4のインストールに失敗する

実現したいこと

仮想化したCentOS環境ににPHPの軽量フレームワークであるSlim4をインストールしたい。

症状

概要：vagrant環境（CentOS）でSlim4を試したく、公式ドキュメントの手順に沿って以下のコマンドを実行したのですが、SSL関連のエラーに悩まされて先に進めません。

ディレクトリ構造

/home/vagrant/testSlim/
│--public/
│　│--index.php

testSlimの直下で、

$ composer require slim/slim:^4.0

を実行したところ、以下のようなエラーが返されます。

error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
Failed to enable crypto
failed to open stream: operation failed
https://repo.packagist.org could not be fully loaded, package information was loaded from the local cache and may be out of date


  [Composer\Downloader\TransportException]
  The "https://packagist.org/p/slim/http%24eb75aa7385026f545bbf41c057272eba132b79c4c5aa1d1b62d93d20753255ec.json" fil
  e could not be downloaded: SSL operation failed with code 1. OpenSSL Error messages:
  error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
  Failed to enable crypto
  failed to open stream: operation failed

エラーメッセージについて調べたところ、以下のどれかが原因にあたりそうなのですが
・サーバー側の証明が不正（有効期限切れorもともと認証局によって正当性が担保されていない、等）
・クライアント側にインストールされているルート証明書が不正（有効期限など）
・サーバーの日時がずれている。
この内、今回発生したエラーがどれに該当するか特定できません。エラーの特定方法、解決方法をご教授いただけないでしょうか。よろしくお願いいたします。

動作環境

PHP 7.2.28
composer 1.10.1
CentOS 6.10
OpenSSL　1.01

試したこと、参考にしたサイト

参考にしたサイト
SSL通信時発生する証明書エラーとその仕組みを理解する
Composerのinstallコマンドでエラーが出る
【RHEL 備忘録】curlで「(60) Peer certificate cannot be authenticated with known CA certificates」が出たときの対処方法

Answer 1

教えていただいたコマンドを実行し、サーバーの設定時間がエラー原因と判明し、無事インストールできました。ありがとうございました。

Answer 2

まず、openssl コマンドでサーバ証明書の内容を確認しましょう。

$ openssl s_client -connect packagist.org:443
CONNECTED(00000003)
depth=2 O = Digital Signature Trust Co., CN = DST Root CA X3
verify return:1
depth=1 C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
verify return:1
depth=0 CN = packagist.org
verify return:1
---
Certificate chain
 0 s:/CN=packagist.org
   i:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
 1 s:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
   i:/O=Digital Signature Trust Co./CN=DST Root CA X3
---
Server certificate
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
subject=/CN=packagist.org
issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
---
No client certificate CA names sent
Peer signing digest: SHA256
Server Temp Key: ECDH, P-256, 256 bits
---
SSL handshake has read 3120 bytes and written 415 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES128-GCM-SHA256
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : ECDHE-RSA-AES128-GCM-SHA256
    Session-ID: 0CE88C0490908817B87D30D4AC2376823D1BA1AE9F0361A296F61E088A60D5EC
    Session-ID-ctx: 
    Master-Key: CA052851B5E6137C94966B8E8D67EC419E61580EDDF1CA96B3D3BDBE1AD2F687F562B318D9CE4FE91BA69E9601EECD11
    Key-Arg   : None
    Krb5 Principal: None
    PSK identity: None
    PSK identity hint: None
    Start Time: 1585532856
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)
---
closed

この時点でエラーが出て原因がわかる可能性が高いですが、上記の通り、packagist.org はlets encryptyの正当な証明書を使用しておりサーバ側に問題はないようです。
そうすると、怪しいのはOSのトラストストアにlets encryptyが登録されていないのではないかということです。上記で証明書の発行者は 'DST Root CA X3' なので、これがサーバのトラストストアに入っているか確認してみましょう。

$ trust list | grep 'DST Root CA X3'
    label: DST Root CA X3

これが入っていないよう(grepの結果が０行）であれば、トラストストアをアップデートしてみましょう。

$ sudo yum update ca-certificates

Comments

[jackhase]

教えていただいたコマンドを実行し、サーバーの設定時間がエラー原因と判明し、無事インストールできました。ありがとうございました。

[mit0223]

解決してよかったです。お疲れ様でした。