Lets EncryptでサブドメインのSSL証明書を取得する最も確実な方法

Question

AWS + WordPress + Lets Encryptで、
SSL証明書を取得したいのですが、
ワイルドカード指定ができない。

そのため、サブドメインをあらかじめ、
いくつか想定して以下のようなサブドメインを取得したいと考えています。
・ www
・ admin
・ info

この場合、どういったコマンドを入力すればいいか教えていただけると幸いです。

##やった事
Lets Encrypt のインストール
モジュールのインストール

./letsencrypt-auto --help

この後、いろんな記事をみて、
どうすれば、いいか悩んでいます。

見た記事
https://www.moor-triangle.com/2017/02/01/%E3%80%90aws%E3%80%91bitnami-wordpress%E3%82%92lets-encrypt%E3%82%92%E4%BD%BF%E3%81%A3%E3%81%A6%E7%84%A1%E6%96%99%E3%81%A7ssl%E5%8C%96/
↑ 一つのドメインでの取得方法しか記載なし

http://tnamao.hatenablog.com/entry/2016/08/21/173521
↑ サブドメインも含めた証明書を発行できるやり方が記載
※ 懸念事項は、2つの記事でコマンドが異なっていた事

##その他気になる事
サブドメインも含めた証明書を発行することのデメリットなどあれば教えてください

Answer 1

そのため、サブドメインをあらかじめ、

いくつか想定して以下のようなサブドメインを取得したいと考えています。

どんな証明書でもそうですが、実際にアクセスできることが、証明書を取るための大前提となります。サブドメインの設定すらしていないのに「あらかじめ」取ることはできません。

Comments

[Tatsurou]

> サブドメインの設定すらしていないのに「あらかじめ」取ることはできません。
ワイルドカードなら、後から取得しても問題ないですよね。

[maisumakun]

そうですね、ワイルドカードの場合は「サーバ全体をコントロールできること」を。サーバーメールでの認証などで確認できる必要があります。

[Tatsurou]

ご回答ありがとうございます。

Answer 2

AWS で ELB もしくは CloudFront を使う場合は、AWS 側のサービスである
Certificate Manager で証明書を取得するほうが簡単です（無料です）。

EC2 一個だけで動かす場合は、とりあえず一個だけ証明書を取得して動かしてみて、
その後サブドメインが増えるたびに、その都度コマンドを流し直してサブドメインを
追加することもできます。というか、そのほうが簡単です。

公式マニュアルの中のSSL/TLS サーバ証明書の取得にある、
＞1. 証明書取得コマンドの実行
の中の
＞Webサーバ（Apache や nginx など）が動作している環境において、
＞複数のドメイン名に対応する1枚の証明書を取得する場合:

を見ればわかると思いますが、一個のコマンドラインで複数のパラメータ（ドメイン名
やDocumentRoot）を指定できます。既存の証明書を更新してサブドメインを追加して
いくイメージです。詳細はWebroot プラグインをごらんください。

これでもわからない場合は、以下の条件を追記してください。

• OS の種類とバージョン
• DNS の準備ができているか（できているのが前提）
• そのマシンで Web サーバーが動いているかどうか（動いている方が簡単）
• Web サーバーソフトの種類（Apache/Nginx）
• DocumentRoot の準備ができているか（WordPress を入れてからやってください）

Comments

[Tatsurou]

ご回答いただきありがとうございます。今回は、ELBを使用しない事を条件としていたので、「Certificate Manager」を使えなかったんですね。確かにめちゃくちゃ楽でした。でも、ELBの費用を考えるとちょっと、、

Answer 3

Let's Encrypt の使い方
https://letsencrypt.jp/usage/
2016年05月13日
letsencrypt-auto を certbot-auto に変更しました。

SSL/TLS サーバ証明書の取得
https://letsencrypt.jp/usage/#GetCertificate
Let's Encrypt では、ワイルドカード証明書（全てのサブドメイン名に有効な証明書）は発行できません。証明書取得時には、全ての FQDN (サブドメイン名を含むドメイン名) を -d オプションで列挙してください。

デメリットは知りません。

Comments

[Tatsurou]

ご回答いただきありがとうございます。

公式サイトに記載されている証明書発行コマンド（certbot certonly --webroot -w /var/www/html -d
）で、ドキュメントルートを指定していると思うのですが、
以前、証明書を発行できた際に、
パスを指定した記憶がないのですが、その場合、「certbot certonly -a standalone -d example.jp」と入力すれば良いでしょうか。

[退会済みユーザー]

この辺り参考にしてみてください
https://utano.jp/entry/2016/09/lets-encrypt-ec2-amazon-linux/