Let's Encrypt の証明書取得を AWS Lambda でやってみた

背景

ここ数年で暗号化されていないHTTPは減り、常時TLSが当たり前になってきました。公開用のページはもちろん、開発段階のページでもTLSは必須です。普段はAWS上で開発をしているので、AWS Certificate Managerを利用することが多いのですが、ちょっとしたお遊びにELBやCloudFormationを使うのはオーバーキルです。そこで EC2 にもインストールできて、無料で使える Let’s Encrypt を使って証明書を発行することを考えました。

Let’s Encrypt で発行できる証明書は期間が90日と短く、60日ごとの自動更新が推奨されています。証明局とAPIとAPIクライアントの実装例は提供するから、あとの自動化部分は自前で頑張ってねという感じなので、自動化部分を頑張らないといけません。今回は実行環境として AWS Labda、ACME(Automatic Certificate Management Environment)クライアントとして certbot、認証方法に dns-01、認証に必要なDNSレコードの書き換えに AWS Route 53 を使用する、という構成にしました。

ソースコードをGitHubに挙げたのと、前回と同様に AWS Serverless Application Repository へ上げたので、ぜひご利用ください。

実装

CertUpdaterを大いに参考にされていただき、S3の一貫性の問題を回避した形で実装しました。

前述のとおり、S3は「古い内容と新しい内容のどちらが返ってくるかは全くわか」りませんが、言い換えると「古い内容か新しい内容のどちらかは必ず返」してくれます。アップロード中の壊れたデーターを読み出すことはありません。壊れてほしくないデーターは同じオブジェクトに連結してからアップロードすればいいのです。

ただ、証明書のファイルをそのまま同じオブジェクトに連結してしまうとマネージドコンソール等から扱いにくいかな？とも思ったので、証明書のそれぞれのファイルは個別のオブジェクトとしてアップロードするようにしました。ただし、すでに存在しているオブジェクトを上書きしないよう、オブジェクトの名前にタイムスタンプを付与し、 必ずオブジェクトの新規作成 になるようにします。 S3は S3 バケットの新しいオブジェクトの PUTS については “書き込み後の読み込み” 整合性を提供 しているので、こうやってアップロードすると 必ず最新の内容 が取得できます。 aws s3 ls すると以下のようになるイメージ。

$ aws s3 ls s3://my-bucket/example.com/
2018-10-07T21:37:00/
2018-12-07T21:37:00/
2019-02-07T21:37:00/
...

どのファイルが最新の証明書なのかを示すために、 s3://my-bucket/example.com.json のようなJSONファイルを作って最新の内容が入ったオブジェクト名を書いておきます。

{
  "privkey":   "2019-02-07T21:37:00/privkey.pem",
  "cert":      "2019-02-07T21:37:00/cert.pem",
  "chain":     "2019-02-07T21:37:00/chain.pem",
  "fullchain": "2019-02-07T21:37:00/fullchain.pem",
  // ...その他メタ情報...
}

このJSONファイルは上書き更新になるので古い内容が返ってくることはありますが、壊れた内容が返ってくることはありません。これで安心して証明書を利用することができます。

使い方

更新設定

AWS Serverless Application Repositoryに公開したので、 SAMの AWS::Serverless::Application タイプとして利用可能です。

AWSTemplateFormatVersion: 2010-09-09
Transform: AWS::Serverless-2016-10-31

Resources:
  AcmeCertUpdater:
    Type: AWS::Serverless::Application
    Properties:
      Location:
        ApplicationId: arn:aws:serverlessrepo:us-east-1:445285296882:applications/acme-cert-updater
        SemanticVersion: 0.0.10
      Parameters: 
        # ACMEサーバー、Let's Encrypt以外の証明局を利用したい場合は書き換える。
        # AcmeServer: https://acme-v02.api.letsencrypt.org/directory
        # 証明書を保存するバケット
        BucketName: YOUR_BUCKET_NAME
        # 更新したいドメイン
        Domains: YOUR_DOMAINS
        # メールアドレス
        Email: YOUR_EMAIL_ADDRESS
        # production or staging テストのときはstagingを指定する
        # Environment: production
        # Amazon Route 53 Hosted Zone ID
        HostedZone: YOUR_HOSTED_ZONE_ID
        # The Amazon SNS topic Amazon Resource Name (ARN) to which the updater reports events.
        Notification: ARN_SNS_TOPIC
        # Prefix of objects on S3 bucket
        # Prefix: ""

テンプレートを書いたら aws cloudformation deploy でデプロイできます。

aws cloudformation deploy \
    --template-file template.yaml \
    --stack-name <STACK_NAME> \
    --capabilities CAPABILITY_AUTO_EXPAND CAPABILITY_IAM

なにか問題があって証明書が失効してしまったときのために、1日2回証明書の状態確認を行います。更新があると SNS Topic に更新したドメインの情報を Publish するので、あとはメールで受信するなり、Slackへ投稿するなりご自由にどうぞ。

証明書の利用

証明書のダウンロードスクリプトは以下のようにしました。オブジェクト名決め打ちなのは最初のJSONファイルのみで、他のファイルのオブジェクト名はJSONから読み取っているのがポイントです。

#!/usr/bin/env bash

if [[ $# -lt 3 ]]; then
    echo "Usage: $(basename "$0") BUCKET_NAME OBJECT_KEY_NAME OUTPUT_DIRECTORY COMMAND"
    exit 2
fi

BUCKET=$1
OBJECT=$2
OUTPUT=$3

set -eu
JSON=$(aws s3 cp "s3://$BUCKET/$OBJECT" -)
if [[ -f "$OUTPUT/timestamp.txt" ]] && [[ ! $(echo "$JSON" | jq -r .timestamp) > $(cat "$OUTPUT/timestamp.txt") ]]; then
    exit 0
fi

aws s3 cp --only-show-errors "s3://$BUCKET/$(echo "$JSON" | jq -r .cert.cert)" "$OUTPUT"
aws s3 cp --only-show-errors "s3://$BUCKET/$(echo "$JSON" | jq -r .cert.chain)" "$OUTPUT"
aws s3 cp --only-show-errors "s3://$BUCKET/$(echo "$JSON" | jq -r .cert.fullchain)" "$OUTPUT"
aws s3 cp --only-show-errors "s3://$BUCKET/$(echo "$JSON" | jq -r .cert.privkey)" "$OUTPUT"
echo "$JSON" | jq -r .timestamp > "$OUTPUT/timestamp.txt"

shift 3
if [ $# -eq 0 ]; then
    exit 0
fi

exec "$@"

このスクリプトは簡単なラッパースクリプトになっていて、証明書に更新があった場合にのみ、引数のコマンドを実行します。以下は証明書の更新時に systemd で動いている nginx に証明書を反映する例です。

./download-certificate.sh bucket-name example.com.json /etc/ssl/example.com systemctl reload nginx

まとめ

AWS Lambda 上で Let’s Encrypt を用いて証明書を取得する shogo82148/acme-cert-updater を公開しました
AWS Serverless Application Repository から利用可能です

acme-cert-updater は、米国東部 (オハイオ)、米国東部 (バージニア北部)、米国西部(北カリフォルニア)、米国西部 (オレゴン)、アジアパシフィック (東京)、アジアパシフィック (ソウル)、アジアパシフィック (ムンバイ)、アジアパシフィック (シンガポール)、アジアパシフィック(シドニー)、カナダ (中部)、欧州 (フランクフルト)、欧州 (アイルランド)、欧州 (ロンドン)、および南米 (サンパウロ) のリージョンでご利用いただけます。

Shogo's Blog

Let's Encrypt の証明書取得を AWS Lambda でやってみた

背景

関連手法

Amazon Linux 2 に certbot をインストールして使う

cohalz/CertUpdater

実装

使い方

更新設定

証明書の利用

まとめ

参考