Acmesmith で証明書発行を試す

前回「Acmesmith で証明書発行を試す - その1」でで filesystem に保存する方法を試してみました。今回は AWS S3 に保存するテストを行ってみます。KMS はまだ使いません。bucket 名は BUCKET-NAME として進めます。 aws s3 コマンドでも操作できるように IAM policy を設定します。README に書いてある policy には s3:GetBucketLocation がないために aws s3 コマンドではアクセスできませんでした。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation"
      ],
      "Resource": "arn:aws:s3:::BUCKET-NAME"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetObject",
        "s3:DeleteObject"
      ],
      "Resource": "arn:aws:s3:::BUCKET-NAME/*"
    }
  ]
}

acmesmith.sh の storage を S3 用に書き換えます。認証情報は aws-cli の ~/.aws/credentials を使うのでここには書きません。region は ~/.aws/config の値は使われないので指定が必要です。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
endpoint: https://acme-v01.api.letsencrypt.org/

storage:
  type: s3
  bucket: BUCKET-NAME
  region: ap-northeast-1
  use_kms: false

challenge_responders:
  - route53: {}

account_key_passphrase:
certificate_key_passphrase:

前回作成したアカウントの account.pem が手元にあるのでこれを S3 にコピーしておきます。（新たに作成 (register) しても問題ありません）

$ aws s3 cp account.pem s3://BUCKET-NAME/account.pem
$ aws s3 ls s3://BUCKET-NAME/
2016-02-07 17:28:05       1679 account.pem

後は同じですね。

$ bundle exec acmesmith authorize www2.teraoka.me
$ bundle exec acmesmith request www2.teraoka.me
$ aws s3 ls s3://BUCKET-NAME/
                           PRE certs/
2016-02-07 17:28:05       1679 account.pem
$ aws s3 ls s3://BUCKET-NAME/certs/
                           PRE www2.teraoka.me/
$ aws s3 ls s3://BUCKET-NAME/certs/www2.teraoka.me/
                           PRE 20160207-032600_***********************************/
2016-02-07 13:25:50         51 current
$ aws s3 ls s3://BUCKET-NAME/certs/www2.teraoka.me/20160207-032600_***********************************/
2016-02-07 13:25:49       1797 cert.pem
2016-02-07 13:25:50       1675 chain.pem
2016-02-07 13:25:50       3472 fullchain.pem
2016-02-07 13:25:50       1679 key.pem

次回は KMS (Key Management Service) を試します。