acme.sh入門SSLクライアントを暗号化しましょう

Acme.shは、bash、dash、shシェルと互換性のある、純粋にシェル（Unixシェル）言語で記述された、シンプルで強力、そして使いやすいACMEプロトコルクライアントです。 SSL証明書のインストール、更新、失効を管理するのに役立ちます。 ACMEバージョン1およびACMEバージョン2プロトコル、およびACMEv2ワイルドカード証明書をサポートします。依存関係がゼロのACMEクライアントであるため、さらに優れています。インターネットを実行するために、インターネット全体をダウンロードしてインストールする必要はありません。このツールはrootまたはsudoアクセスを必要としませんが、rootを使用することをお勧めします。

Acme.shは、ドメインの所有権を確認するために使用できる次の検証方法をサポートしています。

• ウェブルートモード
• スタンドアロンモード
• スタンドアロンのtls-alpnモード
• Apacheモード
• Nginxモード
• DNSモード
• DNSエイリアスモード
• ステートレスモード

Let'sEncryptとは

Let’s Encrypt（LE）は、Web全体を暗号化することを目的として、無料の自動化されたSSL / TLS証明書を提供する認証局（CA）です。ドメイン名を所有していて、サーバーへのシェルアクセスがある場合は、Let's Encryptを利用して、信頼できる証明書を無料で取得できます。 Let's Encryptは、最大100のホスト名に対してSAN証明書を発行できます およびワイルドカード証明書。すべての証明書は90日間有効です。

Acme.shの使用法と基本的なコマンド

このセクションでは、最も一般的なacme.shコマンドとオプションのいくつかを紹介します。

Acme.shのインストール

acme.shをインストールするためのいくつかのオプションがあります。

curlを介してウェブからインストールする またはwget ：

curl https://get.acme.sh | sh
source ~/.bashrc

または

wget -O - https://get.acme.sh | sh
source ~/.bashrc

GitHubからインストール ：

curl https://raw.githubusercontent.com/Neilpang/acme.sh/master/acme.sh | INSTALLONLINE=1 sh

または

wget -O - https://raw.githubusercontent.com/Neilpang/acme.sh/master/acme.sh | INSTALLONLINE=1 sh

Gitのクローンを作成してインストールします：

git clone https://github.com/Neilpang/acme.sh.git
cd ./acme.sh
./acme.sh --install
source ~/.bashrc

インストーラーは3つのアクションを実行します：

1. acme.shを作成してコピーします ホームディレクトリ（ $ HOME ）：〜/ .acme.sh / 。すべての証明書もこのフォルダに配置されます。
2. 次のエイリアスを作成します： acme.sh =〜/ .acme.sh / acme.sh 。
3. 毎日のcronジョブを作成して、必要に応じて証明書を確認および更新します。

高度なインストール：

git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh
./acme.sh --install \
          --home ~/myacme \
          --config-home ~/myacme/data \
          --cert-home ~/mycerts \
          --accountemail "[email protected]" \
          --accountkey ~/myaccount.key \
          --accountconf ~/myaccount.conf \
          --useragent "this is my client."

すべてのオプションを設定する必要はありません。気になるオプションを設定するだけです。

オプションの説明：

• -ホーム acme.shをインストールするためにカスタマイズされたディレクトリです デフォルトでは、〜/.acme.sh。にインストールされます。
• -config-home は書き込み可能なフォルダであり、acme.shはそこにすべてのファイル（cert / keys、configsを含む）を書き込みます。デフォルトでは、-homeにあります。
• -cert-home 発行する証明書を保存するためにカスタマイズされたディレクトリです。デフォルトでは、-config-homeに保存されます 。
• -accountemail Let's Encryptにアカウントを登録するために使用される電子メールです。ここで、更新通知の電子メールを受け取ります。デフォルトは空です。
• -accountkey アカウントの秘密鍵を保存するファイルです。デフォルトでは、-config-homeに保存されます 。
• -useragent Let'sEncryptに送信するために使用されるユーザーエージェントヘッダー値です。

acme.sh --version
# v2.8.1

acme.sh --help

acme.sh --issue -d example.com --webroot /var/www/example.com

acme.sh --issue -d example.com -d www.example.com -d mail.example.com --webroot /var/www/example.com

acme.sh --issue -d example.com --webroot /var/www/example.com --keylength ec-256

acme.sh --issue -d example.com -d www.example.com -d mail.example.com --webroot /var/www/example.com --keylength ec-256

acme.sh --issue -d example.com --standalone

acme.sh --issue -d example.com -d www.example.com -d mail.example.com --standalone

acme.sh --issue -d example.com --alpn

acme.sh --issue -d example.com -d www.example.com --alpn

export CF_Key="sdfsdfsdfljlbjkljlkjsdfoiwje"
export CF_Email="[email protected]"
acme.sh --issue -d example.com --dns dns_cf

export CF_Key="sdfsdfsdfljlbjkljlkjsdfoiwje"
export CF_Email="[email protected]"
acme.sh --issue -d example.com -d '*.example.com' --dns dns_cf

acme.sh --issue --dns -d example.com -d www.example.com -d cp.example.com

Add the following txt record:
Domain:_acme-challenge.example.com
Txt value:9ihDbjYfTExAYeDs4DBUeuTo18KBzwvTEjUnSwd32-c

Add the following txt record:
Domain:_acme-challenge.www.example.com
Txt value:9ihDbjxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

Please add those txt records to the domains. Waiting for the dns to take effect.

acme.sh --renew -d example.com

acme.sh --install-cert \
        --domain example.com \ 
        --cert-file /path/to/cert/cert.pem \
        --key-file /path/to/keyfile/key.pem \
        --fullchain-file /path/to/fullchain/fullchain.pem \
        --reloadcmd "sudo systemctl reload apache2.service"

acme.sh --install-cert \
        --domain example.com \ 
        --cert-file /path/to/cert/cert.pem \
        --key-file /path/to/keyfile/key.pem \
        --fullchain-file /path/to/fullchain/fullchain.pem \
        --reloadcmd "sudo systemctl reload nginx.service"

acme.sh --renew -d example.com --force

acme.sh --renew -d example.com --force --ecc

acme.sh --upgrade

acme.sh --upgrade --auto-upgrade