Come posso rinnovare un certificato SSL Let's Encrypt in uno stack Bitnami ospitato su un'istanza Lightsail?

Breve descrizione

I certificati SSL Let's Encrypt scadono 90 giorni dopo la creazione. I certificati standard si rinnovano automaticamente quando utilizzi Come posso installare un certificato SSL Let's Encrypt in uno stack Bitnami in Lightsail? Tuttavia, il rinnovo automatico potrebbe non riuscire se il certificato non è configurato correttamente.

Se hai installato un certificato Let's Encrypt wildcard con il metodo 2 in Come posso installare un certificato SSL Let's Encrypt in uno stack Bitnami in Lightsail?, devi rinnovare il certificato manualmente. Il metodo 2 non supporta il rinnovo automatico.

La seguente risoluzione spiega come rinnovare manualmente un certificato su istanze Lightsail ospitate da Bitnami, come WordPress, LAMP, Magento e MEAN.

Risoluzione

Identifica lo strumento di installazione del certificato

Identifica lo strumento utilizzato per installare il certificato. Per identificare lo strumento utilizzato per installare il certificato SSL, procedi come segue:

1. Esegui il comando seguente per cercare il file del certificato nelle directory /etc/letsencrypt /opt/bitnami/letsencrypt. Assicurati di sostituire DOMINIO con il tuo nome di dominio.

   sudo grep -irl "$(openssl s_client -verify_quiet -showcerts -connect DOMAIN:443 2>/dev/null | sed -n '/BEGIN/,/END/{p;/END/q}' | head -n 3 | tail -n 2)" /opt/bitnami/letsencrypt /etc/letsencrypt

2. Se il file del certificato si trova nelle sottodirectory di /opt/bitnami/letsencrypt, allora il certificato è stato probabilmente installato con bncert-tool o un client Lego. Per fare ciò, esegui il seguente comando:

   sudo /opt/bitnami/letsencrypt/lego --path /opt/bitnami/letsencrypt list

Se l'output del comando nel passaggio 1 corrisponde al percorso del certificato fornito dal secondo comando, il certificato è stato installato con bncert-tool o Lego.

Se il file del certificato si trova nelle sottodirectory di /etc/letsencrypt, allora il certificato è stato probabilmente installato con Certbot. Per fare ciò, esegui il seguente comando:

sudo certbot certificates

Se l'output del comando nel passaggio 1 corrisponde al percorso del certificato fornito dal comando certbot, il certificato è stato installato con Certbot.

In base allo strumento identificato, segui le relative fasi di risoluzione.

Rinnova un certificato Let's Encrypt installato con bncert-tool o strumento Lego

Esegui questi comandi:

sudo /opt/bitnami/ctlscript.sh stop

sudo /opt/bitnami/letsencrypt/lego --tls --email="EMAIL-ADDRESS" --domains="DOMAIN" --path="/opt/bitnami/letsencrypt" renew --days 90

Nota: sostituisci EMAIL-ADDRESS con uno dei tuoi indirizzi e-mail funzionanti. Oppure utilizza lo stesso indirizzo e-mail che hai utilizzato per installare il certificato. Sostituisci DOMAIN con il nome del tuo dominio.

sudo /opt/bitnami/ctlscript.sh start

Puoi recuperare l'e-mail che hai utilizzato per installare il certificato con questo comando:

sudo ls /opt/bitnami/letsencrypt/accounts/acm*

Se necessario, conferma il nome di dominio con il seguente comando:

sudo /opt/bitnami/letsencrypt/lego --path /opt/bitnami/letsencrypt list

Rinnova un certificato Let's Encrypt installato con lo strumento Certbot

Per determinare il metodo di autenticazione utilizzato per installare il certificato, esegui questo comando:

sudo cat /etc/letsencrypt/renewal/DOMAIN.conf

Nota: sostituisci DOMAIN con il nome di dominio principale del tuo certificato.

Nell'output del comando, visualizza il valore del parametro authenticator. In base al valore, segui uno dei seguenti metodi di rinnovo:

Se il valore del parametro authenticator è standalone, webroot, apache, nginx, dns-route53 o un altro valore non manuale manualecompleta il rinnovo con i seguenti comandi:

sudo /opt/bitnami/ctlscript.sh stop
sudo certbot renew
sudo /opt/bitnami/ctlscript.sh start

Questi comandi rinnovano tutti i certificati installati che devono essere rinnovati.

- or -

Se il valore del parametro authenticator è manuale e il valore del parametro pref_challs è dns, non è possibile impostare il rinnovo automatico. È necessario rinnovarlo manualmente con i seguenti passaggi. Nota: È necessario ripetere questo passaggio ogni volta che si rinnova il certificato.

1. Questo metodo richiede l'aggiunta di record TXT nel provider DNS del dominio. È consigliabile eseguire i comandi in Linux GNU Screen per evitare che la sessione scada. Per ulteriori informazioni, consulta How to use Linux Screen (Utilizzo di Linux Screen) sul sito web Linuxize.
   Per avviare una sessione Screen, immetti il seguente comando:

   screen -S letsencrypt

2. Esegui il comando seguente e cerca il valore del parametro Domini. Sostituisci DOMINIO con il nome di dominio principale del tuo certificato:

   sudo certbot certificates -d DOMAIN

3. Esegui il comando seguente per rinnovare il certificato. Assicurati di includere tutti i domini che hai trovato nel comando precedente con l'opzione**-d** nello stesso ordine. Se aggiungi, rimuovi o modifichi l'ordine dei domini, è possibile creare un nuovo certificato anziché rinnovare il certificato originale.

   sudo certbot certonly --manual --preferred-challenge dns -d DOMAIN-1 -d DOMAIN-2 --force-renewal

4. Riceverai una richiesta per verificare di essere il proprietario del dominio specificato. Questa verifica serve ad aggiungere record TXT ai record DNS del tuo dominio. Let's Encrypt fornisce uno o più record TXT da utilizzare per la verifica.

5. Quando vedi un record TXT sullo schermo, aggiungi il record fornito nel DNS del tuo dominio.
   Importante: Non premere Invio finché non confermi che il record TXT viene propagato al DNS Internet. Non premere CTRL+D perché questo interrompe la sessione dello schermo corrente.

6. Per verificare che il record TXT venga propagato al DNS Internet, consulta DNS Text Lookup (Ricerca del testo DNS) sul sito web MX Toolbox. Inserisci il seguente testo nella casella di testo:

   _acme-challenge.example.com

   Nota: sostituisci example.com con il tuo dominio.

7. Scegli TXT Lookup (Ricerca TXT) per eseguire il controllo.

8. Se i record TXT si sono propagati al DNS di Internet, nella pagina viene visualizzato il valore del record TXT. Torna alla schermata e premi ENTER (INVIO).

9. Se vieni rimosso dalla shell, torna tramite la schermata di comando: screen -r SESSIONID.

10. Ottieni l'ID della sessione: Esegui il comando screen -ls.

11. Se il prompt di Certbot ti chiede di aggiungere un altro record TXT, completa nuovamente i passaggi 5-8.

Una volta generato correttamente il certificato SSL, ricevi il seguente messaggio: "Successfully received certificate".