これにより、コンソールからの簡単操作でSSL証明書が導入できるようになりました。自動的に証明書も更新してくれます。今から設定する人は、そちらを使いましょう。Encryptプロジェクトが、2016年4月、ついにベータ版から正式版になりました。Facebookなどのウェブ企業や、シスコやアカマイなどのネットワーク関係の大御所も支援しているプロジェクトなので、審査がなく全自動で発行されるタイプの1,000-2,000円くらいの有料のSSL証明書と全く遜色ありません*1。業界的にウェブの暗号化に向けてこのようなプロジェクトを動かしているのは素晴らしいですね。Engine(GAE)のサイトをSSL/TLS対応をしてみましょう。証明書発行の際に、ドメインの所有の確認のため、指定されたURLにファイルをアップロードする必要があります。通常のサーバーの場合は、この確認用のファイルの設定や、Apache/nginxなどの設定もcertbotというプログラムが証明書の取得とあわせてやってくれるのですが、GAEの場合証明書の設定はGUIでしかできません。そこで、証明書の取得のみ行うmanualモードで行います。このためにわざわざサーバーを立てる必要はありません。10.11.4で作業しました。独自ドメインの設定を終えておくまずは、独自ドメインがGAEで表示できる状態にしておきます。取得しようとする証明書用のサーバーにリクエストが来て所有の確認が行われるので、DNSの設定などは済ませておく必要があります。クライアントのインストールを行います。10MBほどあるので、そこそこ時間かかります。certbotそれでは早速証明書を取得してみましょう。初回は必要なプログラムのインストールが行われるので、時間がかかります。環境のrootのPWを求められる場合があります。初回のみ、メールアドレスを聞かれるのと、利用規約への同意を求められます。ちなみにこのcert-onlyのonlyというのは、インストールも行うrunに対して、インストールはしない、という意味です。変更になったそうです。PWを求められるかも必要なミドルウェアのインストールが終わると、次のような画面になります。ここに取得予定のドメインを入力します。カンマ区切りスペース区切りで複数可。次にクライアントのIPアドレスがログに記録され公開されることに対する同意確認画面。次に以下のようなメッセージが表示されます。Encryptからのメッセージの存在確認用URLにテキストを置きます。上記の場合は、以下のURLで以下が表示されるようにします。gTIjcnRpydLV5lcRDD-b-2TcTRh4YyZC26jDSZOx2ck.5Hvrmt1oBopQ03IDSAdTZRRoXZACheMnLi_Y272bLx4GAEでは以下の様に設定します。lets_encrypt.txtデプロイします。.さっきのURLをクリックして内容が表示されることを確認したら、エンターを押します。すると、以下のような内容が表示されて無事証明書が取得できました。https://eff.org/donate-le証明書と秘密鍵は/etc/letsencrypt/live/[domain_name]にあります。privkey.pem秘密鍵を復号化します。証明書→新しい証明書をアップロードの順に開きます。秘密鍵」の欄にprivkey_no_pass.pemをペーストします。ここで復号化を忘れると選択した秘密鍵は有効ではないようです。いうエラーメッセージが表示されます。無事に設定できると、以下のようにアドレスバーが緑になります。証明書が3ヶ月で切れてしまうSSL証明書は3ヶ月で切れてしまいます。通常年単位での更新なのでこれはちょっと面倒です。サーバー自体にcertbotを入れれば、/etc/letsencrypt/live/[domain_name]に常に最新に証明書のシンボリックリンクが貼られるので手間はないのですが、GAEだとそうはいきません。証明書の再取得はコマンドできるのですが、GAEへの証明書の送信はAPIなどあるのでしょうか。軽く探したところは見つかりませんでした。3ヶ月おきにフォーム行くのは地味に面倒なので、そこに1000円払うと割りきって既存のSSL業者を使う、というのもありかもしれません。追記)早速3か月経ったので、証明書の更新を行いました。更新でもファイルをアップロードする必要がありますが、アップロードするURLとファイル内容は同じなので、コマンド押していけば簡単に新しい証明書を取得できます。コマンドさえメモっておけば5分もあれば更新完了するので、そんなに手間でもありませんね。まあGAEとかに関してはこの作業完全自動化してくれたら嬉しいんですけどねー。まとめGAEのSSL対応、これがあれば5分くらいで終わってしまいますね。いつもSSL対応は、秘密鍵作ってそれでCSR作って会社のサイトのフォームに行って発行依頼して、メールクリックして、証明書DLしてなど複雑な手順だったので、かなり簡単になりました。SSL以外はどんどん移行が進むんじゃないでしょうか。同様のことをGCEのインスタンスで行った事例。*1:どちらも改ざんと盗聴には効果がありますが、なりすましには無力です。こんにちは、小西です。SocialDog、ユーザ登録100万人を超えるTwitter分析サービス「whotwi」を運営。プロジェクトのリージョンを東京リージョンに移す(移せない)はてなブログをはじめよう!konisimpleさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。