Let's Encrypt を･･･

･･･WindowsServer2008R2 の IIS7.5 で使う。


■ 前書き(すっとばし可)

◆ しかし

このサービス、主たるはLinux系向けの色合いが濃く、公式ツール certbot は 元々 Windows版がナイ。

それでも WindowsSerer2012以降なら 有志提供の Certify for Windows が使え、
シンプルなUI操作だけで導入も更新もラクだと思う。

しかし おきつねインフラに2012鯖はナイ、因って 無難に letsencrypt-win-simple を用いる事となる･･･

◆ が、ぢつは、

最初コレさえ面倒で、設定支援サイトSSLなぅを用いて導入したのが 3ヶ月前。 そして、丁度今日が更新日･･･ マズい(´ﾍ｀；)

更新するにも SSLなぅを用いただけでは自動更新のタスクスケジューラ登録まで完結しない、更新都度面倒が多いのも判っていた。
で、ちまちま下調べしていた letsencrypt-win-simple を 利用する事にした。

◆ だが、

数多あるTipsも WindowsServer と IIS で SAN を利用する事に特化したサイトは少ない。

そのような現状でも、恐らく 以下2箇所の併読 ▼ が、

・IISでLet's Encrypt を利用してSSLサイトを構築する (letsencrypt-win-simple クライアントを利用) - iPentec
・Windows 上の Apache に SAN 対応の Let’s Encrypt 製証明書を導入する。- o6asan.com
最も理解し易いレイアウトに近い Tips と 呼べるコンテンツだろう。

寄って、一旦これを補足する程度に説明しようと目論んだのだが、それでは、
エラーを1度も発生させるコトなく登録と更新処理定義を完結される方法 とはならない為 中止。



★ Important

ちょっと待て、タスクスケジューラへの登録が滅茶苦茶だ。

TLSサービスで 90日更新と云うのは、確かに長い期間ではないのだが、だからと云って毎日更新させるバカがドコに居る!

･･･対策として後日、アーカイブとコマンドラインを纏めてアップ予定。


■ 手順

※ 色分けと解説は後日、一旦 一部伏せただけの エラーなしで成功した場合の流れのみ貼っておく。

Microsoft Windows [Version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation.  All rights reserved.

*:\Users\******>*:

*:\>cd *:\Program Files (Free)\SystemExtensions\Network\BryanLivingston\letsencrypt-win-simple

*:\Program Files (Free)\SystemExtensions\Network\BryanLivingston\letsencrypt-win-simple>letsencrypt.exe --san
Let's Encrypt (Simple Windows ACME Client)
Renewal Period: 60
Certificate Store: WebHosting

ACME Server: https://acme-v01.api.letsencrypt.org/
Config Folder: %AppData%\letsencrypt-win-simple\httpsacme-v01.api.letsencrypt.org
Certificate Folder: %AppData%\letsencrypt-win-simple\httpsacme-v01.api.letsencrypt.org
Loading Signer from %AppData%\letsencrypt-win-simple\httpsacme-v01.api.letsencrypt.org\Signer

Getting AcmeServerDirectory
Loading Registration from %AppData%\letsencrypt-win-simple\httpsacme-v01.api.letsencrypt.org\Registration

Scanning IIS Sites
 1: SAN - IIS www.*****.*** (*:\*****\*****\inetpub\wwwroot)
 2: SAN - IIS www.*****.com (*:\*****\*****\*****\Root)
 3: SAN - IIS ***.*****.net (*:\*****\*****\*****\*****)
 4: SAN - IIS ***.*****.com (*:\*****\*****\*****\*****\*****)
 5: SAN - IIS ***.*****.com (*:\*****\*****\*****\*****)
 6: SAN - IIS ***.*****.com (*:\*****\*****\*****\*****)
 7: SAN - IIS ***.*****.com (*:*****\*****\*****\*****)
 8: SAN - IIS ***.*****.com (*:\*****\****\*****\*****\*****)

 W: Generate a certificate via WebDav and install it manually.
 S: Generate a single San certificate for multiple sites.
 F: Generate a certificate via FTP/ FTPS and install it manually.
 M: Generate a certificate manually.
 A: Get certificates for all hosts
 Q: Quit
Which host do you want to get a certificate for: s

Running IISSiteServer Plugin
Enter all Site IDs seperated by a comma
 S: for all sites on the server 2,8

Authorizing Identifier www.*****.com Using Challenge Type http-01
 Writing challenge answer to *:\*****\*****\*****\Root\.well-known/acme-challenge/*******************************************
 Writing web.config to add extensionless mime type to *:\*****\*****\*****\Root\.well-known\acme-challenge\web.config
 Answer should now be browsable at http://www.*****.com/.well-known/acme-challenge/*******************************************
 Submitting answer
 Refreshing authorization
 Authorization Result: valid
 Deleting answer

Authorizing Identifier *****.com Using Challenge Type http-01
 Writing challenge answer to *:\*****\*****\*****\Root\.well-known/acme-challenge/*******************************************
 Writing web.config to add extensionless mime type to *:\*****\*****\*****\Root\.well-known\acme-challenge\web.config
 Answer should now be browsable at http://*****.com/.well-known/acme-challenge/*******************************************
 Submitting answer
 Refreshing authorization
 Authorization Result: valid
 Deleting answer

Authorizing Identifier ***.*****.com Using Challenge Type http-01
 Writing challenge answer to *:\*****\*****\*****\*****\*****\.well-known/acme-challenge/*******************************************
 Writing web.config to add extensionless mime type to *:\*****\*****\*****\*****\*****\.well-known\acme-challenge\web.config
 Answer should now be browsable at http://***.*****.com/.well-known/acme-challenge/*******************************************
 Submitting answer
 Refreshing authorization
 Authorization Result: valid
 Deleting answer

Requesting Certificate
 Request Status: Created
 Saving Certificate to %AppData%\letsencrypt-win-simple\httpsacme-v01.api.letsencrypt.org\2,8-crt.der
 Saving Issuer Certificate to %AppData%\letsencrypt-win-simple\httpsacme-v01.api.letsencrypt.org\ca-********************************-crt.pem
 Saving Certificate to %AppData%\letsencrypt-win-simple\httpsacme-v01.api.letsencrypt.org\2,8-all.pfx
 Opened Certificate Store "My"
 Adding Certificate to Store
 Closing Certificate Store
 Adding https Binding
 Adding https Binding
 Committing binding changes to IIS
 Opened Certificate Store "My"
 Removing Certificate from Store
 Closing Certificate Store
 Updating Existing https Binding
 IIS will serve the new certificate after the Application Pool Idle Timeout time has been reached.
 Committing binding changes to IIS
 Opened Certificate Store "My"
 Removing Certificate from Store
 Closing Certificate Store
 Creating Task letsencrypt-win-simple httpsacme-v01.api.letsencrypt.org with Windows Task Scheduler at 9am every day.

Do you want to specify the user the task will run as? (Y/N)
Enter the username (Domain\username): ***********.***\*****
Enter the user's password: ************
 Renewal Scheduled IISSiteServer 2,8 () Renew After 2016/11/14
Press enter to continue.


*:\Program Files (Free)\SystemExtensions\Network\BryanLivingston\letsencrypt-win-simple>

%AppData%
  は Windowsの環境変数で、
*:\Users\{ユーザー名}\AppData\Roaming
 フォルダを著す。




<<< 20161025 214948 >>>

★ コメントを貰っていた様だが、このログに限らず いつも気付くの遅れる傾向(^_^;)


■ 未だ未編集のままだが 一応添えておくと、

このログの内容は 多くのサーバ管理者が行っている Linux系各種サーバを WindowsServerに載せる運用向けではない。
何故なら、そういった内容であれば 巷に多くの良いTipsが存在しており、ココで改めて扱う必要性も無いからだ。

■ 大前提として、

おきつね鯖は あくまで 全てのサーバ機能を、1機の物理鯖で、
可能な限り WindowsServer2008R2で提供されている機能のみで 処理させる実験鯖。

ActiveDirectoryでドメイン環境を構成、DMZにレイアウトしRRASを用いてルーターとしても機能させた状態で、
IIS7.5 を 中核に稼働させ、ライブ配信鯖(rtmp)のみ nginxに担当させると云う歪な構成だ。

常識的な運用者なら、こんなサーバは立てないだろう。 

だからこそ判り易い資料が無く 模索するしかない、その結果のメモが このログである。

■ 因って

そうした WindowsServerの ないし MS製品の機能のみ で、
ほぼ全てのサーバ処理を完結させているケースを扱うスタンスで纏める予定だ()

メモだけに、読み物として完成させるかは未定とも云える()