3SS.04.1Let's Encryptを使用した証明書の取得

LinuCレベル3 SS試験の出題範囲から「4.1_Let's Encryptを使用した証明書の取得」についての例題を解いてみます。

LinuCレベル3 セキュリティスペシャリスト 3SS試験 出題範囲

例題

Let's Encryptで取得した証明書の有効期限を確認したところ、以下の情報が得られた。現在の日時が 2024年3月10日 10:00:00 UTC の場合、オプションを指定せずに certbot renew コマンドを実行したときの挙動として最も適切なものはどれか。

Certificate:
    Validity
        Not Before: Jan 15 12:00:00 2024 GMT
        Not After : Apr 15 11:59:59 2024 GMT
    Subject: CN=example.com
    X509v3 Subject Alternative Name:
        DNS:example.com, DNS:www.example.com

1. 証明書の更新処理が実行され、新しい証明書が発行される。
2. 証明書の有効期限が切れているため、エラーが発生する。
3. 証明書の更新は不要と判断され、処理がスキップされる。
4. 証明書の日付に不整合があるため、警告が表示される。
5. 証明書の更新予約が行われ、30日以内になったら自動更新される。

※この例題は実際の試験問題とは異なります。

解答と解説

正解は、「3.証明書の更新は不要と判断され、処理がスキップされる。」です。

この問題は、certbot renew コマンドの自動更新ポリシーを理解しているかを問うものです。

Certbot の更新ポリシー

Certbot のバージョンによって更新判断基準が異なります：

• Certbot 4.0.0以降: 証明書の有効期間の1/3が残った時点で更新
  • Let's Encrypt証明書(90日間): 90日 × 1/3 = 30日前から更新
• Certbot 3.x以前: 固定で30日前から更新

本問題では、Let's Encrypt証明書(90日間)を使用しているため、いずれのバージョンでも30日前から更新対象となります。

証明書の有効期間

• 発行日: 2024年1月15日 12:00:00 GMT
• 有効期限: 2024年4月15日 11:59:59 GMT
• 総有効期間: 90日間

現在日時との関係

• 現在日時: 2024年3月10日 10:00:00 UTC
• 有効期限までの残日数: 約36日
• 更新開始タイミング: 残り30日を切った時点(2024年3月16日頃)

補足: Certbot バージョンによる動作の違い

Certbot 4.0.0で更新ポリシーが変更されましたが、Let's Encrypt証明書(90日間)の場合は結果的に同じタイミングで更新されます：

• Certbot 4.0.0以降: 90日 × (1 - 1/3) = 60日経過時点 → 残り30日
• Certbot 3.x以前: 固定で残り30日

ただし、有効期間が異なる証明書(例: 10日以下)では動作が異なります：

• 10日以下の証明書: Certbot 4.0.0以降では有効期間の1/2が残った時点で更新

例題作成者

LinuC 試験開発コミュニティ