MENU
  1. ホーム
  2. Apache
  3. Apacheでオレオレ証明書を作成しSSL通信をテストする方法を完全解説

Apacheでオレオレ証明書を作成しSSL通信をテストする方法を完全解説

Apache

ApacheでSSLを有効化し、安全な通信環境を構築することは、Webサーバー運用において重要なステップです。しかし、本番環境で正式な証明書を取得する前に、ローカル環境やテスト環境でSSLの動作を確認したい場合があります。そこで役立つのが「オレオレ証明書（自己署名証明書）」です。

オレオレ証明書を使用することで、コストをかけずにSSL通信のテストが可能になります。本記事では、Apacheを用いてオレオレ証明書を作成し、SSL通信をテストする手順を詳しく解説します。SSLの基本知識から、証明書の生成、Apacheの設定、HTTPS通信の確認方法、トラブルシューティングまでを網羅しています。

これからApacheでSSL通信を試してみたい方や、開発環境でセキュアな通信を検証したい方は、ぜひこの記事を参考にして、SSLの基礎知識と設定方法を身につけてください。

目次

SSLとオレオレ証明書の基礎知識


SSL（Secure Sockets Layer）は、インターネット上での通信を暗号化し、データの盗聴や改ざんを防ぐための技術です。現在ではTLS（Transport Layer Security）が主流ですが、一般的にはSSLという呼び名が広く使われています。SSLを導入することで、Webサイトとユーザー間の通信が暗号化され、セキュリティが向上します。

SSL証明書の役割


SSL証明書は、Webサーバーの身元を証明し、通信内容を暗号化するために使用されます。正式なSSL証明書は信頼された認証局（CA）によって発行されますが、取得には費用と手続きが必要です。

オレオレ証明書とは


オレオレ証明書とは、自己署名型の証明書の俗称であり、認証局を通さずに自分で発行した証明書を指します。正式な証明書と異なり、ブラウザは「安全ではありません」という警告を表示しますが、テスト環境ではコストをかけずにSSLの動作確認ができるというメリットがあります。

オレオレ証明書の用途

  • 開発環境でのSSLテスト：本番環境で証明書を導入する前に、設定が正しいかを確認できます。
  • イントラネット用Webサイト：外部に公開しない環境で、最低限のセキュリティを確保する場合に使用します。
  • 学習・検証目的：SSLやApacheの設定を学ぶために手軽に導入できます。

オレオレ証明書は万能ではありませんが、開発段階やイントラネット環境で活用することで、効率よくSSL通信を導入・テストすることが可能です。

必要な環境とツールの準備


SSL通信をApacheで有効化するには、いくつかのツールや環境の準備が必要です。ここでは、Apacheのインストールからオレオレ証明書を作成するためのOpenSSLの導入までを解説します。

必要な環境


以下の環境が整っていることを前提とします。

  • OS：Linux（CentOS、Ubuntuなど）またはWindows、macOS
  • Webサーバー：Apache HTTP Server（バージョン2.4以上推奨）
  • コマンドライン操作が可能

必要なツール

  • Apache：Webサーバーソフトウェア
  • OpenSSL：SSL証明書の作成・管理を行うツール

Apacheのインストール


Apacheがインストールされていない場合は、以下のコマンドでインストールします。

CentOS/RHEL系

sudo yum install httpd
sudo systemctl start httpd
sudo systemctl enable httpd

Ubuntu/Debian系

sudo apt update
sudo apt install apache2
sudo systemctl start apache2
sudo systemctl enable apache2

OpenSSLのインストール


OpenSSLは多くのLinuxディストリビューションで標準搭載されていますが、未導入の場合は以下のコマンドでインストールします。

CentOS/RHEL系

sudo yum install openssl

Ubuntu/Debian系

sudo apt install openssl

インストール確認


ApacheとOpenSSLが正しくインストールされたかを確認します。

httpd -v  # または apache2 -v
openssl version


バージョン情報が表示されれば、インストールは完了です。

ファイアウォールの設定


SSL通信を行うためには、ファイアウォールでHTTPS（ポート443）を開放する必要があります。

sudo firewall-cmd --add-service=https --permanent
sudo firewall-cmd --reload

これで、ApacheでSSL通信を行うための基本的な環境が整いました。次のステップでは、オレオレ証明書の生成手順について解説します。

オレオレ証明書の生成手順


オレオレ証明書（自己署名証明書）を作成するには、OpenSSLを使用します。このセクションでは、Apacheで使用するための証明書と秘密鍵を生成する具体的な手順を解説します。

証明書と秘密鍵の作成


以下のコマンドを実行して、秘密鍵（key）と証明書署名要求（CSR）、自己署名証明書（CRT）を作成します。

# 秘密鍵の生成
openssl genrsa -out server.key 2048  

# CSRの作成
openssl req -new -key server.key -out server.csr

コマンド実行中に、以下の情報を入力するよう求められます。適宜、自分の環境に合わせて入力してください。

Country Name (2 letter code) [XX]:JP  
State or Province Name (full name) []:Tokyo  
Locality Name (eg, city) [Default City]:Shibuya  
Organization Name (eg, company) [Default Company Ltd]:MyCompany  
Organizational Unit Name (eg, section) []:IT Department  
Common Name (eg, your name or your server's hostname) []:localhost  
Email Address []:admin@example.com

重要ポイント：

  • Common Nameには、サーバーのドメイン名またはIPアドレスを記入してください。テスト環境では「localhost」で問題ありません。
  • 入力した情報は証明書に記載されます。

証明書の生成


次に、自己署名証明書を作成します。

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
  • -days 365：証明書の有効期限を365日と指定します。必要に応じて変更可能です。
  • server.crt：作成された証明書ファイルです。

ファイルの確認


作成した証明書と秘密鍵が正しく生成されているか確認します。

ls server.*


以下の3つのファイルが存在するはずです。

  • server.key（秘密鍵）
  • server.csr（証明書署名要求）
  • server.crt（証明書）

証明書のインストール準備


生成した証明書と秘密鍵をApacheのSSL設定ディレクトリに移動します。

sudo cp server.crt /etc/pki/tls/certs/  
sudo cp server.key /etc/pki/tls/private/

これでオレオレ証明書の生成は完了です。次は、Apacheの設定ファイルを編集し、SSLを有効化して証明書を適用する手順に進みます。

Apacheの設定ファイル編集方法


オレオレ証明書を生成した後は、Apacheの設定ファイルを編集してSSLを有効化し、証明書を適用する必要があります。このセクションでは、SSL設定を行うためのApacheの設定ファイル編集方法を解説します。

SSL設定ファイルの場所


ApacheのSSL設定ファイルは、OSやディストリビューションによって異なりますが、一般的には以下の場所にあります。

  • CentOS/RHEL系：/etc/httpd/conf.d/ssl.conf
  • Ubuntu/Debian系：/etc/apache2/sites-available/default-ssl.conf

SSL設定ファイルの編集


設定ファイルを開き、証明書と秘密鍵のパスを指定します。

CentOS/RHEL系

sudo vi /etc/httpd/conf.d/ssl.conf

Ubuntu/Debian系

sudo vi /etc/apache2/sites-available/default-ssl.conf

ファイル内の以下の項目を編集します。

SSLCertificateFile /etc/pki/tls/certs/server.crt
SSLCertificateKeyFile /etc/pki/tls/private/server.key
  • SSLCertificateFile：生成した証明書（server.crt）のパスを指定します。
  • SSLCertificateKeyFile：秘密鍵（server.key）のパスを指定します。

ApacheでSSLモジュールを有効化（Ubuntu/Debian）


Ubuntu/Debian系では、SSLモジュールを明示的に有効化する必要があります。

sudo a2enmod ssl
sudo a2ensite default-ssl

変更を適用するためにApacheを再起動します。

sudo systemctl restart apache2  # Ubuntu/Debian系
sudo systemctl restart httpd    # CentOS/RHEL系

設定確認


Apacheが正しく動作しているかを確認します。

sudo systemctl status apache2  # Ubuntu/Debian系
sudo systemctl status httpd    # CentOS/RHEL系


「active (running)」と表示されれば、Apacheが正常に稼働しています。

これで、ApacheのSSL設定が完了しました。次は、SSLモジュールの有効化と証明書の適用方法について詳しく解説します。

SSLモジュールの有効化と証明書の適用


Apacheにオレオレ証明書を適用するためには、SSLモジュールを有効化し、生成した証明書を適切に設定する必要があります。このセクションでは、SSLモジュールの有効化と証明書の適用方法について解説します。

SSLモジュールの有効化


CentOS/RHEL系では、SSLモジュールはデフォルトでインストールされていますが、念のため以下のコマンドで確認します。

sudo yum install mod_ssl

Ubuntu/Debian系では、a2enmodコマンドを使ってSSLモジュールを有効化します。

sudo a2enmod ssl

ApacheでのSSL設定の確認と適用


次に、ApacheのSSL設定ファイルを確認し、証明書が正しく適用されているかを確認します。

CentOS/RHEL系

sudo vi /etc/httpd/conf.d/ssl.conf

Ubuntu/Debian系

sudo vi /etc/apache2/sites-available/default-ssl.conf

以下のように、証明書と秘密鍵のパスが設定されていることを確認してください。

<VirtualHost *:443>
    ServerAdmin admin@example.com
    ServerName localhost

    SSLEngine on
    SSLCertificateFile /etc/pki/tls/certs/server.crt
    SSLCertificateKeyFile /etc/pki/tls/private/server.key

    <FilesMatch "\.(cgi|shtml|phtml|php)$">
        SSLOptions +StdEnvVars
    </FilesMatch>

    <Directory /var/www/html>
        AllowOverride All
    </Directory>
</VirtualHost>
  • ServerName：localhostのままで問題ありませんが、実際のドメインがある場合は指定します。
  • SSLEngine on：SSLを有効化する設定です。
  • SSLCertificateFile：自己署名証明書のパスを記述します。
  • SSLCertificateKeyFile：秘密鍵のパスを記述します。

サイトの有効化（Ubuntu/Debian系）


SSLサイトの設定を有効化します。

sudo a2ensite default-ssl

Apacheの再起動


変更を反映させるため、Apacheを再起動します。

sudo systemctl restart apache2  # Ubuntu/Debian系
sudo systemctl restart httpd    # CentOS/RHEL系

ポートの確認


ファイアウォールでHTTPS通信（ポート443）が許可されているか確認し、開放します。

sudo firewall-cmd --add-service=https --permanent
sudo firewall-cmd --reload

これで、SSLモジュールが有効化され、証明書が適用されました。次のステップでは、HTTPS通信が正常に動作しているかをブラウザで確認します。

HTTPS通信の確認方法


オレオレ証明書を適用したApacheで、SSL通信が正しく動作しているかを確認します。HTTPS接続が有効になっていることを確認することで、設定の問題を早期に発見し修正できます。

Apacheのステータス確認


Apacheが稼働しているか確認します。

sudo systemctl status apache2  # Ubuntu/Debian系
sudo systemctl status httpd    # CentOS/RHEL系


「active (running)」と表示されていれば問題ありません。停止している場合は以下で起動します。

sudo systemctl start apache2  # Ubuntu/Debian系
sudo systemctl start httpd    # CentOS/RHEL系

ブラウザでのアクセス


次に、ブラウザでApacheサーバーにアクセスし、HTTPS通信が可能か確認します。

https://localhost


もしくは、サーバーのIPアドレスでアクセスします。

https://[サーバーのIPアドレス]


アクセス時に「この接続は安全ではありません」という警告が表示されますが、これはオレオレ証明書を使用しているためです。
「詳細設定」→「このサイトにアクセスする（非推奨）」 を選択してアクセスを続けます。

証明書情報の確認


ブラウザでサイトにアクセスした後、アドレスバーの鍵アイコンをクリックし「証明書」を確認します。

  • 証明書の発行者が「自己署名」または「localhost」と表示されていれば、オレオレ証明書が適用されています。
  • 有効期限や証明書の詳細を確認し、適切に設定されていることを確認してください。

curlコマンドでの確認


ターミナルからもSSL通信の確認が可能です。

curl -k https://localhost


-kオプションは、証明書の検証をスキップするためのものです。これで、ページのHTMLが表示されれば、SSL通信が正しく動作しています。

エラー発生時の確認事項

  • Apacheの設定ファイルに誤りがないか再確認します。
  • 証明書と秘密鍵のパスが正しいか確認します。
  • ファイアウォールでHTTPSポート（443）が開放されているか確認します。

これで、オレオレ証明書を使用したApacheのHTTPS通信の確認が完了しました。次は、オレオレ証明書に関する注意点と、その対策について解説します。

オレオレ証明書に関する注意点と対策


オレオレ証明書（自己署名証明書）は手軽にSSL通信をテストできる便利な方法ですが、本番環境で使用する際にはいくつかのリスクが伴います。このセクションでは、オレオレ証明書を使用する際の注意点と、それに対する対策について解説します。

オレオレ証明書の主なリスク

  1. ブラウザの警告表示
    オレオレ証明書は認証局（CA）を通して発行されていないため、ブラウザでアクセスすると「この接続は安全ではありません」という警告が表示されます。ユーザーが警告を無視すると、セキュリティ意識の低下を招く可能性があります。
  2. 中間者攻撃（MITM）のリスク
    オレオレ証明書は誰でも発行可能なため、攻撃者が偽の証明書を使用して通信を盗聴する可能性があります。これにより、パスワードや個人情報が漏洩する危険性があります。
  3. 信頼性の欠如
    自己署名証明書は信頼性が低いため、外部のクライアントやシステムが接続を拒否することがあります。これにより、Webサービスの利用者が離脱する可能性があります。

オレオレ証明書の安全な利用方法

  1. テスト環境に限定
    オレオレ証明書はあくまでテストや開発環境での使用に留め、本番環境では正式な認証局が発行する証明書を導入することが重要です。
  2. イントラネットなどのクローズド環境での使用
    オレオレ証明書は社内ネットワーク（イントラネット）やVPN環境など、外部に公開されないネットワークでの使用に適しています。外部アクセスがないため、中間者攻撃のリスクを軽減できます。
  3. クライアントに証明書をインポート
    自己署名証明書を使用する場合、クライアント側に証明書をインポートすることで、警告を回避できます。以下の手順で証明書をインポートします。
  • 証明書（server.crt）をクライアントマシンに転送します。
  • ダブルクリックして「証明書をインストール」を選択し、信頼されたルート証明機関に追加します。
  1. Let’s Encryptの活用
    テスト環境でも正式なSSL証明書を無料で取得できるサービスとしてLet’s Encryptがあります。これにより、オレオレ証明書を使わずに正式な証明書を簡単に導入できます。
sudo certbot --apache

証明書の更新と管理


自己署名証明書は有効期限が短く設定されていることが多いため、期限切れに注意し、定期的に更新します。

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

まとめ


オレオレ証明書は便利なツールですが、本番環境での使用は避けるべきです。テスト環境や閉じたネットワークで利用し、必要に応じてLet’s Encryptのような無料SSL証明書を導入することで、安全性を高めることができます。

トラブルシューティング


Apacheでオレオレ証明書を適用した後、HTTPS接続がうまく動作しない場合があります。このセクションでは、SSL設定時に発生する可能性があるエラーとその解決方法を解説します。

よくあるエラーと対処法

1. ブラウザで「証明書が無効です」と表示される


原因：オレオレ証明書が正式な認証局（CA）によって署名されていないため、ブラウザが証明書を信頼しません。
対処法：

  • ブラウザで警告を無視して進む（テスト環境でのみ実施）。
  • 自己署名証明書をクライアントマシンにインポートし、「信頼されたルート証明機関」に登録します。
openssl x509 -outform der -in server.crt -out server.der.crt
  • 上記コマンドで証明書をDER形式に変換し、クライアントにインポートします。

2. Apacheが起動しない / 再起動時にエラーが発生する


エラーメッセージ例：

AH02572: Failed to configure at least one certificate and key for localhost:443

原因：証明書ファイルや秘密鍵のパスが間違っているか、証明書と秘密鍵が一致していません。
対処法：

  • 設定ファイル内の証明書と鍵のパスを確認します。
SSLCertificateFile /etc/pki/tls/certs/server.crt
SSLCertificateKeyFile /etc/pki/tls/private/server.key
  • 証明書と秘密鍵が一致しているかを確認します。
openssl x509 -noout -modulus -in server.crt | openssl md5
openssl rsa -noout -modulus -in server.key | openssl md5
  • 上記のハッシュ値が一致していれば、証明書と秘密鍵はペアとして正しく機能します。

3. HTTPSでアクセスしてもHTTPで表示される


原因：ApacheのSSL設定が正しく反映されていません。
対処法：

  • SSLモジュールが有効になっていることを確認します。
sudo a2enmod ssl  # Ubuntu/Debian
sudo systemctl restart apache2
  • HTTPSの仮想ホスト設定が正しいか確認します。
<VirtualHost *:443>
    ServerAdmin admin@example.com
    DocumentRoot /var/www/html
    SSLEngine on
    SSLCertificateFile /etc/pki/tls/certs/server.crt
    SSLCertificateKeyFile /etc/pki/tls/private/server.key
</VirtualHost>
  • ポート443が開放されているか確認します。
sudo firewall-cmd --list-all
sudo firewall-cmd --add-service=https --permanent
sudo firewall-cmd --reload

4. 証明書の有効期限切れ


原因：証明書の有効期限が切れています。
対処法：証明書を再生成します。

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

ログの確認方法


Apacheのエラーログを確認することで、問題の特定が容易になります。

sudo tail -f /var/log/httpd/error_log  # CentOS/RHEL系
sudo tail -f /var/log/apache2/error.log  # Ubuntu/Debian系

まとめ


SSL証明書適用後に発生するトラブルの多くは、証明書の不一致や設定ミスが原因です。エラーログを確認し、適切に対応することで、SSL通信を安定して動作させることができます。

まとめ


本記事では、Apacheでオレオレ証明書を作成し、SSL通信をテストする方法について解説しました。SSLの基本知識から証明書の生成、Apacheの設定、トラブルシューティングまで、テスト環境でSSLを導入する手順を網羅しています。

オレオレ証明書は正式な証明書に比べて手軽にSSL通信を導入できる反面、ブラウザの警告やセキュリティリスクが伴います。開発環境やイントラネットでの使用に留め、本番環境ではLet’s Encryptなどの無料認証局を活用することで、より安全で信頼性の高いSSL通信を実現できます。

SSLの導入はセキュリティ向上の第一歩です。この記事を参考にして、ApacheサーバーでSSL通信の基本をマスターし、安全なWeb環境を構築してください。

Apache
ssl HTTPS Apache オレオレ証明書

コメント

コメントする

目次