Contents
TraefikとLet's Encryptの概要
Docker環境でHTTPSを自動化する際、TraefikとLet's Encryptは組み合わせて使用されることが多いです。Traefikは動的プロキシとして、Let's Encryptは無料証明書を提供します。両者を連携させることで、運用負荷を軽減し、セキュリティを強化できます。
Traefikの役割と特徴
TraefikはDockerやKubernetesなどのコンテナ環境に最適化されたインバウンドプロキシです。以下の特徴が導入の決め手となります。
- 動的設定変更：コンテナ起動時に自動でルールを適用
- TLSサポート：Let's Encryptと連携してHTTPS自動取得可能
- 簡単なコンフィグ：YAMLや環境変数での設定が主流
Let's Encryptの仕組みと導入意義
Let's Encryptは無料SSL証明書を提供する認証局です。ACMEプロトコルを通じて、ドメイン所有権を確認し証明書を発行します。
- 無料で利用可能：年間100万枚以上の証明書が発行
- 自動更新機能：90日ごとの有効期間に対応
- 信頼性：ChromeやFirefoxなど主要ブラウザでサポート
ACMEプロトコルによる証明書取得フロー
TraefikはLet's EncryptとACMEプロトコルを通じて通信し、証明書を自動取得します。このフローの理解は自動更新の仕組みを把握する上で重要です。
チャレンジ応答の仕組み
Let's Encryptはドメイン所有権を確認するために「チャレンジ」を実施します。Traefikは、HTTPまたはDNSレコードで応答し、認証を完了させます。
| プロトコル | 応答方法 | 利点 |
|---|---|---|
| HTTP-01 | 仮想ホストにファイル配置 | 設定がシンプル |
| DNS-01 | DNSレコード追加 | マルチドメイン対応 |
DNS-01チャレンジの具体的な設定方法
DNSレコードとして、_acme-challenge.example.comという名前のTXTレコードを作成します。値はTraefikが自動生成するランダム文字列を使用します。
証明書有効期間と更新リクエスト
Let's Encryptの証明書は90日間有効です。Traefikは自動的にリフレッシュを試み、失敗時は再チャレンジします。
Docker ComposeでのTraefik設定ファイル例
Docker環境でTraefikを導入するには、docker-compose.ymlを適切に構成することが必須です。以下は基本的な定義例です。
必要なサービス定義
Traefikコンテナの起動時にLet's Encrypt用のコンフィグとネットワークが定義されています。
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 |
version: '3.9' services: traefik: image: traefik:latest ports: - "80:80" - "443:443" volumes: - ./letsencrypt:/etc/letsencrypt - /var/run/docker.sock:/var/run/docker.sock environment: - TRAEFIK_PROVIDERS_DOCKER=true - TRAEFIK_ACME_EMAIL=[メールアドレス削除] - TRAEFIK_ACME_STORAGE=/etc/letsencrypt/acme.json - TRAEFIK_ACME_CHALLENGE=dns-01 # HTTP-01 or DNS-01を指定 |
環境変数の設定ポイント
以下のように環境変数を調整することで、Traefikの動作を細かく制御できます。
TRAEFIK_ACME_EMAIL：Let's Encryptでの登録用メールアドレス（必須）TRAEFIK_ACME_STORAGE：証明書データ保存先（永続化が必要）TRAEFIK_ACME_CHALLENGE：HTTP-01またはDNS-01を選択（初期値はHTTP-01）
traefikctlコマンドの注意
traefikctlコマンドはTraefik v3.10以降で利用可能です。バージョンが古い場合は使用不可です。
Cronジョブによる自動更新スクリプトの作成
証明書の自動更新を確実に行うには、cronタスクでTraefik CLIを定期的に実行します。以下に具体的な手順とスクリプト例を示します。
Traefik CLIコマンドの実行方法
Traefik v3.10以降ではtraefikctlコマンドを使用して証明書の更新やステータス確認が可能です。cronでtraefikctl acme renewを実行することで、自動的にリフレッシュされます。
- 有効なコマンド例:
bash
traefikctl acme renew --domain=example.com
スクリプトのエラーハンドリング
更新に失敗した場合でも、ログを出力し通知する必要があります。以下はスクリプトの基本構成です。
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 |
#!/bin/bash LOGFILE="/var/log/traefik-renew.log" DATE=$(date +"%Y-%m-%d %T") # 実行 traefikctl acme renew --domain=example.com > /dev/null 2>&1 # 結果をチェック if [ $? -eq 0 ]; then echo "$DATE: 証明書更新成功" >> $LOGFILE else echo "$DATE: 証明書更新失敗。詳細はログを確認してください。" >> $LOGFILE # メール通知など実行（例：mail -s "ERROR: 証明書更新失敗" [メールアドレス削除] < $LOGFILE） fi |
Renewal失敗時の監視・通知設定
証明書の更新が失敗した場合、即座に気づくための監視と通知は不可欠です。以下に具体的な方法を紹介します。
メール通知の実装例
Linux環境であればmailコマンドやsendmailを使用してメール送信できます。スクリプト内に以下のように追加すると、失敗時に自動で通知されます。
|
1 2 3 4 |
if [ $? -ne 0 ]; then echo "$DATE: 証明書更新失敗" | mail -s "Traefik証明書更新エラー" [メールアドレス削除] fi |
監視ツールとの連携方法
SlackやOpsgenieなどのツールと連携するには、Webhookを用います。以下はSlack送信の例です。
|
1 2 |
curl -X POST --data-urlencode "payload={\"text\":\"$DATE: 証明書更新失敗\",\"channel=\"#traefik\",\"username\":\"Auto-Notifier\"}" https://hooks.slack.com/services/XXX/XXXXX/YYYYY |
実環境での導入に向けた確認事項と注意点
本番環境でTraefikとLet's Encryptを運用する際には、いくつかのチェック項目が存在します。特にDocker SwarmやKubernetesでは特殊な考慮が必要です。
DNS設定の再確認
証明書取得に失敗しないように、DNSレコードが正しく設定されているか必ず確認してください。
- ドメイン所有権：TraefikはHTTP-01またはDNS-01で確認
- Aレコード：
example.com→ 仮想ホストのIPアドレスを指す - CNAME：サブドメインが適切に解決されるかテスト
レプリケーション環境での同期対策
Docker SwarmやKubernetesで複数ノード運用する際、証明書データの同期が必須です。
| 環境 | 対応方法 |
|---|---|
| Docker Swarm | ボリュームを共有し/etc/letsencrypt同期 |
| Kubernetes | ConfigMapまたはPersistentVolumeで永続化 |
- TraefikとLet's Encryptの組み合わせは、HTTPS自動更新を効率的に行う手段です
- Docker環境では、コンフィグファイルとcronスクリプトを整えることが成功の鍵となります
- メールやSlackでの通知設定は失敗時の即時対応を可能にします
- レプリケーション環境では、ボリューム同期が重要です
実環境でHTTPS自動更新を開始する際は、本手順に従ってTraefikのコンフィグ確認を。