概要

acme.sh とは

acme.sh は Pure Shell Script で実装された軽量なACMEクライアントです。Python や Node.js などのランタイムが不要で、curl（または wget）だけで動作します。

webrootモードの仕組み

ACMEサーバからのチャレンジファイルを既存Webサーバのドキュメントルート配下に配置することで、ドメインの所有権を証明します。Webサーバを停止する必要はありません。

事前準備・前提条件

🟠 = Ubuntu/Debian向け手順　🔴 = RHEL/AlmaLinux/Rocky Linux向け手順　（表記なし = 共通）

設定手順

STEP 1依存パッケージのインストール

コピーsudo apt update
sudo apt install -y curl socat

コピーsudo dnf install -y curl socat

STEP 2acme.sh のインストール

コピー# メールアドレスは管理者のものに変更してください
curl https://get.acme.sh | sh -s email=<:管理者メールアドレス>:

# シェルを再読み込み
source ~/.bashrc

# バージョン確認
acme.sh --version

STEP 3EAB情報の確認

SSLセキュアの管理画面から以下の情報を取得してください。

STEP 4ファイアウォールの確認

コピーsudo ufw allow 80/tcp
sudo ufw allow 443/tcp

コピーsudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

STEP 5認証局（CA）の登録

コピーacme.sh --register-account \
  --server <ACME Server URL> \
  --eab-kid  "<Key ID>" \
  --eab-hmac-key "<HMAC Key>"

成功時の出力例

[info] Registering account: <ACME Server URL>
[info] Registered
[info] ACCOUNT_THUMBPRINT='xxxxxxxxxxxxxxxxxxxx'

STEP 6webroot ディレクトリの設定

チャレンジディレクトリの作成

コピーsudo mkdir -p /var/www/html/.well-known/acme-challenge
sudo chown -R $USER:$USER /var/www/html/.well-known

Apache の設定確認

コピーsudo cat /etc/apache2/sites-enabled/000-default.conf

コピーsudo cat /etc/httpd/conf.d/vhost.conf

Nginx の設定確認・追記

コピー# /etc/nginx/sites-available/<ドメイン名> の server ブロックに追記
location /.well-known/acme-challenge/ {
    root /var/www/html;
}
sudo nginx -t && sudo systemctl reload nginx

コピー# /etc/nginx/conf.d/<ドメイン名>.conf の server ブロックに追記
location /.well-known/acme-challenge/ {
    root /var/www/html;
}
sudo nginx -t && sudo systemctl reload nginx

動作確認

コピーecho "ok" | tee /var/www/html/.well-known/acme-challenge/test.txt
curl http://<ドメイン名>/.well-known/acme-challenge/test.txt
# "ok" と表示されれば問題なし
rm /var/www/html/.well-known/acme-challenge/test.txt

STEP 7証明書の取得（初回）

コピーacme.sh --issue \
  --server <ACME Server URL> \
  -d <ドメイン名> \
  -d www.<ドメイン名> \
  --webroot /var/www/html

STEP 8証明書のインストール（Webサーバへの配置）

acme.sh では証明書の取得（--issue）と、Webサーバへの配置（--install-cert）を分けて行います。--reloadcmd に指定したコマンドは自動更新のたびに実行されます。

コピー# 配置先ディレクトリを作成
sudo mkdir -p /etc/ssl/<ドメイン名>

Apache の場合

コピーacme.sh --install-cert \
  -d <ドメイン名> \
  --cert-file      /etc/ssl/<ドメイン名>/cert.pem \
  --key-file       /etc/ssl/<ドメイン名>/privkey.pem \
  --fullchain-file /etc/ssl/<ドメイン名>/fullchain.pem \
  --reloadcmd      "systemctl reload apache2"

コピー# /etc/apache2/sites-available/<ドメイン名>-ssl.conf を作成
<VirtualHost *:443>
    ServerName <ドメイン名>
    DocumentRoot /var/www/html
    SSLEngine on
    SSLCertificateFile    /etc/ssl/<ドメイン名>/cert.pem
    SSLCertificateKeyFile /etc/ssl/<ドメイン名>/privkey.pem
    SSLCertificateChainFile /etc/ssl/<ドメイン名>/fullchain.pem
</VirtualHost>

sudo a2enmod ssl
sudo a2ensite <ドメイン名>-ssl.conf
sudo systemctl reload apache2

コピーacme.sh --install-cert \
  -d <ドメイン名> \
  --cert-file      /etc/ssl/<ドメイン名>/cert.pem \
  --key-file       /etc/ssl/<ドメイン名>/privkey.pem \
  --fullchain-file /etc/ssl/<ドメイン名>/fullchain.pem \
  --reloadcmd      "systemctl reload httpd"

コピー# mod_ssl のインストール（未導入の場合）
sudo dnf install -y mod_ssl

# /etc/httpd/conf.d/<ドメイン名>-ssl.conf を作成
<VirtualHost *:443>
    ServerName <ドメイン名>
    DocumentRoot /var/www/html
    SSLEngine on
    SSLCertificateFile    /etc/ssl/<ドメイン名>/cert.pem
    SSLCertificateKeyFile /etc/ssl/<ドメイン名>/privkey.pem
    SSLCertificateChainFile /etc/ssl/<ドメイン名>/fullchain.pem
</VirtualHost>

sudo systemctl reload httpd

Nginx の場合

コピーacme.sh --install-cert \
  -d <ドメイン名> \
  --key-file       /etc/ssl/<ドメイン名>/privkey.pem \
  --fullchain-file /etc/ssl/<ドメイン名>/fullchain.pem \
  --reloadcmd      "systemctl reload nginx"

コピー# /etc/nginx/sites-available/<ドメイン名> を編集
server {
    listen 443 ssl;
    server_name <ドメイン名>;
    ssl_certificate     /etc/ssl/<ドメイン名>/fullchain.pem;
    ssl_certificate_key /etc/ssl/<ドメイン名>/privkey.pem;
}
sudo ln -s /etc/nginx/sites-available/<ドメイン名>  /etc/nginx/sites-enabled/
sudo nginx -t && sudo systemctl reload nginx

コピーacme.sh --install-cert \
  -d <ドメイン名> \
  --key-file       /etc/ssl/<ドメイン名>/privkey.pem \
  --fullchain-file /etc/ssl/<ドメイン名>/fullchain.pem \
  --reloadcmd      "systemctl reload nginx"

コピー# /etc/nginx/conf.d/<ドメイン名>-ssl.conf を作成
server {
    listen 443 ssl;
    server_name <ドメイン名>;
    ssl_certificate     /etc/ssl/<ドメイン名>/fullchain.pem;
    ssl_certificate_key /etc/ssl/<ドメイン名>/privkey.pem;
}
# conf.d は自動読み込みのためシンボリックリンク不要
sudo nginx -t && sudo systemctl reload nginx

STEP 9自動更新の確認

コピー# cron の確認
crontab -l

# 強制更新テスト
acme.sh --renew \
  -d <ドメイン名> \
  --server <ACME Server URL> \
  --force

動作確認

コピー# 証明書の一覧確認
acme.sh --list

# 証明書の内容確認
openssl x509 -in /etc/ssl/<ドメイン名>/cert.pem \
  -noout -text | grep -E "Subject:|Issuer:|Not After"

# HTTPS 接続確認
curl -v https://<ドメイン名> 2>&1 | grep -E "SSL|subject|expire"

トラブルシューティング

ディストリビューション別 主要パス・コマンド早見表