DevOpsナレッジハブ
DevOpsナレッジハブ

HTTPSによるNginxのセキュリティ設定：ステップバイステップガイド

この包括的なステップバイステップガイドで、NginxウェブサーバーをHTTPSで安全に保護する方法を学びましょう。Let's Encryptからの無料SSL/TLS証明書の取得（Certbotを使用）、暗号化された接続のためのNginx設定、HSTSなどの必須セキュリティ対策の実装について解説します。適切に設定されたHTTPS環境で、データを保護し、ユーザーの信頼を築き、SEOを改善しましょう。

71 ビュー

NginxをHTTPSで保護する：ステップバイステップガイド

今日のデジタル環境では、セキュリティが最優先事項です。NginxウェブサーバーでHTTPS（Hypertext Transfer Protocol Secure）を有効にすることは、もはやオプションではありません。機密データを保護し、ユーザーの信頼を構築し、ウェブサイトの検索エンジンランキングを向上させるための基本的な要件となっています。HTTPSは、ユーザーのブラウザとサーバー間の通信を暗号化し、盗聴を防ぎ、送信される情報の整合性を保証します。

このガイドでは、SSL/TLS証明書を使用してNginxサーバーを保護し、HTTPSを有効にするための必須ステップを順を追って説明します。証明書の取得、証明書を使用するためのNginxの設定、すべてが正しく機能していることを確認するための基本的な検証について説明します。このガイドの終わりには、より安全で信頼性の高いウェブプレゼンスが実現します。

1. SSL/TLS証明書の理解

設定に入る前に、SSL/TLS証明書とは何かを簡単に説明しましょう。SSL/TLS証明書は、ウェブサイトのIDを認証し、暗号化された接続を可能にするデジタル証明書です。ブラウザがHTTPSを使用してウェブサイトに接続すると、ウェブサイトの証明書をチェックしてその認証を確認し、安全で暗号化されたチャネルを確立します。

証明書にはいくつかの種類がありますが、ほとんどのウェブサイトではドメイン検証（DV）証明書で十分です。このタイプの証明書は、申請者がドメイン名を制御していることを検証しますが、ドメインの背後にある組織に対して広範なチェックは行いません。

2. SSL/TLS証明書の取得

NginxサーバーのSSL/TLS証明書を取得するには、主に2つの方法があります。

  • Let's Encrypt（無料かつ自動化）： Let's Encryptは、無料、自動化、オープンな証明機関です。使いやすさと費用対効果から、ほとんどのユーザーに強く推奨されます。Certbotのようなツールを使用すると、証明書の取得と更新のプロセスを自動化できます。
  • 商用証明機関（有料）： Comodo、DigiCert、GoDaddyのような商用CAから証明書を購入することもできます。これらはしばしば拡張検証（EV）または組織検証（OV）証明書を提供しており、より高いレベルの信頼性を提供しますが、コストとより複雑な検証プロセスが伴います。

このガイドでは、最もアクセスしやすく広く採用されている方法である Let's EncryptとCertbotの使用に焦点を当てます。

2.1 Certbotのインストール

Certbotは、Let's Encrypt証明書の取得と更新プロセスを自動化するクライアントです。インストールプロセスは、オペレーティングシステムとNginxの設定によって若干異なります。

Debian/Ubuntuの場合：

sudo apt update
sudo apt install certbot python3-certbot-nginx

CentOS/RHEL/Fedoraの場合：

sudo yum install epel-release
sudo yum install certbot python3-certbot-nginx

重要事項： 進む前に、Nginxが実行されており、HTTP経由でドメイン名からアクセス可能であることを確認してください。Certbotは、ドメイン所有権を検証するためにサーバーと通信する必要があります。

2.2 Certbotを使用した証明書の取得

Certbotがインストールされたら、それを使用してドメインの証明書を取得できます。CertbotはNginxを自動的に設定できます。

Nginxの設定ディレクトリに移動します。正確なパスは異なる場合がありますが、一般的には /etc/nginx/sites-available/ です。

実際のドメイン名に your_domain.com および www.your_domain.com を置き換えて、次のコマンドを実行します。

sudo certbot --nginx -d your_domain.com -d www.your_domain.com

Certbotは以下のことを行います：

  1. メールアドレスの要求： 更新通知やセキュリティアラートに使用されます。
  2. 利用規約への同意の要求： 読んで同意してください。
  3. EFFとのメール共有の希望の確認： オプションです。
  4. 既存のNginx仮想ホストの検出： 見つかったドメインが一覧表示されます。
  5. HTTPSの処理方法の選択： 通常、2つのオプションがあります。
    • 1: リダイレクトなし - HTTPとHTTPSの両方を提供しますが、HTTPトラフィックをHTTPSにリダイレクトしません。
    • 2: リダイレクト - すべてのHTTPトラフィックをHTTPSに自動的にリダイレクトします。これはほとんどのユーザーに推奨されるオプションです。

より安全な設定のためには、オプション 2 を選択してください。

成功した場合、Certbotは証明書がインストールされ、自動更新が設定されたことを通知します。

3. Nginx設定の検証

Certbotの実行後、新しいSSL/TLS証明書を使用するようにNginx設定ファイルが自動的に変更され、オプションを選択した場合はリダイレクトが設定されます。

3.1 Nginx設定ファイルの確認

サイトの設定ファイル（例：/etc/nginx/sites-available/your_domain.com）を調べて、変更点を確認できます。以下のようなディレクティブが見つかるはずです。

server {
    listen 80;
    server_name your_domain.com www.your_domain.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    server_name your_domain.com www.your_domain.com;

    ssl_certificate /etc/letsencrypt/live/your_domain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/your_domain.com/privkey.pem;

    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

    # ... other configurations for your site ...
}
  • 最初の server ブロックはポート80（HTTP）でリッスンし、すべてのリクエストをHTTPSにリダイレクトします。
  • 2番目の server ブロックはポート443（SSL/TLS）でリッスンし、証明書（ssl_certificate）と秘密鍵（ssl_certificate_key）へのパスを指定します。
  • include /etc/letsencrypt/options-ssl-nginx.conf; は、Nginxの推奨SSLパラメータを含みます。
  • ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; は、Diffie-Hellmanパラメータ交換に使用され、セキュリティを強化します。

3.2 Nginx設定のテスト

Nginxをリロードする前に、構文エラーがないか設定をテストすることが重要です。

sudo nginx -t

テストが成功すると、次のような出力が表示されます。

nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

3.3 Nginxのリロード

設定テストが成功したら、Nginxをリロードして変更を適用します。

sudo systemctl reload nginx

3.4 ブラウザでのHTTPSの検証

ウェブブラウザを開き、https://your_domain.com を使用してドメインにアクセスします。アドレスバーに南京錠のアイコンが表示され、安全な接続が示されているはずです。南京錠をクリックすると、証明書の詳細が表示されることがよくあります。

4. 自動更新

Let's Encrypt証明書は90日間有効です。Certbotは、証明書が失効する前に更新するように、システムサービス（通常はcronジョブまたはsystemdタイマー）を自動的に設定します。実際に証明書を更新せずに更新プロセスをテストするには、次を実行します。

sudo certbot renew --dry-run

このコマンドは更新プロセスをシミュレートし、潜在的な問題があれば警告します。

5. 高度なSSL/TLS設定（オプション）

Certbotは基本的な設定の多くを処理しますが、セキュリティやパフォーマンスを向上させるためにSSL/TLS設定を微調整したい場合があります。

5.1 SSLプロトコルバージョン

SSLv2、SSLv3、TLSv1.0、TLSv1.1のような古い、安全でないSSL/TLSプロトコルバージョンを無効にすることをお勧めします。最新のブラウザとサーバーはTLSv1.2およびTLSv1.3をサポートしています。

server ブロック（443 ssl 設定内）に ssl_protocols ディレクティブを追加または変更します。

ssl_protocols TLSv1.2 TLSv1.3;

5.2 暗号スイート

暗号スイートは、SSL/TLS接続に使用される暗号化アルゴリズムを決定します。強力な暗号化を確保するために、優先する暗号スイートを指定できます。

ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
ssl_prefer_server_ciphers off;

ヒント： Mozilla SSL Configuration Generatorのようなオンラインツールを使用して、サーバーの機能に合わせて推奨されるSSL設定を生成できます。

5.3 HSTS（HTTP Strict Transport Security）

HSTSは、ブラウザにHTTPS経由でのみウェブサイトとやり取りするように強制するセキュリティ機能です。HSTSが有効なサイトにブラウザが一度アクセスすると、ユーザーがhttp://と入力したり、http://リンクをクリックしたりしても、将来のすべてのアクセスで自動的にHTTPSが使用されます。

HSTSを有効にするには、ポート443でリッスンする server ブロックに以下を追加します。

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
  • max-age=31536000：ブラウザがHTTPSのみを使用するように記憶すべき期間を設定します（31,536,000秒＝1年）。
  • includeSubDomains：HSTSポリシーをすべてのサブドメインに適用します。

警告： HSTSは注意して有効にしてください。設定すると、元に戻すのは困難になる可能性があります。テスト中は、短い max-age 値（例：1時間）から始めてください。長い max-age を設定する前に、HTTPSが完全に機能していることを確認してください。

6. 一般的な問題のトラブルシューティング

  • Certbotがドメイン検証に失敗する：
    • ドメインのDNSレコードがサーバーのIPアドレスを正しく指していることを確認してください。
    • Nginxが実行されており、ポート80でHTTP経由でアクセス可能であることを確認してください。
    • ポート80が開いていることを確認するために、ファイアウォールルールを確認してください。
  • Nginxのリロードに失敗する：
    • sudo nginx -t を実行して、設定ファイルに構文エラーがないか確認してください。
    • Nginxのエラーログ（/var/log/nginx/error.log）を確認してください。
  • HTTPS経由でウェブサイトにアクセスできない：
    • ファイアウォールでポート443が開いていることを確認してください。
    • listen 443 ssl; ディレクティブが存在し、正しいことを確認してください。
    • ssl_certificate および ssl_certificate_key へのパスが正確であることを確認してください。

結論

NginxサーバーをHTTPSで保護することは、信頼性の高い安全なオンラインプレゼンスを構築するための重要なステップです。このガイドに従うことで、SSL/TLS証明書の取得と設定、自動更新、基本的なセキュリティ強化の実装方法を学びました。SSL/TLS設定を定期的に見直し、サーバーソフトウェアを最新の状態に保つことは、堅牢なセキュリティを維持するための不可欠な実践です。

HTTPSの実装は、現代のウェブサーバー管理における重要なステップです。ユーザーのデータを保護するだけでなく、サイトの評判や検索エンジンの可視性にも良い影響を与えます。サーバーのパフォーマンスと耐障害性をさらに向上させるために、高度なNginx設定とセキュリティのベストプラクティスを引き続き探求してください。