トラブルシューティング : Docker Nginx SSL

2025年2月2日2025年2月6日

Docker を使用して Nginx を SSL 対応する際、様々なトラブルが発生する可能性があります。本記事では、Docker Nginx SSL 対応で発生する一般的なトラブルと、その解決策を初心者にもわかりやすく解説します！

目次 [ close ]

トラブルシューティングの前に

トラブルシューティングを行う前に、以下の点を確認しましょう。

エラーメッセージの確認: エラーが発生した場合、ブラウザやターミナルにエラーメッセージが表示されます。エラーメッセージの内容を確認することで、トラブルの原因を特定することができます。
ログファイルの確認: Nginx のログファイルには、エラーやアクセスに関する情報が記録されています。ログファイルを確認することで、トラブルの原因を特定することができます。Nginx のログファイルは、 /var/log/nginx/ ディレクトリに保存されていることが多いです。
設定ファイルの確認: Nginx の設定ファイルに誤りがあると、SSL 対応が正しく動作しないことがあります。設定ファイルの内容を確認し、誤りがあれば修正しましょう。Nginx の設定ファイルは、 /etc/nginx/ ディレクトリに保存されていることが多いです。
コンテナの再起動: 設定ファイルの変更後や、証明書の更新後などには、コンテナを再起動する必要があります。コンテナの再起動は、docker restart <コンテナ名> コマンドで実行できます。

トラブルと解決策

1. 自己署名証明書によるエラー

自己署名証明書は、信頼できる認証局 (CA) によって発行されたものではなく、自分で作成した証明書です。自己署名証明書を使用すると、ブラウザにセキュリティ警告が表示されることがあります。これは、ブラウザが自己署名証明書を信頼できないためです。

解決策:

信頼できる認証局 (CA) から証明書を取得する。Let’s Encrypt などの無料の CA を利用することもできます。
自己署名証明書をブラウザに信頼させる。ただし、セキュリティリスクが高いため、本番環境では絶対に推奨されません。自己署名証明書は、開発環境やテスト環境など、限られた範囲でのみ使用してください。

2. 証明書チェーンの不備によるエラー

証明書チェーンは、SSL 証明書とルート証明書を中間証明書を通じて接続する証明書の連鎖です。証明書チェーンが不完全な場合、ブラウザは証明書を信頼できず、エラーが発生します。

解決策:

証明書チェーンが完全であることを確認する。証明書チェーンには、SSL 証明書、中間証明書、ルート証明書が含まれている必要があります。
中間証明書が不足している場合は、認証局 (CA) から取得して追加する。

証明書チェーンの例

ルート証明書
  ↓
中間証明書
  ↓
SSL証明書

3. Nginx 設定ファイルの誤りによるエラー

Nginx の設定ファイルに誤りがあると、SSL 対応が正しく動作しないことがあります。例えば、ssl_certificate や ssl_certificate_key ディレクティブで指定する証明書ファイルのパスが間違っている場合や、listen ディレクティブで HTTPS のポート番号 (443) が指定されていない場合などです。

解決策:

Nginx の設定ファイル (/etc/nginx/nginx.conf など) を確認し、誤りがあれば修正する。
nginx -t コマンドを実行して、設定ファイルの構文チェックを行う。
設定ファイルの変更後には、コンテナを再起動して変更を反映する。

4. ポート番号の競合によるエラー

他のアプリケーションが HTTPS で使用するポート番号 (443) を既に使用している場合、ポート番号の競合が発生し、Nginx が起動できないことがあります。例えば、ホストマシン上で Apache などの Web サーバーが既にポート番号 443 を使用している場合などです。

解決策:

他のアプリケーションが使用しているポート番号を確認し、Nginx の設定ファイルで使用するポート番号を変更する。例えば、Nginx でポート番号 443 の代わりに 8443 を使用するように設定する。
他のアプリケーションを停止する。

5. コンテナ内の証明書ファイルの配置場所の誤りによるエラー

Nginx の設定ファイルで指定した場所に証明書ファイルが配置されていない場合、SSL 対応が正しく動作しません。例えば、設定ファイルで /etc/nginx/certs/cert.pem を指定しているのに、証明書ファイルが /usr/local/share/ca-certificates/cert.pem に配置されている場合などです。

解決策:

Nginx の設定ファイルで指定した場所に証明書ファイルが配置されていることを確認する。
証明書ファイルの配置場所を修正する。必要であれば、docker cp コマンドを使用して、ホストマシンからコンテナに証明書ファイルをコピーする。

6. ファイアウォール設定によるエラー

ファイアウォールで HTTPS で使用するポート番号 (443) がブロックされている場合、SSL 対応が正しく動作しません。これは、クラウドサービスのファイアウォールや、ホストマシンにインストールされているファイアウォールソフトウェアなど、様々なファイアウォールが原因となる可能性があります。

解決策:

ファイアウォール設定を確認し、HTTPS で使用するポート番号 (443) を許可する。
ファイアウォールソフトウェアの設定方法がわからない場合は、各ソフトウェアのドキュメントを参照するか、専門家に相談する。

7. 証明書の有効期限切れによるエラー

SSL 証明書には有効期限があります。有効期限が切れた証明書を使用すると、ブラウザにセキュリティ警告が表示され、ユーザーはサイトにアクセスできなくなります。

解決策:

証明書の有効期限を確認する。openssl x509 -in <証明書ファイル> -text -noout コマンドで証明書の情報を表示し、Not After の値を確認することで、有効期限を確認できます。
有効期限が切れている場合は、証明書を更新する。Let’s Encrypt を使用している場合は、Certbot の certbot renew コマンドで証明書を更新できます。

8. ドメイン名と証明書の一致しないエラー

SSL 証明書は、特定のドメイン名に対して発行されます。証明書に記載されているドメイン名とアクセスしているドメイン名が一致しない場合、ブラウザにセキュリティ警告が表示されます。例えば、example.com というドメイン名に対して発行された証明書を www.example.com というドメイン名でアクセスした場合などです。

解決策:

証明書に記載されているドメイン名を確認する。openssl x509 -in <証明書ファイル> -text -noout コマンドで証明書の情報を表示し、Subject Alternative Name の値を確認することで、証明書に記載されているドメイン名を確認できます。
アクセスしているドメイン名と一致しない場合は、正しいドメイン名で発行された証明書を取得する。

9. 中間証明書の不足によるエラー

中間証明書は、ルート証明書と SSL 証明書を接続する証明書です。中間証明書が不足している場合、一部のブラウザで SSL 対応が正しく動作しないことがあります。これは、古いブラウザや、セキュリティ設定が厳格なブラウザなどで発生する可能性があります。

解決策:

中間証明書を取得し、SSL 証明書と一緒に Web サーバーにインストールする。中間証明書は、認証局 (CA) の Web サイトからダウンロードできます。
Nginx の設定ファイルで、ssl_certificate ディレクティブで SSL 証明書を指定した後、ssl_trusted_certificate ディレクティブで中間証明書を指定します。

トラブルシューティングに役立つツールやリソース

OpenSSL: 証明書の作成、検証、変換などに使用できるツールです。証明書の有効期限の確認や、証明書チェーンの確認などに使用できます。
- 例えば、openssl s_client -connect <ドメイン名>:<ポート番号> コマンドを実行することで、サーバーの証明書情報や証明書チェーンを確認できます。
Let’s Encrypt: 無料で SSL 証明書を発行してくれる認証局 (CA) です。 [2]
Certbot: Let’s Encrypt の証明書を自動的に取得・更新してくれるツールです。 [2] Docker 環境でも使用できます。
- 例えば、certbot certonly --standalone -d <ドメイン名> コマンドを実行することで、ドメイン名に対応する証明書を取得できます。
Docker Compose: 複数のコンテナをまとめて管理するためのツールです。Docker Compose を使用することで、Nginx と SSL 証明書をまとめて管理することができます。
- 例えば、docker-compose.yml ファイルに Nginx の設定と証明書のマウント設定を記述することで、Nginx コンテナを簡単に起動できます。
オンラインの SSL チェッカー: SSL 証明書の有効性や設定などをチェックしてくれるオンラインツールです。SSL Labs の SSL Server Test など、様々なツールがあります。
- これらのツールを使用することで、証明書の有効期限、証明書チェーン、SSL/TLS の設定などを確認できます。
Nginx 公式ドキュメント: Nginx の設定方法やトラブルシューティングに関する情報が掲載されています。
Docker 公式ドキュメント: Docker の使用方法やトラブルシューティングに関する情報が掲載されています。

証明書チェーンの確認と修正

証明書チェーンの不備は、SSL/TLS 通信のエラーを引き起こす可能性があります。証明書チェーンを確認し、必要があれば修正する手順は以下の通りです。

OpenSSL を使用して証明書チェーンを取得する:
```
openssl s_client -connect example.com:443 -showcerts
    
```
このコマンドを実行すると、サーバーから送信された証明書チェーンが表示されます。
証明書チェーンを検証する: 取得した証明書チェーンを、ルート証明書から順番に検証します。各証明書が、その上位の証明書によって署名されていることを確認します。
- オンラインの SSL チェッカーを利用する: SSL Labs の SSL Server Test などのツールを使用すると、証明書チェーンの検証を自動的に行うことができます。
中間証明書を追加する: 証明書チェーンに中間証明書が不足している場合は、認証局 (CA) から取得して追加します。
- 中間証明書は、認証局 (CA) の Web サイトからダウンロードできます。
- Nginx の設定ファイルで、ssl_certificate ディレクティブで SSL 証明書を指定した後、ssl_trusted_certificate ディレクティブで中間証明書を指定します。