Let's EncryptのSSL証明書更新処理がエラーになった場合の対処

この記事のポイント

・certbot-autoのPython 2.7エラーはpython-pip+pip upgradeで解消できる
・certbot-autoは現在非推奨。EPELまたはsnapで導入するのが現在の標準
・certbot renew --dry-runで実際に更新せず動作確認が可能
・「Too many certificates」エラーは--stagingオプションで発行制限を回避できる
・openssl x509コマンドで証明書の有効期限を直接確認できる

# certbot-auto renew --force-renew --dry-run && systemctl restart nginx.service
Bootstrapping dependencies for RedHat-based OSes... (you can skip this with --no-bootstrap)
yum は /bin/yum です
yum はハッシュされています (/bin/yum)
読み込んだプラグイン:fastestmirror, langpacks
Loading mirror speeds from cached hostfile
 * base: ftp.iij.ad.jp
 * extras: ftp-srv2.kddilabs.jp
 * rpmforge: ftp.kddilabs.jp
 * updates: ftp.iij.ad.jp
パッケージ gcc-4.8.5-36.el7.x86_64 はインストール済みか最新バージョンです
パッケージ augeas-libs-1.4.0-6.el7_6.1.x86_64 はインストール済みか最新バージョンです
パッケージ 1:openssl-1.0.2k-16.el7.x86_64 はインストール済みか最新バージョンです
パッケージ 1:openssl-devel-1.0.2k-16.el7.x86_64 はインストール済みか最新バージョンです
パッケージ libffi-devel-3.0.13-18.el7.x86_64 はインストール済みか最新バージョンです
パッケージ redhat-rpm-config-9.1.0-87.el7.centos.noarch はインストール済みか最新バージョンです
パッケージ ca-certificates-2018.2.22-70.0.el7_5.noarch はインストール済みか最新バージョンです
パッケージ python-devel-2.7.5-76.el7.x86_64 はインストール済みか最新バージョンです
パッケージ python-virtualenv-15.1.0-2.el7.noarch はインストール済みか最新バージョンです
パッケージ python-tools-2.7.5-76.el7.x86_64 はインストール済みか最新バージョンです
パッケージ python-pip は利用できません。
何もしません
Creating virtual environment...
Traceback (most recent call last):
  File "/usr/lib/python2.7/site-packages/virtualenv.py", line 2327, in 
    main()
  File "/usr/lib/python2.7/site-packages/virtualenv.py", line 712, in main
    symlink=options.symlink)
  File "/usr/lib/python2.7/site-packages/virtualenv.py", line 944, in create_environment
    download=download,
  File "/usr/lib/python2.7/site-packages/virtualenv.py", line 900, in install_wheel
    call_subprocess(cmd, show_stdout=False, extra_env=env, stdin=SCRIPT)
  File "/usr/lib/python2.7/site-packages/virtualenv.py", line 796, in call_subprocess
    % (cmd_desc, proc.returncode))
OSError: Command /opt/eff.org/certbot/venv/bin/python2.7 - setuptools pip wheel failed with error code 1

# EPELリポジトリからpython-pipをインストール
# yum --enablerepo=epel install python-pip

# pipと関連ツールをアップグレード
# pip install --upgrade setuptools
# pip install --upgrade virtualenv
# pip install --upgrade pip

# 取得済み証明書の一覧と有効期限を確認
$ sudo certbot certificates

Found the following certs:
  Certificate Name: example.com
    Domains: example.com www.example.com
    Expiry Date: 2026-08-30 00:00:00+00:00 (VALID: 84 days)
    Certificate Path: /etc/letsencrypt/live/example.com/fullchain.pem

# EPELリポジトリを追加
$ sudo dnf install epel-release -y

# certbotとNginxプラグインをインストール
$ sudo dnf install certbot python3-certbot-nginx -y

# Apacheの場合はこちら
$ sudo dnf install certbot python3-certbot-apache -y

# バージョン確認
$ certbot --version
certbot 2.11.0

# snapでcertbotをインストール（EFF公式推奨方法）
$ sudo snap install --classic certbot

# コマンドへのシンボリックリンクを作成
$ sudo ln -s /snap/bin/certbot /usr/bin/certbot

# バージョン確認
$ certbot --version
certbot 2.11.0

# 更新処理のシミュレーション（実際には証明書を書き換えない）
$ sudo certbot renew --dry-run

- - - - - - - - - - - - - - - - - - - - - - - - - - -
Processing /etc/letsencrypt/renewal/example.com.conf
- - - - - - - - - - - - - - - - - - - - - - - - - - -
Simulating renewal of an existing certificate for example.com

Congratulations, all simulated renewals succeeded:
  /etc/letsencrypt/live/example.com/fullchain.pem (success)
- - - - - - - - - - - - - - - - - - - - - - - - - - -

# certbot用のsystemd timerが登録されているか確認
$ sudo systemctl list-timers | grep certbot
Tue 2026-06-04 01:20:00 JST  13h left     certbot-renew.timer certbot-renew.service

# rootのcrontabに追加（毎日3時と15時に更新チェック）
$ sudo crontab -e

0 3,15 * * * /usr/bin/certbot renew --quiet

# 有効期限を直接確認（notBeforeとnotAfterが表示される）
$ openssl x509 -noout -dates -in /etc/letsencrypt/live/example.com/cert.pem
notBefore=Jun  1 00:00:00 2026 GMT
notAfter=Aug 30 00:00:00 2026 GMT

# 30日以内に期限切れかチェック（期限内なら "Certificate will not expire" と出力）
$ openssl x509 -noout -checkend $((30*86400))   -in /etc/letsencrypt/live/example.com/cert.pem
Certificate will not expire

# ファイアウォールの確認（Rocky Linux 9）
$ sudo firewall-cmd --list-services
dhcpv6-client http https ssh

# httpが表示されない場合は追加
$ sudo firewall-cmd --add-service=http --permanent
$ sudo firewall-cmd --reload

# ステージング環境で証明書取得（レート制限なし・テスト用）
$ sudo certbot --nginx --staging -d example.com

# 更新成功時にNginxを自動リロード
$ sudo certbot renew --deploy-hook "systemctl reload nginx"

# Apacheの場合
$ sudo certbot renew --deploy-hook "systemctl reload httpd"

# 残り日数に関係なく強制更新
$ sudo certbot renew --force-renewal

# 特定のドメインのみ強制更新
$ sudo certbot renew --cert-name example.com --force-renewal

# 更新後はWebサーバーをリロードして新しい証明書を読み込ませる
$ sudo systemctl reload nginx