AnsibleでSSL証明書の更新と配布を自動化する設計入門｜community.cryptoモジュールで期限監視から鍵管理まで

この記事のポイント

・community.cryptoコレクションで秘密鍵・CSR・証明書の全工程をAnsible管理できる
・x509_certificate_infoで期限残日数を取得し、条件分岐で自動更新を設計できる
・Ansible Vaultと組み合わせて秘密鍵をリポジトリに安全に格納できる
・Let's Encrypt連携もacme_certificateモジュールで一つのPlaybookに統合できる

# community.cryptoコレクションのインストール
$ ansible-galaxy collection install community.crypto
Starting galaxy collection install process
Process install dependency map
Starting collection install process
Downloading https://galaxy.ansible.com/download/community-crypto-2.21.1.tar.gz
Installing 'community.crypto:2.21.1' to '~/.ansible/collections/ansible_collections/community/crypto'
community.crypto:2.21.1 was installed successfully

roles/ssl_cert/
├── defaults/
│   └── main.yml    # 証明書の有効期間・鍵長などのデフォルト値
├── handlers/
│   └── main.yml    # Webサーバーのreloadハンドラー
├── tasks/
│   ├── main.yml    # タスクのエントリーポイント
│   ├── generate.yml   # 秘密鍵・CSR・証明書の生成
│   └── deploy.yml     # 配布とサービス再起動
└── files/
    └── （暗号化済みの秘密鍵ファイルをVaultで格納する場合はここに置く）

# roles/ssl_cert/defaults/main.yml
ssl_cert_key_size: 4096
ssl_cert_key_type: "RSA"
ssl_cert_country: "JP"
ssl_cert_org: "Example Corp"
ssl_cert_validity_days: 365
ssl_cert_tmp_dir: "/tmp/ansible_ssl"
ssl_cert_key_dir: "/etc/ssl/private"
ssl_cert_crt_dir: "/etc/ssl/certs"
ssl_cert_service_name: "nginx"

# roles/ssl_cert/tasks/generate.yml
---
- name: 作業ディレクトリを確保する
  ansible.builtin.file:
    path: "{{ ssl_cert_tmp_dir }}"
    state: directory
    mode: "0700"
  delegate_to: localhost

- name: 秘密鍵を生成する
  community.crypto.openssl_privatekey:
    path: "{{ ssl_cert_tmp_dir }}/{{ inventory_hostname }}.key"
    size: "{{ ssl_cert_key_size }}"
    type: "{{ ssl_cert_key_type }}"
    mode: "0600"
  delegate_to: localhost

- name: CSRを生成する
  community.crypto.openssl_csr:
    path: "{{ ssl_cert_tmp_dir }}/{{ inventory_hostname }}.csr"
    privatekey_path: "{{ ssl_cert_tmp_dir }}/{{ inventory_hostname }}.key"
    common_name: "{{ ansible_fqdn }}"
    country_name: "{{ ssl_cert_country }}"
    organization_name: "{{ ssl_cert_org }}"
    subject_alt_name:
      - "DNS:{{ inventory_hostname }}"
      - "DNS:{{ ansible_fqdn }}"
  delegate_to: localhost

- name: 自己署名証明書を生成する
  community.crypto.x509_certificate:
    path: "{{ ssl_cert_tmp_dir }}/{{ inventory_hostname }}.crt"
    privatekey_path: "{{ ssl_cert_tmp_dir }}/{{ inventory_hostname }}.key"
    csr_path: "{{ ssl_cert_tmp_dir }}/{{ inventory_hostname }}.csr"
    provider: selfsigned
    selfsigned_not_after: "+{{ ssl_cert_validity_days }}d"
    mode: "0644"
  delegate_to: localhost

# roles/ssl_cert/tasks/deploy.yml
---
- name: 秘密鍵を配布する
  ansible.builtin.copy:
    src: "{{ ssl_cert_tmp_dir }}/{{ inventory_hostname }}.key"
    dest: "{{ ssl_cert_key_dir }}/{{ inventory_hostname }}.key"
    owner: root
    group: root
    mode: "0600"
  notify: reload webserver

- name: 証明書を配布する
  ansible.builtin.copy:
    src: "{{ ssl_cert_tmp_dir }}/{{ inventory_hostname }}.crt"
    dest: "{{ ssl_cert_crt_dir }}/{{ inventory_hostname }}.crt"
    owner: root
    group: root
    mode: "0644"
  notify: reload webserver

# roles/ssl_cert/handlers/main.yml
---
- name: reload webserver
  ansible.builtin.service:
    name: "{{ ssl_cert_service_name }}"
    state: reloaded

# tasks/check_expiry.yml
---
- name: 証明書の有効期限情報を取得する
  community.crypto.x509_certificate_info:
    path: "{{ ssl_cert_crt_dir }}/{{ inventory_hostname }}.crt"
  register: cert_info

- name: 有効期限の残り日数を計算する
  ansible.builtin.set_fact:
    cert_days_remaining: >-
      {{ ((cert_info.not_after | to_datetime('%Y%m%d%H%M%SZ')) -
          (ansible_date_time.iso8601 | to_datetime('%Y-%m-%dT%H:%M:%SZ'))).days }}

- name: 期限確認の結果を表示する
  ansible.builtin.debug:
    msg: "{{ inventory_hostname }}: 証明書残り {{ cert_days_remaining }} 日（期限 {{ cert_info.not_after }}）"

- name: 期限が近い場合に警告を出す（30日未満）
  ansible.builtin.debug:
    msg: "【警告】{{ inventory_hostname }} の証明書は {{ cert_days_remaining }} 日で期限切れ"
  when: cert_days_remaining | int < 30

- name: 期限が30日未満なら自動更新する
  ansible.builtin.include_tasks: generate.yml
  when: cert_days_remaining | int < 30

TASK [証明書の有効期限情報を取得する] ****
ok: [web01.example.com]
ok: [web02.example.com]
ok: [web03.example.com]

TASK [期限確認の結果を表示する] ****
ok: [web01.example.com] => {
    "msg": "web01.example.com: 証明書残り 342 日（期限 20271015103022Z）"
}
ok: [web02.example.com] => {
    "msg": "web02.example.com: 証明書残り 18 日（期限 20261103143011Z）"
}
ok: [web03.example.com] => {
    "msg": "web03.example.com: 証明書残り 289 日（期限 20270822080341Z）"
}

TASK [期限が近い場合に警告を出す（30日未満）] ****
skipping: [web01.example.com]
ok: [web02.example.com] => {
    "msg": "【警告】web02.example.com の証明書は 18 日で期限切れ"
}
skipping: [web03.example.com]

# tasks/letsencrypt.yml
---
- name: ACME用アカウント秘密鍵を生成する（初回のみ）
  community.crypto.openssl_privatekey:
    path: "{{ ssl_cert_tmp_dir }}/acme_account.key"
    size: 4096
  delegate_to: localhost
  run_once: true

- name: ドメイン用の秘密鍵を生成する
  community.crypto.openssl_privatekey:
    path: "{{ ssl_cert_tmp_dir }}/{{ item }}.key"
    size: 2048
  loop: "{{ ssl_domains }}"
  delegate_to: localhost

- name: CSRを生成する
  community.crypto.openssl_csr:
    path: "{{ ssl_cert_tmp_dir }}/{{ item }}.csr"
    privatekey_path: "{{ ssl_cert_tmp_dir }}/{{ item }}.key"
    common_name: "{{ item }}"
  loop: "{{ ssl_domains }}"
  delegate_to: localhost

- name: ACME Challenge（HTTP-01）を開始する
  community.crypto.acme_certificate:
    account_key_src: "{{ ssl_cert_tmp_dir }}/acme_account.key"
    csr: "{{ ssl_cert_tmp_dir }}/{{ item }}.csr"
    dest: "{{ ssl_cert_tmp_dir }}/{{ item }}.crt"
    fullchain_dest: "{{ ssl_cert_tmp_dir }}/{{ item }}_fullchain.crt"
    acme_directory: "https://acme-v02.api.letsencrypt.org/directory"
    acme_version: 2
    challenge: "http-01"
    remaining_days: 30
  loop: "{{ ssl_domains }}"
  delegate_to: localhost
  register: acme_challenge

# 秘密鍵を生成した後、Vaultで暗号化する
$ ansible-vault encrypt /tmp/ansible_ssl/web01.example.com.key   --output roles/ssl_cert/files/web01.example.com.key.vault

Encryption successful

# 暗号化されたことを確認する
$ head -1 roles/ssl_cert/files/web01.example.com.key.vault
$ANSIBLE_VAULT;1.1;AES256

- name: 暗号化された秘密鍵を配布する（Vaultが自動復号）
  ansible.builtin.copy:
    src: "web01.example.com.key.vault"
    dest: "/etc/ssl/private/web01.example.com.key"
    owner: root
    group: root
    mode: "0600"
  notify: reload webserver

# requirements.yml にコレクションを記載する
$ cat requirements.yml
---
collections:
  - name: community.crypto
    version: ">=2.0.0"

# インストールする
$ ansible-galaxy collection install -r requirements.yml

# RHEL系（RHEL 9.4で確認）
$ sudo dnf install python3-cryptography

# Ubuntu系（Ubuntu 24.04 LTSで確認）
$ sudo apt install python3-cryptography

# defaults/main.yml で生成先を変更する
ssl_cert_tmp_dir: "{{ lookup('env', 'HOME') }}/.ansible/ssl"

# ansible_date_time.iso8601_microを使いUTC比較を確実にする
cert_days_remaining: >-
  {{ ((cert_info.not_after | to_datetime('%Y%m%d%H%M%SZ')) -
      (ansible_date_time.iso8601_micro | to_datetime('%Y-%m-%dT%H:%M:%S.%fZ'))).days }}