Opensearchのためにletsencryptサーバ証明書を作り直す

opensearchの証明書をletsにしたらエラーが出たので証明書を作成しなおした。

エラー内容

/usr/share/opensearch/plugins/opensearch-security/tools/securityadmin.shを実行したところ、以下のエラーがでた。

**************************************************************************
** This tool will be deprecated in the next major release of OpenSearch **
** https://github.com/opensearch-project/security/issues/1755           **
**************************************************************************
Security Admin v7
Will connect to localhost:9200 ... done
Connected as "CN=*.example.com"
ERR: "CN=*.example.com" is not an admin user
Seems you use a client certificate but this one is not registered as admin_dn
Make sure opensearch.yml on all nodes contains:
plugins.security.authcz.admin_dn:
  - ""CN=*.example.com""

対処方法

当サイトでは、ワイルドカードのドメインを指定して証明書を作成している。これが原因なら証明書を作り直せばいいはず。

revoke

最初にrevoke処理を行う。

certbot revoke --cert-path /etc/letsencrypt/archive/${MY_DOMAIN}/cert1.pem --reason keycompromise

マルチドメイン証明書作成

以下のコマンドで、証明書の発行を行う。

certbot certonly \
        --manual \
        --preferred-challenges dns \
        -d example.com \
        -d '*.example.com' \
        -m info@example.com

前の証明書との違いは、example.comと*.example.comの順番だけ。

上記のコマンドを実行して証明書を発行する。

結果

上記コマンドは問題なく実行できた。

他のサーバへの配布

サーバ証明書を他のサーバへも配布する。