LinuCレベル3 セキュリティスペシャリスト セキュアプロトコルによる各種機能の実装 問32
セキュアプロトコルによる各種機能の実装／Let's Encrypt による証明書管理Let's Encrypt が発行する証明書の有効期間と更新の仕組みに関する説明として適切なものはどれか。
当サイトのオリジナル問題（LinuCレベル3 セキュリティスペシャリストの出題範囲「セキュアプロトコルによる各種機能の実装」に対応。実際の試験問題ではありません）
- A有効期間は1年（365日）で、certbot renew は期限の1か月前になると自動で更新を試みるため、年に1回だけ実行すれば十分である
- B有効期間は180日で、管理者がACMEアカウントの管理画面にログインして手動で更新を申請し、新しい証明書をダウンロードする
- Ccertbot renew を Cron や systemd タイマーで定期実行し、更新が必要な時期に達した証明書だけを自動更新する運用が推奨される。有効期間が短いプロファイルほど頻繁な自動実行が前提になる
- D更新のたびに新しいドメイン認証（チャレンジ）が必要になるため、DNS-01方式では自動更新の仕組みをまったく組めない
正解：C
解説
Let's Encrypt の証明書の有効期間は、長く標準だった90日に加えて、より短い有効期間のプロファイル（例: 約45日や約6日）も提供されており、既定ではクライアントに適したプロファイルが自動的に選択されます。いずれの場合も運用の要点は同じで、certbot renew を Cron や systemd タイマーで定期実行し、更新が必要な時期に達した証明書だけを自動更新します（Debian系の systemd タイマーや RHEL系の cron が1日に複数回 certbot renew を起動する仕組みが用意されています）。更新を試みる残存期間のしきい値は Certbot のバージョンによって異なり、新しい Certbot では『残りの有効期間が全体の一定割合を下回ったら更新する』方式が使われます（以前は期限まで約30日という固定値でした）。有効期間が短いほど頻繁な自動実行が前提になります。DNS-01 方式でも、APIで TXT レコードを操作できる DNS プロバイダーや認証フックを使えば自動更新を組めます。
選択肢ごとの解説
- A誤り。Let's Encrypt の有効期間は365日ではありません（長く90日が標準で、より短いプロファイルもあります）。年1回の実行では期限切れを防げません。
- B誤り。有効期間は180日ではありません。また ACME プロトコルにより更新はコマンドで自動化でき、管理画面への手動ログインは不要です。
- C正しい。certbot renew を定期実行し、更新が必要な時期に達した証明書だけを自動更新する運用が基本です。有効期間が短いプロファイルほど、頻繁な自動実行が前提になります。
- D誤り。DNS-01 方式でも、APIで TXT レコードを操作できる DNS プロバイダーや認証フックを使えば自動更新を組めます。