TeamCity サーバーへの HTTPS アクセスの構成

技術的な案内

証明書の種類 : シングルまたはマルチドメイン SAN 証明書
証明書の有効期限 : 90 日間
自動更新 : 有効期限の 30 日前
チャレンジタイプ : HTTP-01(英語)

自動フェッチ

1. 管理 | HTTPS 設定に移動し、Let's Encrypt から取得オプションを選択します。Let's Encrypt は、サーバーとアーティファクト分離ドメインを所有していることを確認するために特定のエンドポイントにアクセスする必要があるため、これらのドメインはインターネット経由でアクセスできる必要があります。サーバー URL が「localhost」アドレスを指している場合は、対応するエラーメッセージが表示されます。

2. 対応するリンクをクリックして Let's Encrypt の利用規約を読み、「同意して取得する」をクリックします。

   

   CA があなたの身元を確認すると、有効な証明書が発行され、自動的にインストールされます。

   

3. 必要なリダイレクトモードを選択します。

4. TeamCity 設定で、アーティファクト分離 URL とサーバー URL を「http://...」から「https://...」に更新します。TeamCity では、この手順のリマインダーとして「ドメイン分離アーティファクト URL は HTTP を使用します」および「サーバーのルート URL は HTTP を使用します」のヘルスレポートが表示されます。

ポート要件と手動フェッチ

Let's Encrypt は、チャレンジファイルが http://<your_domain>:80/.well-known/acme-challenge にあることを想定しています。これらのファイルを提供するには、TeamCity はポート 80 にアクセスする必要があります。

• サーバーが別のポート (たとえば、8111) で実行されている場合、TeamCity はポート 80 でカスタムソケットを開こうとします。このソケットは、チャレンジ検証が終了すると (結果に関係なく) 閉じます。

• サーバーがポート 80 で実行されている場合、TeamCity はチャレンジファイルを直接提供しようとします。TeamCity サーバーを停止したり再構成したりする必要はありません。

TeamCity はチャレンジを処理し、サーバーを起動したのと同じユーザーでソケットを開くため、このユーザーがポート 80 にアクセスできません(英語)を持っている場合は両方のアプローチが失敗する可能性があります。

Let's Encrypt がドメインの所有権を確認して証明書を発行できない場合、TeamCity はプロセスを保留し、テキストファイルの内容とパスを表示します。

証明書を発行するには、次のことを試してください。

• キャンセルをクリックし、ポート 80 が使用可能であり、現在のユーザーがアクセスできることを確認してから、自動取得を再試行します。

• キャンセルをクリックせず、必要なチャレンジファイルを指定された場所に手動で配置します。完了したら、管理 | HTTPS 設定ページに戻り、続行をクリックします。

証明書の自動更新

Let's Encrypt によって発行された証明書の有効期間は 90 日間です。TeamCity は、証明書が自動的に期限切れになる 30 日前に証明書の更新を試みます。teamcity.https.close.expiration.threshold.<units>=value 内部プロパティを使用して、別のしきい値を設定できます。

TeamCity が証明書を再発行できない場合は、対応するメッセージがヘルスレポートに表示されます。TeamCity が自動モードで証明書を更新できない場合は、手動で証明書を更新してください。

証明書の取得方法

• 公開サーバーの場合は、信頼できる機関 ( 暗号化しましょう(英語)、ZeroSSL(英語) など) から無料の証明書を手動で生成します。例: 証明書ボット(英語)を使用できます。もう 1 つのオプションは、DigiCert(英語) や GoDaddy(英語) などの有償 CA から証明書を購入することです。

• 非公開サーバーの場合は、既存の証明書を使用することも、ローカルで新しい証明書を生成することもできます。例: 次の指示(英語)に従ってください。自己署名証明書を使用する場合は、クライアントがそれを信頼するように構成されていることを確認してください。

サンプル: 必要なファイルを生成する

次の例は、OpenSSL(英語) ターミナルコマンドを使用して次のファイルを生成する方法を示しています。

• PKCS#8 形式のプライベート楕円曲線 (EC) キー

• PEM 形式の公開鍵

• 有効期限が事前に定義された自己署名証明書

ファイルのアップロード

証明書と秘密鍵を取得したら、次のようにします。

1. 管理 | HTTPS 設定に移動します。

2. アップロードオプションを選択してください。

3. 両方のファイルをアップロードします。

4. HTTPS 接続用のポートを選択します。デフォルトでは、TeamCity はポート 443 を提案します。ポート番号の変更が必要になる場合があります。

5. ファイルを適用するをクリックして、TeamCity がサーバー URL にアクセスできるかどうかを確認します。アクセスが拒否された場合、TeamCity はエラーを表示し、無効な設定を無視します。

6. 設定を保存してください。

7. 必要なリダイレクトモードを選択します。

スクリプト経由で証明書をアップロードする

スクリプトを使用して HTTPS 設定の構成を自動化することもできます。スクリプトには次の内容が含まれている必要があります。

例:

ここでの TOKEN は、Change HTTPS settings 権限を持つ個人のトークンです。

HTTPS 設定の場所

HTTPS を誤って構成した場合、ログインできないか、変更をロールバックできないその他の問題が発生する可能性があります。この場合、サーバー / ノードマシンの <TeamCity Data Directory> /config/_https フォルダーにある https-settings.xml 構成ファイルを手動で編集できます。

厳格な輸送セキュリティ

HTTPS アクセスが有効になっている場合、TeamCity は 1 年間有効な厳格な輸送セキュリティ (HSTS) ヘッダーを追加します。その結果、ブラウザーは HTTPS プロトコルの適用を開始し、同じドメインでホストされている HTTP リソースにアクセスできなくなります。

この動作は意図的なものであり、無効にすることはできません。HTTP URL 経由で内部リソースにアクセスする必要がある場合は、これらのリソースをプロキシの背後に移動し、HTTPS アクセスを構成することを検討してください。回避策として、HTTP URL にアクセスする必要がある場合は、ブラウザーで HSTS 設定を手動で削除することもできます。