cookbooks/letsencrypt/recipes/default.rb

   1 #
   2 # Cookbook:: letsencrypt
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2017, OpenStreetMap Foundation
   6 #
   7 # Licensed under the Apache License, Version 2.0 (the "License");
   8 # you may not use this file except in compliance with the License.
   9 # You may obtain a copy of the License at
  10 #
  11 #     https://www.apache.org/licenses/LICENSE-2.0
  12 #
  13 # Unless required by applicable law or agreed to in writing, software
  14 # distributed under the License is distributed on an "AS IS" BASIS,
  15 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  16 # See the License for the specific language governing permissions and
  17 # limitations under the License.
  18 #
  19
  20 include_recipe "accounts"
  21 include_recipe "apache"
  22
  23 keys = data_bag_item("chef", "keys")
  24
  25 package %w[
  26   certbot
  27   ruby
  28 ]
  29
  30 chef_gem "knife"
  31
  32 directory "/etc/letsencrypt" do
  33   owner "letsencrypt"
  34   group "letsencrypt"
  35   mode "755"
  36 end
  37
  38 directory "/var/lib/letsencrypt" do
  39   owner "letsencrypt"
  40   group "letsencrypt"
  41   mode "755"
  42 end
  43
  44 directory "/var/log/letsencrypt" do
  45   owner "letsencrypt"
  46   group "letsencrypt"
  47   mode "700"
  48 end
  49
  50 directory "/srv/acme.openstreetmap.org" do
  51   owner "letsencrypt"
  52   group "letsencrypt"
  53   mode "755"
  54 end
  55
  56 directory "/srv/acme.openstreetmap.org/html" do
  57   owner "letsencrypt"
  58   group "letsencrypt"
  59   mode "755"
  60 end
  61
  62 ssl_certificate "acme.openstreetmap.org" do
  63   domains ["acme.openstreetmap.org", "acme.osm.org"]
  64   notifies :reload, "service[apache2]"
  65 end
  66
  67 apache_site "acme.openstreetmap.org" do
  68   template "apache.erb"
  69   directory "/srv/acme.openstreetmap.org"
  70 end
  71
  72 directory "/srv/acme.openstreetmap.org/config" do
  73   owner "letsencrypt"
  74   group "letsencrypt"
  75   mode "755"
  76 end
  77
  78 directory "/srv/acme.openstreetmap.org/work" do
  79   owner "letsencrypt"
  80   group "letsencrypt"
  81   mode "755"
  82 end
  83
  84 directory "/srv/acme.openstreetmap.org/logs" do
  85   owner "letsencrypt"
  86   group "letsencrypt"
  87   mode "700"
  88 end
  89
  90 directory "/srv/acme.openstreetmap.org/.chef" do
  91   owner "letsencrypt"
  92   group "letsencrypt"
  93   mode "2775"
  94 end
  95
  96 file "/srv/acme.openstreetmap.org/.chef/client.pem" do
  97   content keys["letsencrypt"].join("\n")
  98   owner "letsencrypt"
  99   group "letsencrypt"
 100   mode "660"
 101 end
 102
 103 cookbook_file "/srv/acme.openstreetmap.org/.chef/knife.rb" do
 104   source "knife.rb"
 105   owner "letsencrypt"
 106   group "letsencrypt"
 107   mode "660"
 108 end
 109
 110 remote_directory "/srv/acme.openstreetmap.org/bin" do
 111   source "bin"
 112   owner "root"
 113   group "root"
 114   mode "755"
 115   files_owner "root"
 116   files_group "root"
 117   files_mode "755"
 118 end
 119
 120 directory "/srv/acme.openstreetmap.org/requests" do
 121   owner "root"
 122   group "root"
 123   mode "755"
 124 end
 125
 126 certificates = search(:node, "letsencrypt:certificates").each_with_object({}) do |n, c|
 127   n[:letsencrypt][:certificates].each do |name, details|
 128     c[name] ||= details.merge(:nodes => [])
 129
 130     c[name][:nodes] << {
 131       :name => n[:fqdn],
 132       :address => n.external_ipaddress || n.internal_ipaddress
 133     }
 134   end
 135 end
 136
 137 certificates.each do |name, details|
 138   template "/srv/acme.openstreetmap.org/requests/#{name}" do
 139     source "request.erb"
 140     owner "root"
 141     group "letsencrypt"
 142     mode "754"
 143     variables details
 144   end
 145
 146   execute "/srv/acme.openstreetmap.org/requests/#{name}" do
 147     action :nothing
 148     command "/srv/acme.openstreetmap.org/requests/#{name}"
 149     cwd "/srv/acme.openstreetmap.org"
 150     user "letsencrypt"
 151     group "letsencrypt"
 152     subscribes :run, "template[/srv/acme.openstreetmap.org/requests/#{name}]"
 153     not_if { kitchen? }
 154   end
 155 end
 156
 157 Dir.glob("*", :base => "/srv/acme.openstreetmap.org/requests") do |name|
 158   next if certificates.include?(name)
 159
 160   file "/srv/acme.openstreetmap.org/requests/#{name}" do
 161     action :delete
 162   end
 163
 164   execute "certbot-delete-#{name}" do
 165     command "/usr/bin/certbot delete --config-dir /srv/acme.openstreetmap.org/config --work-dir /srv/acme.openstreetmap.org/work --logs-dir /srv/acme.openstreetmap.org/logs --cert-name #{name}"
 166     cwd "/srv/acme.openstreetmap.org"
 167     user "letsencrypt"
 168     group "letsencrypt"
 169   end
 170 end
 171
 172 template "/srv/acme.openstreetmap.org/bin/check-certificates" do
 173   source "check-certificates.erb"
 174   owner "root"
 175   group "root"
 176   mode "755"
 177   variables :certificates => certificates
 178 end
 179
 180 cron_d "letencrypt-renew" do
 181   minute "00"
 182   hour "*/12"
 183   user "letsencrypt"
 184   command "/srv/acme.openstreetmap.org/bin/renew"
 185   mailto "admins@openstreetmap.org"
 186 end
 187
 188 cron_d "letencrypt-check" do
 189   minute "30"
 190   hour "*/12"
 191   user "letsencrypt"
 192   command "/srv/acme.openstreetmap.org/bin/check-certificates"
 193   mailto "admins@openstreetmap.org"
 194 end
 195
 196 template "/etc/logrotate.d/letsencrypt" do
 197   source "logrotate.erb"
 198   owner "root"
 199   group "root"
 200   mode "644"
 201 end