Replace dnsbl-3.uceprotect.net with dnsbl-2.uceprotect.net
[chef.git] / cookbooks / letsencrypt / recipes / default.rb
1 #
2 # Cookbook:: letsencrypt
3 # Recipe:: default
4 #
5 # Copyright:: 2017, OpenStreetMap Foundation
6 #
7 # Licensed under the Apache License, Version 2.0 (the "License");
8 # you may not use this file except in compliance with the License.
9 # You may obtain a copy of the License at
10 #
11 #     https://www.apache.org/licenses/LICENSE-2.0
12 #
13 # Unless required by applicable law or agreed to in writing, software
14 # distributed under the License is distributed on an "AS IS" BASIS,
15 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
16 # See the License for the specific language governing permissions and
17 # limitations under the License.
18 #
19
20 include_recipe "apache"
21
22 keys = data_bag_item("chef", "keys")
23
24 package %w[
25   certbot
26   ruby
27 ]
28
29 directory "/etc/letsencrypt" do
30   owner "letsencrypt"
31   group "letsencrypt"
32   mode 0o755
33 end
34
35 directory "/var/lib/letsencrypt" do
36   owner "letsencrypt"
37   group "letsencrypt"
38   mode 0o755
39 end
40
41 directory "/var/log/letsencrypt" do
42   owner "letsencrypt"
43   group "letsencrypt"
44   mode 0o700
45 end
46
47 directory "/srv/acme.openstreetmap.org" do
48   owner "letsencrypt"
49   group "letsencrypt"
50   mode 0o755
51 end
52
53 directory "/srv/acme.openstreetmap.org/html" do
54   owner "letsencrypt"
55   group "letsencrypt"
56   mode 0o755
57 end
58
59 ssl_certificate "acme.openstreetmap.org" do
60   domains ["acme.openstreetmap.org", "acme.osm.org"]
61   notifies :reload, "service[apache2]"
62 end
63
64 apache_site "acme.openstreetmap.org" do
65   template "apache.erb"
66   directory "/srv/acme.openstreetmap.org"
67 end
68
69 directory "/srv/acme.openstreetmap.org/config" do
70   owner "letsencrypt"
71   group "letsencrypt"
72   mode 0o755
73 end
74
75 directory "/srv/acme.openstreetmap.org/work" do
76   owner "letsencrypt"
77   group "letsencrypt"
78   mode 0o755
79 end
80
81 directory "/srv/acme.openstreetmap.org/logs" do
82   owner "letsencrypt"
83   group "letsencrypt"
84   mode 0o700
85 end
86
87 directory "/srv/acme.openstreetmap.org/.chef" do
88   owner "letsencrypt"
89   group "letsencrypt"
90   mode 0o2775
91 end
92
93 file "/srv/acme.openstreetmap.org/.chef/client.pem" do
94   content keys["letsencrypt"].join("\n")
95   owner "letsencrypt"
96   group "letsencrypt"
97   mode 0o660
98 end
99
100 cookbook_file "/srv/acme.openstreetmap.org/.chef/knife.rb" do
101   source "knife.rb"
102   owner "letsencrypt"
103   group "letsencrypt"
104   mode 0o660
105 end
106
107 remote_directory "/srv/acme.openstreetmap.org/bin" do
108   source "bin"
109   owner "root"
110   group "root"
111   mode 0o755
112   files_owner "root"
113   files_group "root"
114   files_mode 0o755
115 end
116
117 directory "/srv/acme.openstreetmap.org/requests" do
118   owner "root"
119   group "root"
120   mode 0o755
121 end
122
123 certificates = search(:node, "letsencrypt:certificates").each_with_object({}) do |n, c|
124   n[:letsencrypt][:certificates].each do |name, details|
125     c[name] ||= details.merge(:nodes => [])
126
127     c[name][:nodes] << {
128       :name => n[:fqdn],
129       :address => n.external_ipaddress || n.internal_ipaddress
130     }
131   end
132 end
133
134 certificates.each do |name, details|
135   template "/srv/acme.openstreetmap.org/requests/#{name}" do
136     source "request.erb"
137     owner "root"
138     group "letsencrypt"
139     mode 0o754
140     variables details
141   end
142
143   execute "/srv/acme.openstreetmap.org/requests/#{name}" do
144     action :nothing
145     command "/srv/acme.openstreetmap.org/requests/#{name}"
146     cwd "/srv/acme.openstreetmap.org"
147     user "letsencrypt"
148     group "letsencrypt"
149     subscribes :run, "template[/srv/acme.openstreetmap.org/requests/#{name}]"
150   end
151 end
152
153 Dir.each_child("/srv/acme.openstreetmap.org/requests") do |name|
154   next if certificates.include?(name)
155
156   file "/srv/acme.openstreetmap.org/requests/#{name}" do
157     action :delete
158   end
159
160   execute "certbot-delete-#{name}" do
161     command "/usr/bin/certbot delete --config-dir /srv/acme.openstreetmap.org/config --work-dir /srv/acme.openstreetmap.org/work --logs-dir /srv/acme.openstreetmap.org/logs --cert-name #{name}"
162     cwd "/srv/acme.openstreetmap.org"
163     user "letsencrypt"
164     group "letsencrypt"
165   end
166 end
167
168 template "/srv/acme.openstreetmap.org/bin/check-certificates" do
169   source "check-certificates.erb"
170   owner "root"
171   group "root"
172   mode 0o755
173   variables :certificates => certificates
174 end
175
176 template "/etc/cron.d/letsencrypt" do
177   source "cron.erb"
178   owner "root"
179   group "root"
180   mode 0o644
181 end