cookbooks/letsencrypt/recipes/default.rb

   1 #
   2 # Cookbook:: letsencrypt
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2017, OpenStreetMap Foundation
   6 #
   7 # Licensed under the Apache License, Version 2.0 (the "License");
   8 # you may not use this file except in compliance with the License.
   9 # You may obtain a copy of the License at
  10 #
  11 #     https://www.apache.org/licenses/LICENSE-2.0
  12 #
  13 # Unless required by applicable law or agreed to in writing, software
  14 # distributed under the License is distributed on an "AS IS" BASIS,
  15 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  16 # See the License for the specific language governing permissions and
  17 # limitations under the License.
  18 #
  19
  20 include_recipe "accounts"
  21 include_recipe "apache"
  22 include_recipe "chef::knife"
  23 include_recipe "ruby"
  24
  25 keys = data_bag_item("chef", "keys")
  26
  27 package "certbot"
  28
  29 directory "/etc/letsencrypt" do
  30   owner "letsencrypt"
  31   group "letsencrypt"
  32   mode "755"
  33 end
  34
  35 directory "/var/lib/letsencrypt" do
  36   owner "letsencrypt"
  37   group "letsencrypt"
  38   mode "755"
  39 end
  40
  41 directory "/var/log/letsencrypt" do
  42   owner "letsencrypt"
  43   group "letsencrypt"
  44   mode "700"
  45 end
  46
  47 directory "/srv/acme.openstreetmap.org" do
  48   owner "letsencrypt"
  49   group "letsencrypt"
  50   mode "755"
  51 end
  52
  53 directory "/srv/acme.openstreetmap.org/html" do
  54   owner "letsencrypt"
  55   group "letsencrypt"
  56   mode "755"
  57 end
  58
  59 ssl_certificate "acme.openstreetmap.org" do
  60   domains ["acme.openstreetmap.org", "acme.osm.org"]
  61   notifies :reload, "service[apache2]"
  62 end
  63
  64 apache_site "acme.openstreetmap.org" do
  65   template "apache.erb"
  66   directory "/srv/acme.openstreetmap.org"
  67 end
  68
  69 directory "/srv/acme.openstreetmap.org/config" do
  70   owner "letsencrypt"
  71   group "letsencrypt"
  72   mode "755"
  73 end
  74
  75 directory "/srv/acme.openstreetmap.org/work" do
  76   owner "letsencrypt"
  77   group "letsencrypt"
  78   mode "755"
  79 end
  80
  81 directory "/srv/acme.openstreetmap.org/logs" do
  82   owner "letsencrypt"
  83   group "letsencrypt"
  84   mode "700"
  85 end
  86
  87 directory "/srv/acme.openstreetmap.org/.chef" do
  88   owner "letsencrypt"
  89   group "letsencrypt"
  90   mode "2775"
  91 end
  92
  93 file "/srv/acme.openstreetmap.org/.chef/client.pem" do
  94   content keys["letsencrypt"].join("\n")
  95   owner "letsencrypt"
  96   group "letsencrypt"
  97   mode "660"
  98 end
  99
 100 cookbook_file "/srv/acme.openstreetmap.org/.chef/knife.rb" do
 101   source "knife.rb"
 102   owner "letsencrypt"
 103   group "letsencrypt"
 104   mode "660"
 105 end
 106
 107 remote_directory "/srv/acme.openstreetmap.org/bin" do
 108   source "bin"
 109   owner "root"
 110   group "root"
 111   mode "755"
 112   files_owner "root"
 113   files_group "root"
 114   files_mode "755"
 115 end
 116
 117 template "/srv/acme.openstreetmap.org/bin/upload" do
 118   source "upload.erb"
 119   owner "root"
 120   group "root"
 121   mode "755"
 122 end
 123
 124 directory "/srv/acme.openstreetmap.org/requests" do
 125   owner "root"
 126   group "root"
 127   mode "755"
 128 end
 129
 130 certificates = search(:node, "letsencrypt:certificates").each_with_object({}) do |n, c|
 131   n[:letsencrypt][:certificates].each do |name, details|
 132     c[name] ||= details.merge(:nodes => [])
 133
 134     c[name][:nodes] << {
 135       :name => n[:fqdn],
 136       :address => n.external_ipaddress || n.internal_ipaddress
 137     }
 138   end
 139 end
 140
 141 certificates.each do |name, details|
 142   template "/srv/acme.openstreetmap.org/requests/#{name}" do
 143     source "request.erb"
 144     owner "root"
 145     group "letsencrypt"
 146     mode "754"
 147     variables details
 148   end
 149
 150   execute "/srv/acme.openstreetmap.org/requests/#{name}" do
 151     action :nothing
 152     command "/srv/acme.openstreetmap.org/requests/#{name}"
 153     cwd "/srv/acme.openstreetmap.org"
 154     user "letsencrypt"
 155     group "letsencrypt"
 156     subscribes :run, "template[/srv/acme.openstreetmap.org/requests/#{name}]"
 157     not_if { kitchen? }
 158   end
 159 end
 160
 161 Dir.glob("*", :base => "/srv/acme.openstreetmap.org/requests") do |name|
 162   next if certificates.include?(name)
 163
 164   file "/srv/acme.openstreetmap.org/requests/#{name}" do
 165     action :delete
 166   end
 167
 168   execute "certbot-delete-#{name}" do
 169     command "/usr/bin/certbot delete --config-dir /srv/acme.openstreetmap.org/config --work-dir /srv/acme.openstreetmap.org/work --logs-dir /srv/acme.openstreetmap.org/logs --cert-name #{name}"
 170     cwd "/srv/acme.openstreetmap.org"
 171     user "letsencrypt"
 172     group "letsencrypt"
 173   end
 174 end
 175
 176 template "/srv/acme.openstreetmap.org/bin/check-certificate" do
 177   source "check-certificate.erb"
 178   owner "root"
 179   group "root"
 180   mode "755"
 181 end
 182
 183 template "/srv/acme.openstreetmap.org/bin/check-certificates" do
 184   source "check-certificates.erb"
 185   owner "root"
 186   group "root"
 187   mode "755"
 188   variables :certificates => certificates
 189 end
 190
 191 systemd_service "letsencrypt-renew" do
 192   description "Renew letsencrypt certificates"
 193   exec_start "/srv/acme.openstreetmap.org/bin/renew"
 194   user "letsencrypt"
 195   sandbox :enable_network => true
 196   read_write_paths [
 197     "/srv/acme.openstreetmap.org/config",
 198     "/srv/acme.openstreetmap.org/html",
 199     "/srv/acme.openstreetmap.org/logs",
 200     "/srv/acme.openstreetmap.org/work"
 201   ]
 202 end
 203
 204 systemd_timer "letsencrypt-renew" do
 205   description "Renew letsencrypt certificates"
 206   on_boot_sec "1h"
 207   on_unit_inactive_sec "12h"
 208 end
 209
 210 service "letsencrypt-renew.timer" do
 211   action [:enable, :start]
 212 end
 213
 214 systemd_service "letsencrypt-check" do
 215   description "Check letsencrypt certificates"
 216   exec_start "/srv/acme.openstreetmap.org/bin/check-certificates"
 217   user "letsencrypt"
 218   sandbox :enable_network => true
 219 end
 220
 221 systemd_timer "letsencrypt-check" do
 222   description "Check letsencrypt certificates"
 223   on_boot_sec "2h"
 224   on_unit_inactive_sec "12h"
 225 end
 226
 227 service "letsencrypt-check.timer" do
 228   action [:enable, :start]
 229 end
 230
 231 template "/etc/logrotate.d/letsencrypt" do
 232   source "logrotate.erb"
 233   owner "root"
 234   group "root"
 235   mode "644"
 236 end