cookbooks/letsencrypt/recipes/default.rb

   1 #
   2 # Cookbook Name:: letsencrypt
   3 # Recipe:: default
   4 #
   5 # Copyright 2017, OpenStreetMap Foundation
   6 #
   7 # Licensed under the Apache License, Version 2.0 (the "License");
   8 # you may not use this file except in compliance with the License.
   9 # You may obtain a copy of the License at
  10 #
  11 #     https://www.apache.org/licenses/LICENSE-2.0
  12 #
  13 # Unless required by applicable law or agreed to in writing, software
  14 # distributed under the License is distributed on an "AS IS" BASIS,
  15 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  16 # See the License for the specific language governing permissions and
  17 # limitations under the License.
  18 #
  19
  20 include_recipe "apache"
  21
  22 keys = data_bag_item("chef", "keys")
  23
  24 package %w[
  25   certbot
  26   ruby
  27 ]
  28
  29 directory "/etc/letsencrypt" do
  30   owner "letsencrypt"
  31   group "letsencrypt"
  32   mode 0o755
  33 end
  34
  35 directory "/var/lib/letsencrypt" do
  36   owner "letsencrypt"
  37   group "letsencrypt"
  38   mode 0o755
  39 end
  40
  41 directory "/var/log/letsencrypt" do
  42   owner "letsencrypt"
  43   group "letsencrypt"
  44   mode 0o700
  45 end
  46
  47 directory "/srv/acme.openstreetmap.org" do
  48   owner "letsencrypt"
  49   group "letsencrypt"
  50   mode 0o755
  51 end
  52
  53 directory "/srv/acme.openstreetmap.org/html" do
  54   owner "letsencrypt"
  55   group "letsencrypt"
  56   mode 0o755
  57 end
  58
  59 ssl_certificate "acme.openstreetmap.org" do
  60   domains ["acme.openstreetmap.org", "acme.osm.org"]
  61   notifies :reload, "service[apache2]"
  62 end
  63
  64 apache_site "acme.openstreetmap.org" do
  65   template "apache.erb"
  66   directory "/srv/acme.openstreetmap.org"
  67 end
  68
  69 directory "/srv/acme.openstreetmap.org/config" do
  70   owner "letsencrypt"
  71   group "letsencrypt"
  72   mode 0o755
  73 end
  74
  75 directory "/srv/acme.openstreetmap.org/work" do
  76   owner "letsencrypt"
  77   group "letsencrypt"
  78   mode 0o755
  79 end
  80
  81 directory "/srv/acme.openstreetmap.org/logs" do
  82   owner "letsencrypt"
  83   group "letsencrypt"
  84   mode 0o700
  85 end
  86
  87 directory "/srv/acme.openstreetmap.org/.chef" do
  88   owner "letsencrypt"
  89   group "letsencrypt"
  90   mode 0o2775
  91 end
  92
  93 file "/srv/acme.openstreetmap.org/.chef/client.pem" do
  94   content keys["letsencrypt"].join("\n")
  95   owner "letsencrypt"
  96   group "letsencrypt"
  97   mode 0o660
  98 end
  99
 100 cookbook_file "/srv/acme.openstreetmap.org/.chef/knife.rb" do
 101   source "knife.rb"
 102   owner "letsencrypt"
 103   group "letsencrypt"
 104   mode 0o660
 105 end
 106
 107 remote_directory "/srv/acme.openstreetmap.org/bin" do
 108   source "bin"
 109   owner "root"
 110   group "root"
 111   mode 0o755
 112   files_owner "root"
 113   files_group "root"
 114   files_mode 0o755
 115 end
 116
 117 directory "/srv/acme.openstreetmap.org/requests" do
 118   owner "root"
 119   group "root"
 120   mode 0o755
 121 end
 122
 123 certificates = search(:node, "letsencrypt:certificates").each_with_object({}) do |n, c|
 124   n[:letsencrypt][:certificates].each do |name, details|
 125     c[name] ||= details.merge(:nodes => [])
 126
 127     c[name][:nodes] << {
 128       :name => n[:fqdn],
 129       :address => n.external_ipaddress || n.internal_ipaddress
 130     }
 131   end
 132 end
 133
 134 certificates.each do |name, details|
 135   template "/srv/acme.openstreetmap.org/requests/#{name}" do
 136     source "request.erb"
 137     owner "root"
 138     group "letsencrypt"
 139     mode 0o754
 140     variables details
 141   end
 142
 143   execute "/srv/acme.openstreetmap.org/requests/#{name}" do
 144     action :nothing
 145     command "/srv/acme.openstreetmap.org/requests/#{name}"
 146     cwd "/srv/acme.openstreetmap.org"
 147     user "letsencrypt"
 148     group "letsencrypt"
 149     subscribes :run, "template[/srv/acme.openstreetmap.org/requests/#{name}]"
 150   end
 151 end
 152
 153 Dir.each_child("/srv/acme.openstreetmap.org/requests") do |name|
 154   next if certificates.include?(name)
 155
 156   file "/srv/acme.openstreetmap.org/requests/#{name}" do
 157     action :delete
 158   end
 159
 160   execute "certbot-delete-#{name}" do
 161     command "/usr/bin/certbot delete --config-dir /srv/acme.openstreetmap.org/config --work-dir /srv/acme.openstreetmap.org/work --logs-dir /srv/acme.openstreetmap.org/logs --cert-name #{name}"
 162     cwd "/srv/acme.openstreetmap.org"
 163     user "letsencrypt"
 164     group "letsencrypt"
 165   end
 166 end
 167
 168 template "/srv/acme.openstreetmap.org/bin/check-certificates" do
 169   source "check-certificates.erb"
 170   owner "root"
 171   group "root"
 172   mode 0o755
 173   variables :certificates => certificates
 174 end
 175
 176 template "/etc/cron.d/letsencrypt" do
 177   source "cron.erb"
 178   owner "root"
 179   group "root"
 180   mode 0o644
 181 end