[Infra Ops] SSL/TLS 인증서 형식 변환과 갱신 절차

# 원격 서버 인증서 만료일 확인 (스크립팅에 자주 씀)
echo | openssl s_client -connect yourdomain.com:443 2>/dev/null \
  | openssl x509 -noout -dates

# 만료까지 남은 일수 계산
EXPIRY=$(echo | openssl s_client -connect yourdomain.com:443 2>/dev/null \
  | openssl x509 -noout -enddate | cut -d= -f2)
echo "만료일: $EXPIRY"
DAYS=$(( ($(date -d "$EXPIRY" +%s) - $(date +%s)) / 86400 ))
echo "남은 기간: ${DAYS}일"

# 개인키 별도 추출 (-nocerts)
openssl pkcs12 -in cert.pfx -nocerts -nodes -out privkey.pem -legacy
# -nodes: 개인키를 다시 암호화하지 않음 (Nginx가 패스프레이즈 없이 읽을 수 있게)

# fullchain.pem이 없을 때: 체인 파일을 수동으로 합치기
cat cert.pem chain.pem > fullchain.pem

# PEM → PFX 변환 (JKS 없는 환경에서 Tomcat에 줄 때)
openssl pkcs12 -export \
  -in fullchain.pem \
  -inkey privkey.pem \
  -out cert.pfx \
  -name tomcat
# Export Password 입력 → Tomcat server.xml에 이 비밀번호 사용

# PEM → JKS 변환 (구형 Tomcat 8 이하)
# 1단계: PEM을 PFX로 먼저 변환 (위 명령)
# 2단계: PFX를 JKS로 변환
keytool -importkeystore \
  -srckeystore cert.pfx \
  -srcstoretype PKCS12 \
  -destkeystore keystore.jks \
  -deststoretype JKS

# Nginx 인증서 교체 전체 절차

# 1. 기존 인증서 백업
BACKUP_DATE=$(date +%Y%m%d)
sudo cp /etc/nginx/ssl/cert.pem /etc/nginx/ssl/cert.pem.bak_${BACKUP_DATE}
sudo cp /etc/nginx/ssl/privkey.pem /etc/nginx/ssl/privkey.pem.bak_${BACKUP_DATE}

# 2. 새 인증서 복사
sudo cp /tmp/cert-work/fullchain.pem /etc/nginx/ssl/cert.pem
sudo cp /tmp/cert-work/privkey.pem /etc/nginx/ssl/privkey.pem

# 3. 파일 권한 설정
sudo chmod 644 /etc/nginx/ssl/cert.pem
sudo chmod 600 /etc/nginx/ssl/privkey.pem   # 개인키는 root만 읽기
sudo chown root:root /etc/nginx/ssl/privkey.pem

# 4. 설정 검증 후 reload
sudo nginx -t && sudo systemctl reload nginx

# 5. 교체 결과 즉시 확인
echo | openssl s_client -connect yourdomain.com:443 2>/dev/null \
  | openssl x509 -noout -dates

# Tomcat JKS keystore 교체 절차

# 1. 기존 keystore 백업
BACKUP_DATE=$(date +%Y%m%d)
sudo cp /opt/tomcat/conf/keystore.jks \
       /opt/tomcat/conf/keystore.jks.bak_${BACKUP_DATE}

# 2. 새 keystore 복사
sudo cp /tmp/cert-work/keystore.jks /opt/tomcat/conf/keystore.jks
sudo chown tomcat:tomcat /opt/tomcat/conf/keystore.jks
sudo chmod 640 /opt/tomcat/conf/keystore.jks

# 3. server.xml keystore 비밀번호 확인 (필요 시 수정)
grep 'keystorePass\|keystoreFile' /opt/tomcat/conf/server.xml

# 4. keystore 내용 검증
keytool -list -v -keystore /opt/tomcat/conf/keystore.jks -storepass 비밀번호 \
  | grep -E 'Alias|Valid from|Owner'

# 5. Tomcat 재시작
sudo systemctl stop tomcat
sudo systemctl start tomcat

# 6. 시작 로그에서 SSL 초기화 오류 확인
sudo tail -50 /opt/tomcat/logs/catalina.out | grep -i 'ssl\|cert\|keystore'

<!-- server.xml SSL 커넥터 예시 (PFX 직접 사용 — Java 9+) -->
<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
  <SSLHostConfig>
    <Certificate certificateKeystoreFile="conf/cert.pfx"
                 certificateKeystoreType="PKCS12"
                 certificateKeystorePassword="${KEYSTORE_PASSWORD}"
                 type="RSA" />
  </SSLHostConfig>
</Connector>