Сертификат нужно генерировать не самому, а через lets encrypt. А чтобы он обновлялся автоматически, надо использовать certbot.
У меня есть готовый скрипт для этого, но он требует, чтобы ваш домен находился на cloudflare. Потому что используется api cloudflare для подтверждения домена при обновлении сертификата.
Для начала вам нужно сгенерировать токен https://dash.cloudflare.com/profile/api-tokens в cloudflare с правами редактирования домена, на котором работает grafana.
Созданный токен сохраните в переменную:
# сюда подставьте свой токен
export TOKEN="h6N8z2L4HU4xvoJzKdPD8wTURW0SeSeWRLeI-NGk"
Ваш домен так же нужно сохранить в переменную:
# сюда подставьте свой домен
export DOMAIN="example.com"
Если вы используете субдомен, тогда его тоже нужно указать в значении домена:
export DOMAIN="grafana.example.com"
Дальше просто выполните такой скрипт:
apt install certbot python3-pip -y
pip3 install certbot-dns-cloudflare
mkdir ~/.certbot
printf "# Cloudflare API token used by Certbot\ndns_cloudflare_api_token = $TOKEN" > ~/.certbot/cloudflare.ini
chmod 600 ~/.certbot/cloudflare.ini
certbot certonly \
--dns-cloudflare \
--dns-cloudflare-credentials ~/.certbot/cloudflare.ini \
--dns-cloudflare-propagation-seconds 60 \
-d $DOMAIN
После последней команды certbot будет задавать нам вопросы:
- Вопрос
Enter email address
- надо ввести почту администратора, именно вашу личную, чтобы получать уведомления от Lets Encrypt.
- Вопрос
Please read the Terms of Service at...
- надо ввести A
.
- Вопрос
Would you be willing...
- надо ввести N
Если все хорошо, сертификат будет сохранен в файлах:
/etc/letsencrypt/live/example.com/fullchain.pem
/etc/letsencrypt/live/example.com/privkey.pem
Перемещать эти файлы нельзя, потому что они будут автоматически обновляться в это место.
В вашем конфиге grafana нужно указать путь к этому сертификату:
cert_file = /etc/letsencrypt/live/example.com/fullchain.pem
cert_key = /etc/letsencrypt/live/example.com/privkey.pem
Чтобы сертификат пересоздавался автоматически, нужно добавить такую команду в crontab -e
:
0 3 * * * certbot renew