June 2019 – oprtr.org

Let’sEncrypt: Missing command line flag or config entry for this setting

June 11, 2019

Da ich bemerkt habe, dass sich eines meiner Zertifikate nicht selbst aktualisiert, bin ich vor kurzem beim manuellen aktualisieren meines Zertifikats auf folgendes Problem gestoßen.

Attempting to renew cert (monitoring.oprtr.org) from /etc/letsencrypt/renewal/monitoring.oprtr.org.conf produced an unexpected error: 
Missing command line flag or config entry for this setting:
Input the webroot for monitoring.oprtr.org:. Skipping.
The following certs could not be renewed:
  /etc/letsencrypt/live/monitoring.oprtr.org/fullchain.pem (failure)

Im Prinzip sagt die Meldung aus, dass das Webroot Verzeichnis für den Dienst hinter der Domain nicht richtig angegeben wurde. Im Normalfall ist dieses z.B. unter /var/www/html.

Etwas wunderte mich dies, da die Konfiguration, welche in der Fehlermeldung angezeigt wurde, automatisiert von Certbot erstellt wurde.
Sie sah in meinem Fall wie folgt aus:

# renew_before_expiry = 30 days
version = 0.31.0
archive_dir = /etc/letsencrypt/archive/monitoring.oprtr.org
cert = /etc/letsencrypt/live/monitoring.oprtr.org/cert.pem
privkey = /etc/letsencrypt/live/monitoring.oprtr.org/privkey.pem
chain = /etc/letsencrypt/live/monitoring.oprtr.org/chain.pem
fullchain = /etc/letsencrypt/live/monitoring.oprtr.org/fullchain.pem

# Options used in the renewal process
[renewalparams]
account = ###
server = https://acme-v02.api.letsencrypt.org/directory
authenticator = webroot
rsa_key_size = blub
webroot_path = /var/www/certbot
[[webroot_map]]

Auf den ersten Blick scheint es so, als sei “webroot_path” richtig angegeben. Anschließend schaute ich mir die Konfiguration einer anderen Domain an. Hierbei fiel mir auf, dass das Webroot Verzeichnis etwas anders definiert wurde.

Ich entfernte die Zeilen:

webroot_path = /var/www/certbot
[[webroot_map]]

Und ersetzte diese mit:

[[webroot_map]]
monitoring.oprtr.org = /var/www/certbot

Anschließend sah meine Konfiguration wie folgt aus:

# renew_before_expiry = 30 days
version = 0.31.0
archive_dir = /etc/letsencrypt/archive/monitoring.oprtr.org
cert = /etc/letsencrypt/live/monitoring.oprtr.org/cert.pem
privkey = /etc/letsencrypt/live/monitoring.oprtr.org/privkey.pem
chain = /etc/letsencrypt/live/monitoring.oprtr.org/chain.pem
fullchain = /etc/letsencrypt/live/monitoring.oprtr.org/fullchain.pem

# Options used in the renewal process
[renewalparams]
account = ####
server = https://acme-v02.api.letsencrypt.org/directory
authenticator = webroot
rsa_key_size = blub
[[webroot_map]]
monitoring.oprtr.org = /var/www/certbot

Nachdem ich meine Konfiguration wie erklärt angepasst habe, konnte ich das Zertifikat erfolgreich erneuern.

Quelle zum Vorschaubild: letsencrypt.or g
Autor: Let’s Encrypt
Lizenz: Creative Commons Attribution-NonCommercial 4.0 International License (CC BY-NC 4.0)

Software

CheckMK im Docker Container updaten (Docker Compose)

June 2, 2019

Alle die, die das offizielle CheckMK Docker Image im Einsatz haben, um damit ihr Monitoring zu betreiben, werden sich früher oder später fragen, wie man ein Versionsupdate des CheckMK Containers durchführt.

Zuerst sollte man sich vom Datenverzeichnis, welches man höchstwahrscheinlich in den Docker Container mountet, ein Backup erstellen. Die Dateistruktur wird hier bei vielen unterschiedlich aussehen. Bei mir gelingt ein solches Backup wie folgt.

cp -r docker/checkmk /home/user/checkmk_backup

Update

Anschließend wird ein weiterer CheckMK Container mit der Version gestartet, auf welche geupdated werden soll. Außerdem wird angegeben, dass dieser die gleichen Verzeichnisse, wie der bereits bestehende Docker Container verwenden soll. Des Weiteren wird angegeben, auf welche Version geupdated werden soll.

docker container run -t -d --rm --volumes-from checkmk --name checkmk_update checkmk/check-mk-raw:1.5.0p16 bash

Nun wird festgelegt, welche Version aktuell auf dem existierenden Container genutzt wird. Diese wird vorerst auf den neuen Container kopiert.

docker cp -L checkmk:/omd/versions/default - | docker cp - checkmk_update:/omd/versions/

Anschließend wird nur noch das folgende Kommando benötigt, um das Update durchzuführen.

docker exec -it -u cmk checkmk_update omd update

Nun wird nochmal gefragt, ob das Update tatsächlich durchgeführt werden soll.

Mit der Meldung “Finished Update.” sollte dieses abgeschlossen werden. Der Update-Container kann nun mit folgendem Kommando wieder entfernt werden.

docker kill checkmk_update

Um die Update-Prozedur abzuschließen, muss nun nur noch die Checkmk-Version im Compose-File angepasst werden und der/die Container neu gestartet werden.

nano docker-compose.yml

version: '3'
services:
  checkmk:
    image: checkmk/check-mk-raw:1.5.0p15

abändern zu:

version: '3'
services:
  checkmk:
    image: checkmk/check-mk-raw:1.5.0p16

Nun noch der besagte Neustart.

docker-compose down && docker-compose up -d

Nach Abschluss sollte nun die neue Version in der CheckMK-Oberfläche angezeigt werden.

Skript zur Automatisierung

Damit die Kommandos nicht immer erneut ausgeführt werden müssen, habe ich ein Skript veröffentlicht, welches den kompletten Aktualisierungsprozess übernimmt.

Verfügbar ist dieses mit entsprechender Anleitung unter folgendem Link: https://github.com/bjarneeins/compose-checkmk-updater