最近、Let’s Encrypt 証明書再利用を調査している際に、cert_exists() 内で関連する問題に遭遇しました。
私のケースでは、証明書ファイルと RSA/ECDSA の両方のディレクトリが存在していましたが、openssl x509 -in ca.cer が発行者バンドルから最初の証明書のみを保持するため、現在のチェックは依然として false を返していました。
以下を使用することで、検証が修正されました。
openssl verify -untrusted ca.cer fullchain.cer
実際の RSA と ECDSA 証明書でもテストし、既存の両方の証明書を再利用して再発行を強制せずに再構築を完了しました。
これは、このトピックで説明されている _ecc ディレクトリの欠如という根本原因とは異なる可能性がありますが、同じ cert_exists() パスに影響を与えるため、同様の症状に遭遇した方にとって有用な場合に備えて、ここにリンクを貼っておきます。
報告: Let's Encrypt cert_exists() truncates the CA chain, causing forced reissuance and rate-limit failures
PR: FIX: preserve the Let's Encrypt issuer chain in cert_exists - Pull Request #1136 - discourse/discourse_docker - GitHub