☰

Fehler „Berechtigung verweigert“ für Letsencrypt-Zertifikate

tag-icon • tag-icon ubuntu dovecot certbot
Fehler „Berechtigung verweigert“ für Letsencrypt-Zertifikate

Dieser Fehler kommt von Dovecot, wo das Zertifikat aufgrund von Berechtigungen nicht gelesen werden kann. Ich habe versucht, die Berechtigungen zu ändern. Derzeit habe ich alles auf 644. Ich verstehe, dass die Pfade nur Links zu /etc/letsencrypt/archivesDateipfaden sind, also weiß ich wirklich nicht, was los ist. Ich weiß nicht, wie sich Berechtigungen für Links auf die Ziele auswirken.

mail dovecot: imap(example_user)<28542><mxY1sjPSlsxHvuNn>: 
 Panic: Settings check unexpectedly failed: ssl_client_ca_dir: 
 access(/etc/letsencrypt/live/mail.servicemouse.com) failed: Permission denied

Antwort1

Sie müssen angemessene Berechtigungen sowohl für das Verzeichnis festlegen, in demLinkssind /etc/letsencrypt/liveundechte Dateien( /etc/letsencrypt/archives). Und beheben Sie es jedes Mal, wenn Sie Zertifikate erneuern, da neue Dateien "sichere" Berechtigungen erhalten. Das folgende Skript habe ich vor einiger Zeit verwendet:

#!/bin/bash

#use: certbot renew --post-hook /usr/local/bin/certbot-renew-fix-file-access.sh

chmod 0755 /etc/letsencrypt/
chmod 0711 /etc/letsencrypt/live/
chmod 0750 /etc/letsencrypt/live/example.com/
chmod 0711 /etc/letsencrypt/archive/
chmod 0750 /etc/letsencrypt/archive/example.com/
chmod 0640 /etc/letsencrypt/archive/example.com/{cert,chain,fullchain}*.pem
chmod 0640 /etc/letsencrypt/archive/example.com/privkey*.pem

chown root:root /etc/letsencrypt/
chown root:root /etc/letsencrypt/live/
chown root:mail /etc/letsencrypt/live/example.com/
chown root:root /etc/letsencrypt/archive/
chown root:mail /etc/letsencrypt/archive/example.com/
chown root:mail /etc/letsencrypt/archive/example.com/{cert,chain,fullchain}*.pem
chown root:mail /etc/letsencrypt/archive/example.com/privkey*.pem

/etc/init.d/postfix restart
/etc/init.d/cyrus restart
/etc/init.d/apache2 restart

Sie müssen den Hostnamen und den Gruppennamen anpassen, unter dem Ihre Dienste ausgeführt werden (sofern dies nicht der Fall ist) mailsowie die Dienste, die nach der Erneuerung ein neues Zertifikat benötigen.

verwandte Informationen