Webサーバー（Apache）構築＆セキュア化

Apacheのインストールと自動起動

Linux上でWebサーバーとして動作するソフトウェア「Apache（パッケージ名: httpd）」を導入します。

sudo dnf install httpd -y

sudo systemctl enable --now httpd

systemctl status httpd

ファイアウォール（Firewalld）の設定

デフォルト状態のLinuxは外部からの通信をほぼすべて遮断しています。Webサーバーへの接続に必要なHTTP（80番）およびHTTPS（443番）ポートを明示的に開放します。

sudo firewall-cmd --permanent --add-service=http

sudo firewall-cmd --permanent --add-service=https

sudo firewall-cmd --reload

sudo firewall-cmd --list-services

期待される出力例：http https ssh（これらが含まれていれば正常）

ドメイン（ServerName）の設定

複数のWebサイトを同一のサーバーで運用する、あるいは特定のドメイン名でアクセスを処理するために、バーチャルホスト設定を行います。

sudo vi /etc/httpd/conf.d/yama.conf

以下の設定をすべて記述します。

<VirtualHost *:80>
    # サーバーの正式なドメイン名
    ServerName www.your-domain.mydns.jp

    # 複数ドメイン名でのアクセスを許容する別名（wwwなしなど）
    ServerAlias your-domain.mydns.jp

    # Webコンテンツ（HTML等）が配置されているルートディレクトリ
    DocumentRoot /var/www/html
</VirtualHost>

※ファイルの保存は、キーボードの Esc を押した後、:wq と入力して Enter を押します。

HTTPS化（Let's Encrypt / Certbot）

現在のインターネット標準である常時SSL/TLS（HTTPS）通信を導入します。無料のSSL証明書発行機関「Let's Encrypt」とその自動化ツール「Certbot」を利用します。

sudo dnf install epel-release -y

sudo dnf install certbot python3-certbot-apache -y

sudo certbot --apache

② 対話式プロンプトの進め方

コマンド実行後、画面に英語で指示が表示されます。以下の手順に沿って入力します。

1. Email Address：緊急の通知を受け取るメールアドレスを入力して Enter。
2. Terms of Service：規約への同意を求められるため、A（Agree）を入力して Enter。
3. Newsletter：ニュースレターの受信確認。不要であれば N（No）を入力して Enter。
4. Domain Selection：証明書を適用したいドメイン（例：www.your-domain.mydns.jp, your-domain.mydns.jp）の番号が表示されます。そのまま Enter を押すとすべてのドメインが選択されます。
5. Congratulations! というメッセージが表示されれば、証明書の適用および、HTTPからHTTPSへのリダイレクト（自動転送）設定が自動完了します。

プロレベルの防御設定（セキュリティの厳格化）

初期状態のApacheは、サーバーのバージョンやOS名などの機密情報を外部に開示してしまいます。また、不正な表示（クリックジャッキングなど）への対策が不足しています。これらを補う防御設定を追加します。

sudo vi /etc/httpd/conf.d/security.conf

以下のテキストを全てコピー＆ペーストして保存します。

# ------------------------------------------------------------------------------
# 1. サーバー情報を隠蔽する (攻撃者への情報提供を遮断)
# ------------------------------------------------------------------------------
# レスポンスヘッダーに含めるサーバー情報を最小限（Apacheという名称のみ）にする
ServerTokens Prod
# エラーページ等にApacheのバージョン番号やOS情報を表示させない
ServerSignature Off

# ------------------------------------------------------------------------------
# 2. ディレクトリ一覧を表示させない (中身の覗き見防止)
# ------------------------------------------------------------------------------
<Directory /var/www/html>
    # 「Indexes」を無効化（-Indexes）し、index.htmlがない場合にファイル一覧が表示されるのを防ぐ。
    # 「+FollowSymLinks」はシンボリックリンクの追跡を許可する設定。
    Options -Indexes +FollowSymLinks
</Directory>

# ------------------------------------------------------------------------------
# 3. HTTPセキュリティヘッダーの適用 (ブラウザの脆弱性悪化防止・防御強制)
# ------------------------------------------------------------------------------
# MIMEタイプの誤判定（スニッフィング）による脆弱性を防ぐ
Header always set X-Content-Type-Options "nosniff"
# 他のサイトのiframe等に自サイトが表示されるのを防ぐ（クリックジャッキング対策）
Header always set X-Frame-Options "sameorigin"
# ブラウザが搭載するXSS（クロスサイトスクリプティング）フィルターを強制有効にする
Header always set X-XSS-Protection "1; mode=block"
# ページ内のすべての「http://」リンクを、ブラウザ側で「https://」に自動昇格させてリクエストさせる
Header always set Content-Security-Policy "upgrade-insecure-requests"

記述ミスがないか構文チェックを行い、問題がなければ設定を適用します。

# 構文チェックの実行
sudo apachectl configtest
# ※ 「Syntax OK」と表示されれば記述エラーはありません。

# 設定を反映させるため、Apacheを再起動
sudo systemctl restart httpd

SELinuxの調整

Rocky Linuxに搭載されている強力な保護機構「SELinux」の調整を行います。標準設定のままでは、Webサーバーが外部ネットワークと連携する通信（外部APIの呼び出しやデータベース連携など）が全てブロックされます。安全性を確保したまま、この通信を許可します。

sudo setsebool -P httpd_can_network_connect 1

getenforce

最終確認チェックリスト

設定が正しく機能しているか、実機で動作確認を行います。