OCI WAF 인증서 갱신: Certbot·OCI CLI 연동과 확인 사항

OCI WAF(Web Application Firewall)의 Edge 정책(WAAS)에 HTTPS를 구성하면 클라이언트와 WAF 사이의 인증서를 별도로 관리하게 됩니다. HTTP→HTTPS 리다이렉트는 해당 정책에서 활성화해야 하며, WAF 사용만으로 자동 적용되는 것은 아닙니다.

Certbot의 갱신 작업이 예약되어 있고 인증 절차가 성공해야 서버 인증서가 갱신됩니다. Edge 정책에 따로 업로드한 인증서는 서버 갱신만으로 교체되지 않습니다. 두 배포 지점의 인증서와 만료 상태를 각각 확인해야 합니다.

이 글은 WAF 인증서 만료를 다룬 사례와 certbot deploy hook·OCI CLI를 연결하는 예제를 정리합니다. 사례의 시점과 당시 결과를 현재 환경의 검증 결과로 간주하지 마세요. 아래 hook은 오류 처리·대상 정책·비동기 적용 확인을 별도로 검증해야 하는 예제입니다.

문제: 이중 인증서 구조

certbot이 서버 인증서를 갱신해도, WAF 인증서는 그대로입니다. 두 인증서의 만료일이 다르기 때문에 서버 인증서가 유효해도 WAF 인증서가 만료되면 사이트 접속이 불가합니다.

진단: 현재 상태 파악

서버 인증서 확인

sudo certbot certificates
# Expiry Date: 2026-05-21 (VALID: 62 days) ← 정상

sudo ls -la /etc/letsencrypt/renewal-hooks/deploy/
# 비어있음 ← 자동화 없음

oci --version 2>/dev/null || echo "OCI CLI 미설치"
# OCI CLI 미설치 ← API 호출 불가

WAF 인증서 확인

OCI 콘솔 → WAF Policies → 정책 선택 → Settings → General settings에서 SSL certificate expiration date 확인.

긴급 처치: 수동 인증서 갱신

/etc/letsencrypt/live/CERT_NAME/fullchain.pem
/etc/letsencrypt/live/CERT_NAME/privkey.pem

/home/TRANSFER_USER/.dih-waf-export-UNIQUE/fullchain.pem
/home/TRANSFER_USER/.dih-waf-export-UNIQUE/privkey.pem

/home/LOCAL_USER/.dih-waf-upload-UNIQUE/fullchain.pem
/home/LOCAL_USER/.dih-waf-upload-UNIQUE/privkey.pem

갱신 연동 검토: OCI CLI + certbot deploy hook

OCI CLI 설치

# Oracle Linux 8
sudo yum install -y python36-oci-cli
oci --version

OCI CLI 설정

기존 설정이 있을 수 있으니 먼저 확인:

cat ~/.oci/config 2>/dev/null

설정이 없거나 인증 실패하면 oci setup config를 실행합니다. 필요한 값:

설정 완료 후 생성된 공개키를 OCI에 등록:

cat ~/.oci/oci_api_key_public.pem
# 출력 내용 복사 → My profile → API keys → Add API key → Paste

deploy hook 스크립트

sudo tee /etc/letsencrypt/renewal-hooks/deploy/upload-to-waf.sh << 'SCRIPT'
#!/bin/bash
LOG="/var/log/waf-cert-upload.log"
OCI="/usr/bin/oci --config-file /home/opc/.oci/config"
WAF_ID="<WAF_POLICY_OCID>"

echo "$(date) ==============================" >> "$LOG"
echo "$RENEWED_DOMAINS" | grep -q "도메인" || { echo "$(date) 스킵" >> "$LOG"; exit 0; }

CERT_PATH="$RENEWED_LINEAGE/fullchain.pem"
KEY_PATH="$RENEWED_LINEAGE/privkey.pem"
COMPARTMENT_ID=$(${OCI} waas waas-policy get \
    --waas-policy-id ${WAF_ID} \
    --query 'data."compartment-id"' --raw-output)

# 1. 인증서 리소스 생성
CERT_RESULT=$(${OCI} waas certificate create \
    --compartment-id "$COMPARTMENT_ID" \
    --certificate-data "$(cat ${CERT_PATH})" \
    --private-key-data "$(cat ${KEY_PATH})" \
    --display-name "auto-$(date +%Y%m%d%H%M%S)")

CERT_OCID=$(echo "$CERT_RESULT" | \
    python3 -c "import sys,json; print(json.load(sys.stdin)['data']['id'])")

# 2. WAF 정책에 연결
${OCI} waas waas-policy update \
    --waas-policy-id "$WAF_ID" \
    --policy-config "{\"certificateId\":\"${CERT_OCID}\",\"isSniEnabled\":true,\"isHttpsEnabled\":true,\"isHttpsForced\":true,\"tlsProtocols\":[\"TLS_V1_2\",\"TLS_V1_3\"]}" \
    --force >> "$LOG" 2>&1

echo "$(date) 완료: $CERT_OCID" >> "$LOG"
SCRIPT

sudo chmod +x /etc/letsencrypt/renewal-hooks/deploy/upload-to-waf.sh

트러블슈팅 포인트