[QUOTE]
Виктор Таран написал:
4. Ждем валидного завершения от ПОЛНОЙ пеерепроверки ВСЕХ сертификатов, и при фэйл удаляем сертификаты из конфига но НЕ удаляем из из dehydrated, ни из общей проверки ни сами сертификаты. Ни из БД.[/QUOTE]
Это не так, мы ничего не удаляем из конфигов, если попытка была неудачная, rollback там отсутствует. До валидного завершения операций с LE - мы не добавляем настройки сертифкатов в конфиги веб-серверов.
С другой стороны расчет был на то, что если нужен сертифкат, то посмотрите лог, поправите ошибки и запустите сценарий заново, то есть не будет ситуации, когда неудавшаяся попытка будет похоронена в конфигах.
Но [B]согласна[/B], мы можем получать новый сертификат с отдельным конфигом и только потом добавлять его в основной для всех. Зафиксирую это кейс, исправим.
[QUOTE]
Виктор Таран написал:
Так же битрикс ВМ уже видит сертификаты но они не подключены, и для подключения естественно выкинет ошибку полной проверки, в общем маразм крепчал.[/QUOTE]
Не понимаю о чем Вы говорите, ВМ видит сертифкаты только если они подключены к сайту, до этапа получения сертифкатов от LE они не будут прописаны в сайт. Мы не ведем учет сертифкатов, которых нет в конфигах веб-сервера.
[QUOTE]
Виктор Таран написал:
0 12 * * 6 root /opt/webdir/bin/bx-dehydrated
0 2 * * 6 root /opt/webdir/bin/bx-dehydrated[/QUOTE]
Только второй наш и я не помню, чтобы мы использовали 12 часов дня, хоть раз.
И в скрипте только
[CODE] --cron (-c) Sign/renew non-existent/changed/expiring certificates.[/CODE]
Без нее он выпустит только сертификаты, которые устареют в ближайшие 20 дней:
[CODE] + Checking domain name(s) of existing cert... unchanged.
+ Checking expire date of existing cert...
+ Valid till Nov 24 05:30:20 2019 GMT (Longer than 20 days). Skipping renew!
[/CODE]
Соответственно, конкретно кроны помешать Вам и не могли сделать ошибку вида:
[QUOTE]
Виктор Таран написал:
too many certificates already issued for exact set of domains: site.ru,[URL=http://www.site.ru]www.site.ru[/URL][/QUOTE]
Только сценарий ansible и выпуск сертифката содержит --force.
По косвенным данным предположу, у Вас всего скорее была обратная ситуация, когда сертификат Вы выпустили, но что-то не срослось на уровне nginx конфигов (возможно, был какой-то ручной кастом), когда исправили кастом и начали выпускать сертификат - нарвались уже на ошибку LE.
Про опцию --force, она была нужна на ранних этапах использования LE , сейчас ее можно удалить, удалим в ближайшем выпуске. Зафиксирую номер два.
Спасибо за подробный разбор.
