13.9. セルフテストの実行
Certificate System には、サーバーのセルフテストを可能にする機能が追加されました。セルフテストは起動時に実行され、オンデマンドで実行することもできます。起動セルフテストはサーバーの起動時に実行され、重要なセルフテストが失敗した場合にサーバーが起動しないようにします。オンデマンドのセルフテストは、サブシステムコンソールのセルフテストボタンをクリックして実行されます。
13.9.1. セルフテストの実行
CA、OCSP、KRA、または TKS サブシステムのオンデマンドのセルフテストは、コンソールから実行します。TPS システムのオンデマンドのセルフテストは、Web サービスページから実行されます。
13.9.1.1. コンソールからのセルフテストの実行
- コンソールにログインします。
pkiconsole https://server.example.com:admin_port/subsystem_type
- 左側のペインの上部にあるサブシステム名を選択します。
- Self Tests タブを選択します。
- をクリックします。サブシステムに設定されたセルフテストが実行されます。重大なセルフテストに失敗すると、サーバーが停止します。
- On-Demand Self Tests Results ウインドウが表示され、セルフテストの実行にログイベントが表示されます。
13.9.1.2. TPS セルフテストの実行
コマンドラインインターフェイス (CLI) から TPS のセルフテストを実行するには、以下を実行します。
- pki tps-selftest-find
- pki tps-selftest-run
- pki tps-selftest-show
13.9.2. セルフテストロギング
別のログ (
selftest.log) が、起動用セルフテストとオンデマンドセルフテストの両方のレポートが含まれるログディレクトリーに追加されます。このログは、CS.cfg ファイルのログの設定を変更することで設定されます。詳細は、『Red Hat Certificate System 計画、インストール、およびデプロイメントのガイド』の『セルフテスト設定の修正』のセクションを参照してください。
13.9.3. POSIX システム ACL の設定
POSIX システムアクセス制御ルールは、システムユーザーのパーミッションに対してより細かい粒度を提供します。これらの ACL は、インスタンスが完全に設定された後、インスタンスごとに設定する必要があります。ACL の詳細は、Red Hat Enterprise Linux ストレージ管理ガイドの該当する章を参照してください。
13.9.3.1. CA、KRA、OCSP、TKS、および TPS の POSIX システム ACL の設定
ext4 や XFS などの最新のファイルシステムはデフォルトで ACL を有効にし、最新の Red Hat Enterprise Linux インストールで使用されます。
- インスタンスを停止します。
systemctl stop pki-tomcatd@instance_name.service
- インスタンスのディレクトリーおよびファイルに対する読み取り可能性を pkiadmin グループに設定します。
# setfacl -R -L -m g:pkiadmin:r,d:g:pkiadmin:r /var/lib/pki/instance_name
- すべてのディレクトリーに実行 (x) ACL パーミッションを適用します。
# find -L /var/lib/pki/instance_name -type d -exec setfacl -L -n -m g:pkiadmin:rx,d:g:pkiadmin:rx {} \; - インスタンスの signedAudit/ ディレクトリーおよびその関連ファイルから、pkiadmin グループのグループの読み取り性を削除します。
# setfacl -R -L -x g:pkiadmin,d:g:pkiadmin /var/lib/pki/instance_name/logs/signedAudit
- インスタンスの signedAudit/ ディレクトリーとその関連ファイルの pkiaudit グループのグループの読み取り性を設定します。
# setfacl -R -L -m g:pkiaudit:r,d:g:pkiaudit:r /var/lib/pki/instance_name/logs/signedAudit
- signedAudit/ ディレクトリーとそのすべてのサブディレクトリーで実行 (x) ACL パーミッションを再適用します。
# find -L /var/lib/pki/instance_name/logs/signedAudit -type d -exec setfacl -L -n -m g:pkiaudit:rx,d:g:pkiaudit:rx {} \; - インスタンスを起動します。
systemctl start pki-tomcatd@instance_name.service
- 別のログ (selftest.log) が、起動用セルフテストとオンデマンドセルフテストの両方のレポートが含まれるログディレクトリーに追加されます。
# getfacl /var/lib/pki/instance_name /var/lib/pki/instance_name/subsystem_type/logs/signedAudit/ getfacl: Removing leading '/' from absolute path names # file: var/lib/pki/instance_name # owner: pkiuser # group: pkiuser user::rwx group::rwx group:pkiadmin:r-x mask::rwx other::r-x default:user::rwx default:group::rwx default:group:pkiadmin:r-x default:mask::rwx default:other::r-x # file: var/lib/pki/instance_name/logs/signedAudit # owner: pkiuser # group: pkiaudit user::rwx group::rwx group:pkiaudit:r-x mask::rwx other::--- default:user::rwx default:group::rwx default:group:pkiaudit:r-x default:mask::rwx default:other::---
