RHEL Web コンソールでシステムを管理する

手順

1. Web コンソールがインストールバリアントにデフォルトでインストールされていない場合は、cockpit パッケージを手動でインストールします。

   # dnf install cockpit

2. 必要に応じて、Web サーバーを実行する cockpit.socket サービスを有効にして起動します。

   # systemctl enable --now cockpit.socket

3. Web コンソールがインストールバリアントにデフォルトでインストールされておらず、カスタムのファイアウォールプロファイルを使用している場合は、cockpit サービスを firewalld に追加して、ファイアウォールの 9090 番ポートを開きます。

   # firewall-cmd --add-service=cockpit --permanent
   # firewall-cmd --reload

手順

1. Web ブラウザーに次のアドレスを入力して Web コンソールにアクセスします。

   https://localhost:9090

   注記

   これにより、ローカルマシン上で Web コンソールログインが可能になります。リモートシステムの Web コンソールにログインする場合は、リモートマシンから Web コンソールに接続する セクションを参照してください。

   自己署名証明書を使用する場合は、ブラウザーに警告が表示されます。証明書を確認し、セキュリティー例外を許可して、ログインを続行します。

   コンソールは /etc/cockpit/ws-certs.d ディレクトリーから証明書をロードし、アルファベット順で最後となる .cert 拡張子のファイルを使用します。セキュリティーの例外を承認しなくてもすむように、認証局 (CA) が署名した証明書をインストールします。

2. ログイン画面で、システムユーザー名とパスワードを入力します。

3. Log In をクリックします。

   認証に成功すると、RHEL Web コンソールインターフェイスが開きます。

手順

1. 任意のテキストエディターで、/etc/cockpit/ ディレクトリーの cockpit.conf ファイルを開くか、作成します。次に例を示します。

   # vi cockpit.conf

2. 次のテキストを追加します。

   [basic]
   action = none

3. ファイルを保存します。

4. Web コンソールを再起動して、変更を有効にします。

   # systemctl try-restart cockpit

手順

1. Web ブラウザーを開きます。

2. リモートサーバーのアドレスを次のいずれかの形式で入力します。

   1. サーバーのホスト名:

      https://<server.hostname.example.com>:<port-number>

      以下に例を示します。

      https://example.com:9090

   2. サーバーの IP アドレスを使用する場合:

      https://<server.IP_address>:<port-number>

      以下に例を示します。

      https://192.0.2.2:9090

3. ログインインターフェイスが開いたら、RHEL システムの認証情報を使用してログインします。

手順

1. /etc/cockpit/ ディレクトリーにある disallowed-users ファイルを任意のテキストエディターで開きます。次に例を示します。

   # vi /etc/cockpit/disallowed-users

2. このファイルを編集して、root ユーザーの行を削除します。

   # List of users which are not allowed to login to Cockpit root
    

3. 変更を保存し、エディターを終了します。

手順

1. ブラウザーで RHEL Web コンソールを開きます。

   • ローカルの場合 - https://localhost:9090
   • リモートでサーバーホスト名を使用する場合 - https://example.com:9090

   • リモートでサーバー IP アドレスを使用する場合: https://EXAMPLE.SERVER.IP.ADDR:9090

     自己署名証明書を使用する場合は、ブラウザーに警告が表示されます。証明書を確認し、セキュリティー例外を許可してから、ログインを続行します。

     コンソールは /etc/cockpit/ws-certs.d ディレクトリーから証明書をロードし、アルファベット順で最後となる .cert 拡張子のファイルを使用します。セキュリティーの例外を承認しなくてもすむように、認証局 (CA) が署名した証明書をインストールします。

2. ログイン画面が表示されます。ログイン画面で、システムユーザーの名前とパスワードを入力します。
3. デバイスでワンタイムパスワードを生成します。
4. パスワードを確認した後、Web コンソールインターフェイスに表示される新しいフィールドにワンタイムパスワードを入力します。
5. Log in をクリックします。
6. ログインに成功すると、Web コンソールインターフェイスの Overview ページに移動します。

手順

1. 任意のテキストエディターで /etc/issue.cockpit ファイルを開きます。

   # vi /etc/issue.cockpit

2. バナーとして表示するコンテンツをファイルに追加します。次に例を示します。

   This is an example banner for the RHEL web console login page.

   ファイルにマクロを含めることはできませんが、改行と ASCII アートは使用できます。

3. ファイルを保存します。

4. 任意のテキストエディターで、/etc/cockpit/ ディレクトリーの cockpit.conf ファイルを開きます。次に例を示します。

   # vi /etc/cockpit/cockpit.conf

5. 以下のテキストをファイルに追加します。

   [Session]
   Banner=/etc/issue.cockpit

6. ファイルを保存します。

7. Web コンソールを再起動して、変更を有効にします。

   # systemctl try-restart cockpit

手順

1. 任意のテキストエディターで、/etc/cockpit/ ディレクトリーの cockpit.conf ファイルを開きます。次に例を示します。

   # vi /etc/cockpit/cockpit.conf

2. 以下のテキストをファイルに追加します。

   [Session]
   IdleTimeout=<X>

   <X> は、任意の期間の数値 (分単位) に置き換えます。

3. ファイルを保存します。

4. Web コンソールを再起動して、変更を有効にします。

   # systemctl try-restart cockpit

手順

1. 使用されていないポート (例: <4488/tcp>) を選択し、cockpit サービスがそのポートにバインドできるように SELinux に指示します。

   # semanage port -a -t websm_port_t -p tcp <4488>

   ポートは 1 つのサービスのみで一度に使用できるため、すでに使用しているポートを使用しようとすると、ValueError: Port already defined エラーが発生します。

2. ファイアウォールで新しいポートを開き、以前のポートを閉じます。

   # firewall-cmd --service cockpit --permanent --add-port=<4488>/tcp
   # firewall-cmd --service cockpit --permanent --remove-port=9090/tcp

3. cockpit.socket サービスのオーバーライドファイルを作成します。

   # systemctl edit cockpit.socket

4. 次に表示されるエディター画面で、/etc/systemd/system/cockpit.socket.d/ ディレクトリーにある空の override.conf ファイルが開きます。次の行を追加して、Web コンソールのデフォルトポートを、9090 から、先ほど選択した番号に変更します。

   [Socket]
   ListenStream=
   ListenStream=<4488>

   最初の ListenStream= ディレクティブの値が空になっているのは意図的であることに注意してください。単一のソケットユニットで複数の ListenStream ディレクティブを宣言きます。このドロップインファイルに空の値を指定すると、リストがリセットされ、元のユニットのデフォルトポート 9090 が無効になります。

   重要

   上記のコードスニペットは、# Anything between here と # Lines below this で始まる行の間に挿入してください。それ以外の場合、システムによって変更が破棄されます。

5. 変更を保存し、エディターを終了します。

6. 変更した設定を再読み込みします。

   # systemctl daemon-reload

7. 設定が機能していることを確認します。

   # systemctl show cockpit.socket -p Listen
   Listen=[::]:4488 (Stream)

8. cockpit.socket を再起動します。

   # systemctl restart cockpit.socket

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Manage the RHEL web console
     hosts: managed-node-01.example.com
     tasks:
       - name: Install RHEL web console
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.cockpit
         vars:
           cockpit_packages: default
           cockpit_port: 9090
           cockpit_manage_selinux: true
           cockpit_manage_firewall: true
           cockpit_certificates:
             - name: /etc/cockpit/ws-certs.d/01-certificate
               dns: ['localhost', 'www.example.com']
               ca: ipa

   サンプル Playbook で指定されている設定は次のとおりです。

   cockpit_manage_selinux: true

   selinux システムロールを使用して、websm_port_t SELinux タイプで正しいポート権限を設定するように SELinux を設定できるようにします。

   cockpit_manage_firewall: true

   cockpit システムロールが firewalld システムロールを使用してポートを追加できるようにします。

   cockpit_certificates: <YAML_dictionary>

   デフォルトでは、RHEL Web コンソールは自己署名証明書を使用します。または、cockpit_certificates 変数を Playbook に追加し、IdM 認証局 (CA) から証明書を要求するか、管理対象ノードで使用可能な既存の証明書と秘密鍵を使用するようにロールを設定することもできます。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.cockpit/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

1. Web コンソールで、Applications をクリックし、使用可能なインストール済みアプリケーションのリストにある Install ボタンを使用します。

   

2. ターミナルで、dnf install コマンドを使用します。

   # dnf install <add-on>

   上記コマンドの <add-on> は、RHEL Web コンソールで使用可能なアドオンアプリケーションのリストのパッケージ名に置き換えます。

手順

1. 任意のテキストエディターで <systemd>.override.json ファイルのマニフェスト設定をオーバーライドします。次に例を示します。

   1. すべてのユーザーの設定を編集するには、次のように入力します。

      # vi /etc/cockpit/<systemd>.override.json

   2. 単一ユーザーの設定を編集するには、次のように入力します。

      # vi ~/.config/cockpit/<systemd>.override.json

2. 次の詳細を含む必要なファイルを編集します。

   {
     "menu": {
     "services": null,
     "logs": {
         "order": -1
     }
    }
   }

   • null 値を指定すると、services タブが非表示になります。
   • -1 値を指定すると、logs タブが一番目に移動します。

3. cockpit サービスを再起動します。

   # systemctl restart cockpit.service

手順

1. RHEL 10 Web コンソールにログインします。

2. 概要 ページの ヘルス ファイル内の 未登録 の警告をクリックするか、メインメニューの サブスクリプション をクリックして、サブスクリプション情報のあるページに移動します。

   

3. Overview フィールドで、Register をクリックします。
4. Register system ダイアログボックスで、アカウント認証情報を使用して登録する Account を選択します。
5. ユーザー名を入力します。
6. パスワードを入力します。

7. オプション: 組織の名前または ID を入力します。

   アカウントが Red Hat カスタマーポータルで複数の組織に所属している場合には、組織名または組織 ID を追加する必要があります。組織 ID を取得するには、Red Hat の連絡先にお問い合わせください。

   • システムを Red Hat Lightspeed に接続しない場合は、Insights チェックボックスをオフにします。
8. Register をクリックします。

手順

1. RHEL 10 Web コンソールにログインします。

2. Overview ページの Health フィールドで、Not registered の警告をクリックするか、メインメニューの Subscriptions をクリックして、サブスクリプション情報を含むページに移動します。

   

3. Overview フィールドの Register をクリックします。
4. Register system ダイアログボックスで、Activation key を選択して、アクティベーションキーを使用して登録します。
5. キーを入力します。

6. 組織名または ID を入力します。

   組織 ID の取得は、Red Hat にお問い合わせください。

   • システムを Red Hat Lightspeed に接続しない場合は、Insights チェックボックスをオフにします。
7. Register をクリックします。

手順

1. Web コンソールのログインページを開きます。
2. User name フィールドにリモートホスト上のユーザー名を指定します。
3. Other options をクリックして、Connect to テキストフィールドを表示します。

4. Connect to テキストフィールドに、SSH を使用して接続するリモートホストを指定します。ポートを指定しない場合、Web コンソールは指定されたリモートホストのポート 22 への接続を試みます。

   
5. Log in をクリックします。

手順

1. ターミナルで、任意のテキストエディターを使用して、/etc/cockpit/ ディレクトリー内の cockpit.conf ファイルを開くか作成します。

2. 次のテキストを追加します。

   [WebService]
   AllowMultiHost=yes

   警告

   ホストスイッチャーは非推奨であり、デフォルトでは無効になっています。Web テクノロジーの制限により、この機能は安全ではありません。信頼されていないホストに接続する場合は、ホストスイッチャーを有効にしないでください。接続されているすべてのシステムが、接続されている残りのシステムに任意の変更を加えることができるためです。より安全な代替手段として、Web ブラウザーセッションで 1 つのホストの安全な制限を持つ Web コンソールログインページを使用するか、Cockpit Client Flatpak を使用することもできます。

3. ファイルを保存します。

4. 変更を有効にするには、Web コンソールを再起動します。

   # systemctl try-restart cockpit

5. RHEL Web コンソールで、Overview ページの左上隅にある <username>@<hostname> をクリックします。

   

6. ドロップダウンメニューで、Add new host をクリックします。
7. 新規ホストの追加 ダイアログボックスで、追加するホストを指定します。

8. オプション: 接続するアカウントのユーザー名を追加します。

   リモートシステムのユーザーアカウントを使用できます。ただし、管理者権限のないユーザーアカウントの認証情報を使用すると、管理タスクを実行できません。

   ローカルシステムと同じ認証情報を使用すると、ログインするたびに Web コンソールによってリモートシステムが自動的に認証されます。

   重要

   Web コンソールは、リモートシステムへのログインに使用されるパスワードを保存しません。

9. オプション: Color フィールドをクリックして、システムの色を変更します。
10. Add をクリックします。

手順

1. RHEL 10 Web コンソールにログインします。

2. RHEL Web コンソールで、Overview ページの左上隅にある <username>@<hostname> をクリックします。

   
3. ドロップダウンメニューで、Add new host をクリックします。
4. 新規ホストの追加 ダイアログボックスで、追加するホストを指定します。初めてホストに接続する場合は、次のダイアログボックスで Trust and add new host をクリックする必要があります。

5. パスワードダイアログボックスは、ホスト上に SSH キーファイルが存在するかどうかによって異なります。

   1. ホストの SSH キーがすでにある場合は、Authorize SSH key オプションを選択します。
   2. SSH キーがない場合は、Create a new SSH key and authorize it オプションを選択します。Web コンソールが鍵を作成します。
6. SSH キーのパスワードを追加して確認します。
7. Log in をクリックします。

検証

1. ログアウトします。
2. ログインし直してください。
3. Not connected to host 画面の Log in をクリックします。
4. 認証オプションとして、SSH 鍵を選択します。
5. 鍵のパスワードを入力します。
6. Log in をクリックします。

手順

1. Terminal ページで、Web コンソールがユーザーセッション内に Service for User to Proxy (S4U2proxy) Kerberos チケットを作成したことを確認します。

   $ klist
   …
   Valid starting     Expires            Service principal
   05/20/25 09:19:06 05/21/25 09:19:06 HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM
   …

2. 委任ルールがアクセスできるターゲットホストのリストを作成します。

   1. サービス委任ターゲットを作成します。

      $ ipa servicedelegationtarget-add cockpit-target

   2. 委任ターゲットに対象ホストを追加します。

      $ ipa servicedelegationtarget-add-member cockpit-target \
        --principals=host/remote.idm.example.com@IDM.EXAMPLE.COM

3. サービス委任ルールを作成し、HTTP サービスの Kerberos プリンシパルを追加することで、cockpit セッションが対象ホストのリストにアクセスできるようにします。

   1. サービス委任ルールを作成します。

      $ ipa servicedelegationrule-add cockpit-delegation

   2. Web コンソールクライアントを委任ルールに追加します。

      $ ipa servicedelegationrule-add-member cockpit-delegation \
        --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM

   3. 委任ターゲットを委任ルールに追加します。

      $ ipa servicedelegationrule-add-target cockpit-delegation \
        --servicedelegationtargets=cockpit-target

4. remote.idm.example.com ホストで Kerberos 認証を有効にします。

   1. root として SSH 経由で remote.idm.example.com に接続します。
   2. /etc/ssh/sshd_config ファイルに GSSAPIAuthentication yes 行を追加します。

5. 変更がすぐに有効になるように、remote.idm.example.com の sshd サービスを再起動します。

   $ systemctl try-restart sshd.service

手順

1. ~/MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. 機密性の高い変数を暗号化されたファイルに保存します。

   1. vault を作成します。

      $ ansible-vault create secret.yml
      New Vault password: <vault_password>
      Confirm New Vault password: <vault_password>

   2. ansible-vault create コマンドでエディターが開いたら、機密データを <key>: <value> 形式で入力します。

      ipaadmin_password: <admin_password>

   3. 変更を保存して、エディターを閉じます。Ansible は vault 内のデータを暗号化します。

3. Terminal ページで、Web コンソールがユーザーセッション内に Service for User to Proxy (S4U2proxy) Kerberos チケットを作成したことを確認します。

   $ klist
   …
   Valid starting     Expires            Service principal
   05/20/25 09:19:06 05/21/25 09:19:06 HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM
   …

4. 以下の内容で web-console-smart-card-ssh.yml Playbook を作成します。

   1. 委任対象の存在を確認するタスクを作成します。

      ---
      - name: Playbook to create a constrained delegation target
        hosts: ipaserver
      
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
        - name: Ensure servicedelegationtarget web-console-delegation-target is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target

   2. 対象ホストを委任ターゲットに追加するタスクを追加します。

        - name: Ensure servicedelegationtarget web-console-delegation-target member principal host/remote.idm.example.com@IDM.EXAMPLE.COM is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target
            principal: host/remote.idm.example.com@IDM.EXAMPLE.COM
            action: member

   3. 委任ルールの存在を確認するタスクを追加します。

        - name: Ensure servicedelegationrule delegation-rule is present
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule

   4. Web コンソールクライアントサービスの Kerberos プリンシパルが制約付き委任ルールのメンバーであることを確認するタスクを追加します。

        - name: Ensure the Kerberos principal of the web console client service is added to the servicedelegationrule web-console-delegation-rule
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            principal: HTTP/myhost.idm.example.com
            action: member

   5. 制約付き委任ルールが web-console-delegation-target 委任対象と関連付けられることを確認するタスクを追加します。

        - name: Ensure a constrained delegation rule is associated with a specific delegation target
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            target: web-console-delegation-target
            action: member

   6. remote.idm.example.com で Kerberos 認証を有効にするタスクを追加します。

        - name: Enable Kerberos authentication
          hosts: remote.idm.example.com
          vars:
            sshd_config:
              GSSAPIAuthentication: true
          roles:
            - role: rhel-system-roles.sshd

5. ファイルを保存します。

6. Ansible Playbook を実行します。Playbook ファイル、secret.yml ファイルを保護するパスワードを格納するファイル、およびインベントリーファイルを指定します。

   $ ansible-playbook --vault-password-file=password_file -v -i inventory web-console-smart-card-ssh.yml

手順

1. RHEL 10 Web コンソールにログインします。
2. Overview タブの Configuration フィールドで、Join Domain をクリックします。
3. ドメインに参加 ダイアログボックスで、ドメインアドレス フィールドに IdM サーバーのホスト名を入力します。
4. ドメイン管理者名 フィールドに、IdM 管理アカウントのユーザー名を入力します。
5. Domain administrator password にパスワードを追加します。
6. Join をクリックします。

検証

1. RHEL 10 Web コンソールにエラーが表示されなければ、システムは IdM ドメインに参加しています。また、System 画面にドメイン名が表示されます。

2. ユーザーがドメインのメンバーであることを確認するには、Terminal ページをクリックし、id コマンドを入力します。

   $ id
   euid=548800004(example_user) gid=548800004(example_user) groups=548800004(example_user) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

手順

1. RHEL 10 Web コンソールにログインします。
2. Terminal をクリックします。

3. /etc/cockpit/cockpit.conf で ClientCertAuthentication を yes に設定します。

   [WebService]
   ClientCertAuthentication = yes

4. オプション: 以下のようにして cockpit.conf でパスワードベースの認証を無効にします。

   [Basic]
   action = none

   この設定ではパスワード認証が無効になり、常にスマートカードを使用する必要があります。

5. Web コンソールを再起動して、cockpit.service が変更を受け入れることを確認します。

   # systemctl restart cockpit

手順

1. RHEL 10 Web コンソールにログインします。

   ブラウザーは、スマートカードに保存されている証明書を PIN で保護するよう要求します。

2. Password Required ダイアログボックスで PIN を入力し、OK をクリックします。
3. User Identification Request ダイアログボックスで、スマートカードに保存されている証明書を選択します。

4. Remember this decision を選択します。

   次回、このウィンドウが開きません。

   注記

   この手順は、Google Chrome ユーザーには適用されません。

5. OK をクリックします。

   これで接続され、Web コンソールがそのコンテンツを表示します。

手順

1. チケットがアクセスできるホストをリストアップする制約委譲ルールを設定します。

   • 次の委譲を作成します。

     • 特定のルールがアクセスできるターゲットマシンのリストを追加するには、次のコマンドを入力します。

       # ipa servicedelegationtarget-add cockpit-target
       # ipa servicedelegationtarget-add-member cockpit-target \ --principals=host/host.example.com@EXAMPLE.COM \ --principals=host/remote.example.com@EXAMPLE.COM

     • Web コンソールセッション (HTTP/プリンシパル) がホストリストにアクセスできるようにするには、次のコマンドを使用します。

       # ipa servicedelegationrule-add cockpit-delegation
       # ipa servicedelegationrule-add-member cockpit-delegation \ --principals=HTTP/host.example.com@EXAMPLE.COM
       # ipa servicedelegationrule-add-target cockpit-delegation \ --servicedelegationtargets=cockpit-target

2. 対応するサービスで GSS 認証を有効にします。

   1. sudo の場合、/etc/sssd/ sssd.conf ファイルで pam_sss_gss モジュールを有効にします。

      1. root として、/etc/sssd/sssd.conf 設定ファイルにドメインのエントリーを追加します。

         [domain/example.com]
         pam_gssapi_services = sudo, sudo-i

      2. /etc/pam.d/sudo ファイルの 1 行目でモジュールを有効にします。

         auth sufficient pam_sss_gss.so

   2. SSH の場合、/etc/ssh/sshd_config ファイルの GSSAPIAuthentication オプションを yes に更新します。

      警告

      委譲された S4U チケットが、Web コンソールからリモートの SSH ホストに接続するときに転送されません。チケットを使用してリモートホスト上で sudo を認証することはできません。

検証

1. スマートカードを使用して Web コンソールにログインします。
2. [制限付きアクセス ] ボタンをクリックします。
3. スマートカードを使用して認証を行います。
4. または、SSH を使用して別のホストに接続してみます。

手順

1. 端末で system-cockpithttps.slice 設定ファイルを開きます。

   # systemctl edit system-cockpithttps.slice

2. TasksMax を 100 に、CPUQuota を 30% に制限します。

   [Slice]
   # change existing value
   TasksMax=100
   # add new restriction
   CPUQuota=30%

3. 変更を適用するには、システムを再起動します。

   # systemctl daemon-reload
   # systemctl stop cockpit