基本的なシステム設定

手順

1. date コマンドを実行します。

   $ date
   Mon Mar 30 16:02:59 CEST 2020

2. 詳細は、timedatectl コマンドを使用して確認します。

   $ timedatectl
   Local time: Mon 2020-03-30 16:04:42 CEST
   Universal time: Mon 2020-03-30 14:04:42 UTC
     RTC time: Mon 2020-03-30 14:04:41
    Time zone: Europe/Prague (CEST, +0200)
   System clock synchronized: yes
   NTP service: active
   RTC in local TZ: no

手順

1. 必要に応じて、rsyslog トラフィックに別のポートを使用するには、SELinux タイプ syslogd_port_t をポートに追加します。たとえば、ポート 30514 を有効にします。

   # semanage port -a -t syslogd_port_t -p tcp 30514

2. 必要に応じて、rsyslog トラフィックに別のポートを使用するには、firewalld がそのポートでの着信 rsyslog トラフィックを許可するように設定します。たとえば、ポート30514 で TCP トラフィックを許可します。

   # firewall-cmd --zone=<zone-name> --permanent --add-port=30514/tcp
   success
   # firewall-cmd --reload

3. /etc/rsyslog.d/ ディレクトリーに新規ファイル (例: remotelog.conf) を作成し、以下のコンテンツを挿入します。

   # Define templates before the rules that use them
   # Per-Host templates for remote systems
   template(name="TmplAuthpriv" type="list") {
       constant(value="/var/log/remote/auth/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   template(name="TmplMsg" type="list") {
       constant(value="/var/log/remote/msg/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   # Provides TCP syslog reception
   module(load="imtcp")
   
   # Adding this ruleset to process remote messages
   ruleset(name="remote1"){
        authpriv.*   action(type="omfile" DynaFile="TmplAuthpriv")
         *.info;mail.none;authpriv.none;cron.none
   action(type="omfile" DynaFile="TmplMsg")
   }
   
   input(type="imtcp" port="30514" ruleset="remote1")

4. /etc/rsyslog.d/remotelog.conf ファイルへの変更を保存します。

5. /etc/rsyslog.conf ファイルの構文をテストします。

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-2.el8, config validation run...
   rsyslogd: End of config validation run. Bye.

6. Rsyslog サービスがロギングサーバーで実行中で、有効になっていることを確認します。

   # systemctl status rsyslog

7. rsyslog サービスを再起動します。

   # systemctl restart rsyslog

8. 必要に応じて、rsyslog が有効になっていない場合は、再起動後に rsyslog サービスが自動的に起動するようにします。

   # systemctl enable rsyslog

手順

1. /etc/rsyslog.d/ ディレクトリーに新規ファイル (例: 10-remotelog.conf) を作成し、以下のコンテンツを挿入します。

   *.* action(type="omfwd"
         queue.type="linkedlist"
         queue.filename="example_fwd"
         action.resumeRetryCount="-1"
         queue.saveOnShutdown="on"
         target="example.com" port="30514" protocol="tcp"
        )

   ここでは、以下のようになります。

   • queue.type="linkedlist" 設定は、LinkedList インメモリーキューを有効にします。
   • queue.filename 設定は、ディスクストレージを定義します。バックアップファイルは、前のグローバルの workDirectory ディレクティブで指定された作業ディレクトリーに example_fwd 接頭辞を付けて作成されます。
   • action.resumeRetryCount -1 設定は、サーバーが応答しない場合に接続を再試行するときに rsyslog がメッセージを破棄しないようにします。
   • queue.saveOnShutdown="on" 設定は、rsyslog がシャットダウンした場合にインメモリーデータを保存します。

   • 最後の行は、受信したすべてのメッセージをロギングサーバーに転送します。ポートの指定は任意です。

     この設定では、rsyslog はメッセージをサーバーに送信しますが、リモートサーバーに到達できない場合には、メッセージをメモリーに保持します。ディスク上にあるファイルは、設定されたメモリーキュー領域が rsyslog で不足するか、シャットダウンする必要がある場合にのみ作成されます。これにより、システムパフォーマンスが向上します。

   注記

   Rsyslog は設定ファイル /etc/rsyslog.d/ を字句順に処理します。

2. rsyslog サービスを再起動します。

   # systemctl restart rsyslog

1. クライアントシステムで、テストメッセージを送信します。

   # logger test

2. サーバーシステムで、/var/log/messages ログを表示します。以下に例を示します。

   # cat /var/log/remote/msg/hostname/root.log
   Feb 25 03:53:17 hostname root[6064]: test

   hostname はクライアントシステムのホスト名です。ログには、logger コマンドを入力したユーザーのユーザー名 (この場合は root) が含まれていることに注意してください。

手順

1. クライアントシステムから暗号化したログを受信するようにサーバーを設定します。

   1. /etc/rsyslog.d/ディレクトリーに、新規ファイル (securelogser.conf など) を作成します。

   2. 通信を暗号化するには、設定ファイルに、サーバーの証明書ファイルへのパス、選択した認証方法、および TLS 暗号化に対応するストリームドライバーが含まれている必要があります。/etc/rsyslog.d/securelogser.conf に以下の行を追加します。

      # Set certificate files
      global(
        DefaultNetstreamDriverCAFile="/etc/pki/ca-trust/source/anchors/ca-cert.pem"
        DefaultNetstreamDriverCertFile="/etc/pki/ca-trust/source/anchors/server-cert.pem"
        DefaultNetstreamDriverKeyFile="/etc/pki/ca-trust/source/anchors/server-key.pem"
      )
      
      # TCP listener
      module(
        load="imtcp"
        PermittedPeer=["client1.example.com", "client2.example.com"]
        StreamDriver.AuthMode="x509/name"
        StreamDriver.Mode="1"
        StreamDriver.Name="ossl"
      )
      
      # Start up listener at port 514
      input(
        type="imtcp"
        port="514"
      )

      注記

      GnuTLS ドライバーが必要な場合は、StreamDriver.Name="gtls" 設定オプションを使用します。x509/name よりも厳密ではない認証モードの詳細は、rsyslog-doc にインストールされているドキュメントを参照してください。

   3. 変更を /etc/rsyslog.d/securelogser.conf ファイルに保存します。

   4. /etc/rsyslog.conf ファイルの構文と /etc/rsyslog.d/ ディレクトリー内のすべてのファイルを確認します。

      # rsyslogd -N 1
      rsyslogd: version 8.1911.0-2.el8, config validation run (level 1)...
      rsyslogd: End of config validation run. Bye.

   5. Rsyslog サービスがロギングサーバーで実行中で、有効になっていることを確認します。

      # systemctl status rsyslog

   6. rsyslog サービスを再起動します。

      # systemctl restart rsyslog

   7. オプション: Rsyslog が有効になっていない場合は、再起動後に rsyslog サービスが自動的に起動されることを確認してください。

      # systemctl enable rsyslog

2. 暗号化したログをサーバーに送信するようにクライアントを設定するには、以下のコマンドを実行します。

   1. クライアントシステムで、/etc/rsyslog.d/ディレクトリーに、新規ファイル (securelogcli.conf など) を作成します。

   2. /etc/rsyslog.d/securelogcli.conf に以下の行を追加します。

      # Set certificate files
      global(
        DefaultNetstreamDriverCAFile="/etc/pki/ca-trust/source/anchors/ca-cert.pem"
        DefaultNetstreamDriverCertFile="/etc/pki/ca-trust/source/anchors/client-cert.pem"
        DefaultNetstreamDriverKeyFile="/etc/pki/ca-trust/source/anchors/client-key.pem"
      )
      
      
      # Set up the action for all messages
      *.* action(
        type="omfwd"
        StreamDriver="ossl"
        StreamDriverMode="1"
        StreamDriverPermittedPeers="server.example.com"
        StreamDriverAuthMode="x509/name"
        target="server.example.com" port="514" protocol="tcp"
      )

      注記

      GnuTLS ドライバーが必要な場合は、StreamDriver.Name="gtls" 設定オプションを使用します。

   3. 変更を /etc/rsyslog.d/securelogcli.conf ファイルに保存します。

   4. /etc/rsyslog.conf ファイルの構文と /etc/rsyslog.d/ ディレクトリー内のその他のファイルを確認します。

      # rsyslogd -N 1
      rsyslogd: version 8.1911.0-2.el8, config validation run (level 1)...
      rsyslogd: End of config validation run. Bye.

   5. Rsyslog サービスがロギングサーバーで実行中で、有効になっていることを確認します。

      # systemctl status rsyslog

   6. rsyslog サービスを再起動します。

      # systemctl restart rsyslog

   7. オプション: Rsyslog が有効になっていない場合は、再起動後に rsyslog サービスが自動的に起動されることを確認してください。

      # systemctl enable rsyslog

1. クライアントシステムで、テストメッセージを送信します。

   # logger test

2. サーバーシステムで、/var/log/messages ログを表示します。以下に例を示します。

   # cat /var/log/remote/msg/<hostname>/root.log
   Feb 25 03:53:17 <hostname> root[6064]: test

   <hostname> はクライアントシステムのホスト名です。ログには、logger コマンドを入力したユーザーのユーザー名 (この場合は root) が含まれていることに注意してください。

手順

1. 必要に応じて、デフォルトのポート 514 以外の rsyslog トラフィックに別のポートを使用するには、次のコマンドを実行します。

   1. SELinux ポリシー設定に syslogd_port_t SELinux タイプを追加し、portno は rsyslog で使用するポート番号に置き換えます。

      # semanage port -a -t syslogd_port_t -p udp portno

   2. rsyslog の受信トラフィックを許可するように firewalld を設定します。portno はポート番号に、zone は rsyslog が使用するゾーンに置き換えます。

      # firewall-cmd --zone=zone --permanent --add-port=portno/udp
      success
      # firewall-cmd --reload

   3. ファイアウォールルールを再読み込みします。

      # firewall-cmd --reload

2. /etc/rsyslog.d/ ディレクトリーに .conf の新規ファイル (例: remotelogserv.conf) を作成し、以下のコンテンツを挿入します。

   # Define templates before the rules that use them
   # Per-Host templates for remote systems
   template(name="TmplAuthpriv" type="list") {
       constant(value="/var/log/remote/auth/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   template(name="TmplMsg" type="list") {
       constant(value="/var/log/remote/msg/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   # Provides UDP syslog reception
   module(load="imudp")
   
   # This ruleset processes remote messages
   ruleset(name="remote1"){
        authpriv.*   action(type="omfile" DynaFile="TmplAuthpriv")
         *.info;mail.none;authpriv.none;cron.none
   action(type="omfile" DynaFile="TmplMsg")
   }
   
   input(type="imudp" port="514" ruleset="remote1")

   514 は、rsyslog がデフォルトで使用するポート番号です。代わりに別のポートを指定できます。

3. /etc/rsyslog.conf ファイルの構文と /etc/rsyslog.d/ ディレクトリー内の全 .conf ファイルを確認します。

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-2.el8, config validation run...

4. rsyslog サービスを再起動します。

   # systemctl restart rsyslog

5. 必要に応じて、rsyslog が有効になっていない場合は、再起動後に rsyslog サービスが自動的に起動するようにします。

   # systemctl enable rsyslog

手順

1. /etc/rsyslog.d/ ディレクトリーに .conf の新規ファイル (例: 10-remotelogcli.conf) を作成し、以下のコンテンツを挿入します。

   *.* action(type="omfwd"
         queue.type="linkedlist"
         queue.filename="example_fwd"
         action.resumeRetryCount="-1"
         queue.saveOnShutdown="on"
         target="example.com" port="portno" protocol="udp"
        )

   ここでは、以下のようになります。

   • queue.type="linkedlist" 設定は、LinkedList インメモリーキューを有効にします。
   • queue.filename 設定は、ディスクストレージを定義します。バックアップファイルは、前のグローバルの workDirectory ディレクティブで指定された作業ディレクトリーに example_fwd 接頭辞を付けて作成されます。
   • action.resumeRetryCount -1 設定は、サーバーが応答しない場合に接続を再試行するときに rsyslog がメッセージを破棄しないようにします。
   • queue.saveOnShutdown="on" 設定を有効にすると、rsyslog がシャットダウンした場合にインメモリーデータが保存されます。
   • portno 値は、rsyslog で使用するポート番号です。デフォルト値は 514 です。

   • 最後の行は受信メッセージをすべてロギングサーバーに転送します。ポートの指定は任意です。

     この設定では、rsyslog はメッセージをサーバーに送信しますが、リモートサーバーに到達できない場合には、メッセージをメモリーに保持します。ディスク上にあるファイルは、設定されたメモリーキュー領域が rsyslog で不足するか、シャットダウンする必要がある場合にのみ作成されます。これにより、システムパフォーマンスが向上します。

   注記

   Rsyslog は設定ファイル /etc/rsyslog.d/ を字句順に処理します。

2. rsyslog サービスを再起動します。

   # systemctl restart rsyslog

3. 必要に応じて、rsyslog が有効になっていない場合は、再起動後に rsyslog サービスが自動的に起動するようにします。

   # systemctl enable rsyslog

1. クライアントシステムで、テストメッセージを送信します。

   # logger test

2. サーバーシステムで、/var/log/remote/msg/hostname/root.log ログを表示します。以下に例を示します。

   # cat /var/log/remote/msg/hostname/root.log
   Feb 25 03:53:17 hostname root[6064]: test

   hostname はクライアントシステムのホスト名です。ログには、logger コマンドを入力したユーザーのユーザー名 (この場合は root) が含まれていることに注意してください。

手順

1. 信頼できるリモートロギング用にクライアントシステムを設定します。

   1. クライアントシステムの /etc/rsyslog.d/ ディレクトリーに、relpclient.conf などと名前を指定して新しい .conf ファイルを作成し、以下のコンテンツを挿入します。

      module(load="omrelp")
      *.* action(type="omrelp" target="_target_IP_" port="_target_port_")

      ここでは、以下のようになります。

      • target_IP は、ロギングサーバーの IP アドレスに置き換えます。
      • target_port はロギングサーバーのポートに置き換えます。
   2. 変更を /etc/rsyslog.d/relpclient.conf ファイルに保存します。

   3. rsyslog サービスを再起動します。

      # systemctl restart rsyslog

   4. 必要に応じて、rsyslog が有効になっていない場合は、再起動後に rsyslog サービスが自動的に起動するようにします。

      # systemctl enable rsyslog

2. 信頼できるリモートロギング用にサーバーシステムを設定します。

   1. サーバーシステムの /etc/rsyslog.d/ ディレクトリーに、relpserv.conf などと名前を指定して新しい .conf ファイルを作成し、以下のコンテンツを挿入します。

      ruleset(name="relp"){
      *.* action(type="omfile" file="_log_path_")
      }
      
      
      module(load="imrelp")
      input(type="imrelp" port="_target_port_" ruleset="relp")

      ここでは、以下のようになります。

      • log_path は、メッセージを保存するパスを指定します。
      • target_port はロギングサーバーのポートに置き換えます。クライアント設定ファイルと同じ値を使用します。
   2. /etc/rsyslog.d/relpserv.conf ファイルへの変更を保存します。

   3. rsyslog サービスを再起動します。

      # systemctl restart rsyslog

   4. 必要に応じて、rsyslog が有効になっていない場合は、再起動後に rsyslog サービスが自動的に起動するようにします。

      # systemctl enable rsyslog

1. クライアントシステムで、テストメッセージを送信します。

   # logger test

2. サーバーシステムで、指定された log_path でログを表示します。以下に例を示します。

   # cat /var/log/remote/msg/hostname/root.log
   Feb 25 03:53:17 hostname root[6064]: test

   hostname はクライアントシステムのホスト名です。ログには、logger コマンドを入力したユーザーのユーザー名 (この場合は root) が含まれていることに注意してください。

手順

1. netconsole-service パッケージをインストールします。

   # yum install netconsole-service

2. /etc/sysconfig/netconsole ファイルを編集し、SYSLOGADDR パラメーターをリモートホストの IP アドレスに設定します。

   # SYSLOGADDR=192.0.2.1

3. netconsole サービスを有効にして起動します。

   # systemctl enable --now netconsole

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Deploy the logging solution
     hosts: managed-node-01.example.com
     tasks:
       - name: Filter logs based on a specific value they contain
         ansible.builtin.include_role:
           name: rhel-system-roles.logging
         vars:
           logging_inputs:
             - name: files_input
               type: basics
           logging_outputs:
             - name: files_output0
               type: files
               property: msg
               property_op: contains
               property_value: error
               path: /var/log/errors.log
             - name: files_output1
               type: files
               property: msg
               property_op: "!contains"
               property_value: error
               path: /var/log/others.log
           logging_flows:
             - name: flow0
               inputs: [files_input]
               outputs: [files_output0, files_output1]

   サンプル Playbook で指定されている設定は次のとおりです。

   logging_inputs

   ロギングの入力ディクショナリーのリストを定義します。type: basics オプションを指定すると、systemd ジャーナルまたは Unix ソケットからの入力が対象になります。

   logging_outputs

   ロギングの出力ディクショナリーのリストを定義します。type: files オプションにより、ローカルファイル (通常は /var/log/ ディレクトリー内) にログを保存できます。property: msg、property: contains、および property_value: error オプションを指定すると、error 文字列を含むすべてのログが /var/log/errors.log ファイルに保存されます。property: msg、property: !contains、および property_value: error オプションを指定すると、他のすべてのログが /var/log/others.log ファイルに保存されます。error 値は、フィルタリングする必要がある文字列に置き換えることができます。

   logging_flows

   ロギングのフローディクショナリーのリストを定義して、logging_inputs と logging_outputs の関係を指定します。inputs: [files_input] オプションは、ログの処理を開始する入力のリストを指定します。outputs: [files_output0, files_output1] オプションは、ログ送信先の出力のリストを指定します。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.logging/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

検証

1. 管理対象ノードで、/etc/rsyslog.conf ファイルの構文をテストします。

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-6.el8, config validation run...
   rsyslogd: End of config validation run. Bye.

2. 管理対象ノードで、システムが error 文字列を含むメッセージをログに送信することを確認します。

   1. テストメッセージを送信します。

      # logger error

   2. 以下のように /var/log/errors.log ログを表示します。

      # cat /var/log/errors.log
      Aug  5 13:48:31 hostname root[6778]: error

      hostname はクライアントシステムのホスト名に置き換えます。ログには、logger コマンドを入力したユーザーのユーザー名 (この場合は root) が含まれていることに注意してください。

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Deploy the logging solution
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure the server to receive remote input
         ansible.builtin.include_role:
           name: rhel-system-roles.logging
         vars:
           logging_inputs:
             - name: remote_udp_input
               type: remote
               udp_ports: [ 601 ]
             - name: remote_tcp_input
               type: remote
               tcp_ports: [ 601 ]
           logging_outputs:
             - name: remote_files_output
               type: remote_files
           logging_flows:
             - name: flow_0
               inputs: [remote_udp_input, remote_tcp_input]
               outputs: [remote_files_output]
   
   - name: Deploy the logging solution
     hosts: managed-node-02.example.com
     tasks:
       - name: Configure the server to output the logs to local files in directories named by remote host names
         ansible.builtin.include_role:
           name: rhel-system-roles.logging
         vars:
           logging_inputs:
             - name: basic_input
               type: basics
           logging_outputs:
             - name: forward_output0
               type: forwards
               severity: info
               target: <host1.example.com>
               udp_port: 601
             - name: forward_output1
               type: forwards
               facility: mail
               target: <host1.example.com>
               tcp_port: 601
           logging_flows:
             - name: flows0
               inputs: [basic_input]
               outputs: [forward_output0, forward_output1]
   
   [basic_input]
   [forward_output0, forward_output1]

   サンプル Playbook の最初のプレイで指定されている設定は次のとおりです。

   logging_inputs

   ロギングの入力ディクショナリーのリストを定義します。type: remote オプションを指定すると、ネットワークを介した他のロギングシステムからのリモート入力が対象になります。udp_ports: [ 601 ] オプションは、監視する UDP ポート番号のリストを定義します。tcp_ports: [ 601 ] オプションは、監視する TCP ポート番号のリストを定義します。udp_ports と tcp_ports の両方が設定されている場合、udp_ports が使用され、tcp_ports は削除されます。

   logging_outputs

   ロギングの出力ディクショナリーのリストを定義します。type: remote_files オプションを指定すると、ログの送信元であるリモートホストとプログラム名ごとに、出力がローカルファイルに保存されます。

   logging_flows

   ロギングのフローディクショナリーのリストを定義して、logging_inputs と logging_outputs の関係を指定します。inputs: [remote_udp_input、remote_tcp_input] オプションは、ログの処理を開始する入力のリストを指定します。outputs: [remote_files_output] オプションは、ログ送信先の出力のリストを指定します。

   サンプル Playbook の 2 番目のプレイで指定されている設定は次のとおりです。

   logging_inputs

   ロギングの入力ディクショナリーのリストを定義します。type: basics オプションを指定すると、systemd ジャーナルまたは Unix ソケットからの入力が対象になります。

   logging_outputs

   ロギングの出力ディクショナリーのリストを定義します。type: forwards オプションにより、ネットワーク経由でリモートログサーバーにログを送信できます。severity: info オプションは、重大度が情報のログメッセージを示します。facility: mail オプションは、ログメッセージを生成するシステムプログラムの種類を示します。target: <host1.example.com> オプションは、リモートログサーバーのホスト名を指定します。udp_port: 601/tcp_port: 601 オプションは、リモートログサーバーがリッスンする UDP/TCP ポートを定義します。

   logging_flows

   ロギングのフローディクショナリーのリストを定義して、logging_inputs と logging_outputs の関係を指定します。inputs: [basic_input] オプションは、ログの処理を開始する入力のリストを指定します。outputs: [forward_output0, forward_output1] オプションは、ログ送信先の出力のリストを指定します。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.logging/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

検証

1. クライアントとサーバーシステムの両方で、/etc/rsyslog.conf ファイルの構文をテストします。

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-6.el8, config validation run (level 1), master config /etc/rsyslog.conf
   rsyslogd: End of config validation run. Bye.

2. クライアントシステムがサーバーにメッセージを送信することを確認します。

   1. クライアントシステムで、テストメッセージを送信します。

      # logger test

   2. サーバーシステムで、/var/log/<host2.example.com>/messages ログを表示します。次に例を示します。

      # cat /var/log/<host2.example.com>/messages
      Aug  5 13:48:31 <host2.example.com> root[6778]: test

      <host2.example.com> は、クライアントシステムのホスト名に置き換えます。ログには、logger コマンドを入力したユーザーのユーザー名 (この場合は root) が含まれていることに注意してください。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Logs をクリックします。

   

3. リストからログを確認するログエントリーをクリックして、ログエントリーの詳細を開きます。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Logs をクリックします。

3. コンソールデフォルトでは、Web コンソールには最新のログエントリーが表示されます。別の時間範囲でフィルタリングするには、Time ドロップダウンメニューをクリックして、希望するオプションを選択します。

   

4. 重大度ログのリストは、デフォルトで エラー以上のレベル が表示されます。優先度のフィルタリングを変更するには、ドロップダウンメニューの エラー以上のレベル をクリックして、優先度を選択します。

   

5. デフォルトでは、Web コンソールにはすべての識別子のログが表示されます。特定のサービスのログをフィルタリングするには、All ドロップダウンメニューをクリックして、識別子を選択します。

   

6. ログエントリーを開くには、選択したログをクリックします。

1. フィールドを検索するには、identifier:systemd since:2020-10-22 JOB_TYPE=start,restart と入力します。

2. 結果を確認します。

   

1. 検索フィールドに service:cockpit boot:-1 error|fail と入力します。

2. 結果を確認します。

   

手順

1. RHEL Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Logs をクリックします。

3. ドロップダウンメニューを使用して、3 つの主要なフィルタリング対象の数量 (時間範囲、優先順位、識別子) (フィルタリングする) を指定します。

   優先順位 の数量には常に値が必要です。これを指定しない場合、Error and above の優先度が自動的にフィルターされます。テキスト検索ボックスに、設定したオプションに注目してください。

4. フィルターするログフィールドを指定します。

   ログフィールドは複数追加できます。

5. 自由形式文字列を使用して他の文字を検索できます。検索ボックスにも正規表現も使用できます。

1. 任意のエディターで /etc/login.defs ファイルを開きます。

2. UID の自動選択の最小値を定義する行を見つけます。

   # Min/max values for automatic uid selection in useradd
   #
   UID_MIN                  1000

3. UID_MIN の値を 5000 から開始するように変更します。

   # Min/max values for automatic uid selection in useradd
   #
   UID_MIN                  5000

4. GID の自動選択の最小値を定義する行を見つけます。

   # Min/max values for automatic gid selection in groupadd
   #
   GID_MIN                  1000

5. GID_MIN の値を 5000 から開始するように変更します。

   # Min/max values for automatic gid selection in groupadd
   #
   GID_MIN                  5000

   通常のユーザーに動的に割り当てられる UID と GID は、5000 から始まります。

   注記

   UID_MIN および GID_MIN の値を変更する前に作成された UID および GID のユーザーおよびグループは変更されません。

   これにより、新規ユーザーのグループに UID および GID と同じ 5000+ ID を持たせることができます。

   警告

   上限が 1000 のシステムとの競合を回避するため、SYS_UID_MAX を変更して、システムが予約している ID を 1000 以上にしないようにしてください。

手順

1. ディレクトリーを作成します。

   # mkdir directory-name

   directory-name は、ディレクトリー名に置き換えます。

2. グループを作成します。

   # groupadd group-name

   group-name は、グループ名に置き換えます。

3. ユーザーをグループに追加します。

   # usermod --append -G group-name username

   group-name はグループ名に、username はユーザー名に置き換えます。

4. ディレクトリーのユーザーとグループの所有権は、group-name グループに関連付けます。

   # chgrp group-name directory-name

   group-name はグループ名に、directory-name はディレクトリー名に置き換えます。

5. ファイルおよびディレクトリーを作成および修正し、setgid を設定してこの権限を directory-name ディレクトリー内で適用できるようにします。

   # chmod g+rwxs directory-name

   directory-name は、ディレクトリー名に置き換えます。

   group-name グループのすべてのメンバーが、directory-name ディレクトリーにファイルを作成し、編集できるようになりました。新規に作成されたファイルは、group-name グループの所有権を保持します。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Accounts をクリックします。
3. Create New Account をクリックします。

4. フルネーム フィールドにユーザーの氏名を入力します。

   RHEL Web コンソールは、入力した氏名からユーザー名が自動的に作成され、ユーザー名 フィールドに入力されます。名前の頭文字と、苗字で設定される命名規則を使用しない場合は、入力されたユーザー名を変更します。

5. パスワード/確認 フィールドにパスワードを入力し、再度パスワードを入力します。

   フィールドの下にあるカラーバーは、入力したパスワードの強度を表し、弱いパスワードは使用できないようにします。

6. 作成 をクリックして設定を保存し、ダイアログボックスを閉じます。
7. 新規作成したアカウントを選択します。

8. Groups ドロップダウンメニューで、新しいアカウントに追加するグループを選択します。

   

   これで アカウント 設定に新規アカウントが表示され、認証情報を使用してシステムに接続できるようになりました。

手順

1. RHEL 8 Web コンソールにログインします。
2. Accounts をクリックします。
3. パスワードの有効期限を設定するユーザーアカウントを選択します。

4. Password 行の edit をクリックします。

   

5. Password expiration ダイアログボックスで、Require password change every …​ days を選択し、パスワードの期限が切れるまでの日数 (正の整数) を入力します。

6. Change をクリックします。

   Web コンソールの Password 行に、将来のパスワード変更リクエストの日付がすぐに表示されます。

前提条件:

1. root アクセス
2. 新しいグループが存在する必要があります。

手順

1. システムを再起動し、GRUB ブート画面で e キーを押してブートプロセスを中断します。

   カーネルブートパラメーターが表示されます。

   load_video
   set gfx_payload=keep
   insmod gzio
   linux ($root)/vmlinuz-4.18.0-80.e18.x86_64 root=/dev/mapper/rhel-root ro crash\
   kernel=auto resume=/dev/mapper/rhel-swap rd.lvm.lv/swap rhgb quiet
   initrd ($root)/initramfs-4.18.0-80.e18.x86_64.img $tuned_initrd

2. linux で始まる行の最後に移動します。

   linux ($root)/vmlinuz-4.18.0-80.e18.x86_64 root=/dev/mapper/rhel-root ro crash\
   kernel=auto resume=/dev/mapper/rhel-swap rd.lvm.lv/swap rhgb quiet

   Ctrl+e を押して、行の最後に移動します。

3. rd.break を linux で始まる行の最後に追加します。

   linux ($root)/vmlinuz-4.18.0-80.e18.x86_64 root=/dev/mapper/rhel-root ro crash\
   kernel=auto resume=/dev/mapper/rhel-swap rd.lvm.lv/swap rhgb quiet rd.break

4. Ctrl+x を押して、変更したパラメーターでシステムを起動します。

   switch_root プロンプトが表示されます。

5. ファイルシステムを書き込み可能で再マウントします。

   mount -o remount,rw /sysroot

   ファイルシステムは、/sysroot ディレクトリーに読み取り専用としてマウントされます。書き込み可能なファイルシステムとして再マウントすると、パスワードを変更できます。

6. chroot 環境に入ります。

   chroot /sysroot

   sh-4.4# プロンプトが表示されます。

7. root パスワードをリセットします。

   passwd

   コマンドラインに表示される指示に従って、root パスワードの変更を完了します。

8. 次回のシステム起動時に SELinux の再ラベルプロセスを有効にします。

   touch /.autorelabel

9. chroot 環境を終了します。

   exit

10. switch_root プロンプトを終了します。

    exit

11. SELinux の再ラベルプロセスが終了するまで待機します。大規模なディスクの再ラベルには時間がかかる可能性があることに注意してください。プロセスが完了すると、システムが自動的に再起動します。

検証

1. root パスワードが正常に変更されたことを確認するには、通常のユーザーとしてログインし、ターミナルを開きます。

2. root としてインタラクティブシェルを実行します。

   $ su

3. 新しい root パスワードを入力します。

4. 現在の実効ユーザー ID に関連付けられたユーザー名を出力します。

   # whoami

   返される出力は以下のとおりです。

   root

手順

1. root として、エディターで /etc/bashrc ファイルを開きます。

2. 以下のセクションを変更して、新しいデフォルトの bash umask を設定します。

       if [ $UID -gt 199 ] && [ “id -gn” = “id -un” ]; then
          umask 002
       else
          umask 022
       fi

   umask (002) のデフォルト値を別の進数値に置き換えます。詳細は、ユーザーファイル作成モードマスクを参照してください。

3. 変更を保存し、エディターを終了します。

手順

1. root として、エディターで /etc/profile ファイルを開きます。

2. 以下のセクションを変更して、新しいデフォルトの bash umask を設定します。

   if [ $UID -gt 199 ] && [ “/usr/bin/id -gn” = “/usr/bin/id -un” ]; then
       umask 002
   else
       umask 022
   fi

   umask (022) のデフォルト値を別の 8 進数値に置き換えます。詳細は、ユーザーファイル作成モードマスクを参照してください。

3. 変更を保存し、エディターを終了します。

手順

1. root として、エディターで /etc/login.defs ファイルを開きます。

2. 以下のセクションを変更して、HOME_MODE のデフォルトを新規設定します。

   # HOME_MODE is used by useradd(8) and newusers(8) to set the mode for new
   # home directories.
   # If HOME_MODE is not set, the value of UMASK is used to create the mode.
   HOME_MODE       0700

   デフォルトの 8 進数値 (0700) を別の 8 進数値に置き換えます。選択したモードは、ホームディレクトリーのパーミッションの作成に使用されます。

3. HOME_MODE が設定されている場合は、変更を保存してエディターを終了します。

4. HOME_MODE が設定されていない場合は、UMASK を変更して、新しく作成されたホームディレクトリーにモードを設定します。

   # Default initial "umask" value used by login(1) on non-PAM enabled systems.
   # Default "umask" value for pam_umask(8) on PAM enabled systems.
   # UMASK is also used by useradd(8) and newusers(8) to set the mode for new
   # home directories if HOME_MODE is not set.
   # 022 is the default value, but 027, or even 077, could be considered
   # for increased privacy. There is no One True Answer here: each sysadmin
   # must make up their mind.
   
   UMASK           022

   デフォルトの 8 進数値 (022) を別の 8 進数値に置き換えます。詳細は、ユーザーファイル作成モードマスクを参照してください。

5. 変更を保存し、エディターを終了します。

手順

1. systemd がシステムを起動するために使用する現在のデフォルトのターゲットユニットを確認します。

   # systemctl get-default
   graphical.target

2. 現在ロードされているターゲットをリストします。

   # systemctl list-units --type target

3. 別のターゲットユニットをデフォルトで使用するようにシステムを設定します。

   # systemctl set-default <name>.target

   <name> は、デフォルトで使用するターゲットユニットの名前に置き換えます。

   Example:
   # systemctl set-default multi-user.target
   Removed /etc/systemd/system/default.target
   Created symlink /etc/systemd/system/default.target -> /usr/lib/systemd/system/multi-user.target

4. デフォルトのターゲットユニットを確認します。

   # systemctl get-default
   multi-user.target

5. リブートして変更を適用します。

   # reboot

手順

1. オプション: 現在のターゲットを決定します。

   # systemctl get-default
   graphical.target

2. オプション: 選択できるターゲットのリストを表示します。

   # systemctl list-units --type target

   注記

   ユニットファイルに AllowIsolate=yes オプションが設定されているターゲットのみを分離できます。

3. 現在のブートで別のターゲットユニットに変更します。

   # systemctl isolate <name>.target

   <name> は、現在のブートで使用するターゲットユニットの名前に置き換えます。

   Example:
   # systemctl isolate multi-user.target

   このコマンドは、multi-user という名前のターゲットユニットとすべての従属ユニットを起動し、他のすべてのユニットをただちに停止します。

手順

1. システムを再起動し、通常のブートを開始する Enter キー以外の任意のキーを押してブートローダーメニューのカウントダウンを中断します。
2. 開始するカーネルエントリーにカーソルを移動します。
3. E キーを押して、現在のエントリーを編集します。

4. linux で始まる行の末尾に移動し、Ctrl+E を押して行の末尾にジャンプします。

   linux ($root)/vmlinuz-5.14.0-70.22.1.e19_0.x86_64 root=/dev/mapper/rhel-root ro crash\
   kernel=auto resume=/dev/mapper/rhel-swap rd.lvm.lv/swap rhgb quiet

5. 別のブートターゲットを選択するには、linux で始まる行の末尾に systemd.unit= パラメーターを追加します。

   linux ($root)/vmlinuz-5.14.0-70.22.1.e19_0.x86_64 root=/dev/mapper/rhel-root ro crash\
   kernel=auto resume=/dev/mapper/rhel-swap rd.lvm.lv/swap rhgb quiet systemd.unit=<name>.target

   <name> は、使用するターゲットユニットの名前に置き換えます。たとえば、systemd.unit=emergency.target です。

6. Ctrl+X を押して、これらの設定で起動します。