システムデザインガイド

手順

1. RHEL Image Builder とその他の必要なパッケージをインストールします。

   # yum install osbuild-composer composer-cli cockpit-composer

   • osbuild-composer - カスタマイズした RHEL オペレーティングシステムイメージをビルドするサービス。
   • composer-cli - このパッケージにより、CLI インターフェイスへのアクセスが可能になります。
   • cockpit-composer - このパッケージにより、Web UI インターフェイスへのアクセスが可能になります。Web コンソールは、cockpit-composer パッケージの依存関係としてインストールされます。

2. RHEL Image Builder ソケットを有効にして起動します。

   # systemctl enable --now osbuild-composer.socket

3. Web コンソールで RHEL Image Builder を使用する場合は、それを有効にして起動します。

   # systemctl enable --now cockpit.socket

   osbuild-composer サービスと cockpit サービスは、最初のアクセス時に自動的に起動します。

4. ログアウトおよびログインしなくても composer-cli コマンドのオートコンプリート機能がすぐに動作するように、シェル設定スクリプトをロードします。

   $ source /etc/bash_completion.d/composer-cli

5. RHEL ホストで実行中の osbuild-composer サービスを再起動します。

   # systemctl restart osbuild-composer

手順

1. osbuild-composer バックエンドを削除します。

   # yum remove osbuild-composer
   # yum remove weldr-client

2. /etc/yum.conf ファイルで、osbuild-composer パッケージの除外エントリーを追加します。

   # cat /etc/yum.conf
   [main]
   gpgcheck=1
   installonly_limit=3
   clean_requirements_on_remove=True
   best=True
   skip_if_unavailable=False
   exclude=osbuild-composer weldr-client

3. lorax-composer パッケージをインストールします。

   # yum install lorax-composer composer-cli

4. lorax-composer サービスを有効にして開始し、再起動するたびに開始します。

   # systemctl enable --now lorax-composer.socket
   # systemctl start lorax-composer

1. ブループリントを作成するか、既存のブループリント定義をプレーンテキストファイルにエクスポート (保存) します。
2. テキストエディターでこのファイルを編集します。
3. ブループリントテキストファイルを Image Builder にインポートします。
4. Compose を実行して、ブループリントからイメージをビルドします。
5. イメージファイルをエクスポートしてダウンロードします。

手順

1. 次の内容のプレーンテキストファイルを作成します。

   name = "BLUEPRINT-NAME"
   description = "LONG FORM DESCRIPTION TEXT"
   version = "0.0.1"
   modules = []
   groups = []

   BLUEPRINT-NAME および LONG FORM DESCRIPTION TEXT は、ブループリントの名前および説明に置き換えます。

   0.0.1 は、セマンティックバージョニングスキームに従ってバージョン番号に置き換えます。

2. ブループリントに含まれるすべてのパッケージに、次の行をファイルに追加します。

   [[packages]]
   name = "package-name"
   version = "package-version"

   package-name は、httpd、gdb-doc、coreutils などのパッケージ名に置き換えます。

   必要に応じて、package-version を使用するバージョンに置き換えます。このフィールドは、dnf バージョンの指定に対応します。

   • 特定のバージョンについては、8.7.0 などの正確なバージョン番号を使用してください。
   • 利用可能な最新バージョンについては、アスタリスク * を使用してください。
   • 最新のマイナーバージョンを指定する場合は、8.* などの形式を使用してください。

3. ニーズに合わせてブループリントをカスタマイズします。たとえば、Simultaneous Multi Threading (SMT) を無効にするには、ブループリントファイルに次の行を追加します。

   [customizations.kernel]
   append = "nosmt=force"

   その他に利用できるカスタマイズについては、サポートされているイメージのカスタマイズ を参照してください。

   [] と [[]] は TOML で表現される異なるデータ構造であることに注意してください。

   • [customizations.kernel] ヘッダーは、キーと各値のペアの集合によって定義される単一のテーブルを表します (例: append = "nosmt=force")。
   • [[packages]] ヘッダーはテーブルの配列を表します。最初のインスタンスで、配列とその最初のテーブル要素を定義します (例: name = "package-name"、version = "package-version")。後続の各インスタンスで、指定の順序で、その配列内に新しいテーブル要素を作成して定義します。
4. たとえば、ファイルを BLUEPRINT-NAME.toml として保存し、テキストエディターを閉じます。

5. ブループリントをプッシュします。

   # composer-cli blueprints push BLUEPRINT-NAME.toml

   BLUEPRINT-NAME は、前の手順で使用した値に置き換えます。

   注記

   composer-cli を非 root として使用してイメージを作成するには、ユーザーを weldr または root グループに追加します。

   # usermod -a -G weldr user
   $ newgrp weldr

手順

1. 既存のブループリントをリストします。

   # composer-cli blueprints list

2. ブループリントをローカルテキストファイルに保存します。

   # composer-cli blueprints save BLUEPRINT-NAME

3. BLUEPRINT-NAME .toml ファイルをテキストエディターで編集し、変更を加えます。

4. 編集を完了する前に、ファイルが有効なブループリントであることを確認します。

   1. ブループリントに次の行が存在する場合は、それを削除します。

      packages = []

   2. たとえば、バージョン番号を 0.0.1 から 0.1.0 に増やします。RHEL Image Builder のブループリントバージョンでは、セマンティックバージョニングスキームを使用する必要があります。また、バージョンを変更しない場合、パッチバージョンコンポーネントが自動的に増加することにも注意してください。
5. ファイルを保存し、テキストエディターを閉じます。

6. ブループリントを RHEL Image Builder にプッシュして戻します。

   # composer-cli blueprints push BLUEPRINT-NAME.toml

   注記

   ブループリントを RHEL Image Builder にインポートして戻すには、.toml 拡張子を含むファイル名を指定しますが、他のコマンドではブループリント名のみを使用します。

検証

1. RHEL Image Builder にアップロードした内容が編集内容と一致することを確認するには、ブループリントの内容をリストします。

   # composer-cli blueprints show BLUEPRINT-NAME

2. ブループリントに記載されているコンポーネントおよびバージョンと、その依存関係が有効かどうかを確認します。

   # composer-cli blueprints depsolve BLUEPRINT-NAME

手順

1. オプション: 作成できるイメージ形式をリストします。

   # composer-cli compose types

2. Compose を起動します。

   # composer-cli compose start BLUEPRINT-NAME IMAGE-TYPE

   BLUEPRINT-NAME をブループリントの名前に、IMAGE-TYPE をイメージのタイプに置き換えます。使用可能な値は、composer-cli compose types コマンドの出力を参照してください。

   作成プロセスはバックグラウンドで開始され、作成者の Universally Unique Identifier (UUID) が表示されます。

3. イメージの作成が完了するまでに最大 10 分かかる場合があります。

   Compose のステータスを確認するには、以下のコマンドを実行します。

   # composer-cli compose status

   Compose が完了すると、ステータスが FINISHED になります。リスト内の Compose を識別するには、その UUID を使用します。

4. Compose プロセスが完了したら、作成されたイメージファイルをダウンロードします。

   # composer-cli compose image UUID

   UUID は、前の手順で示した UUID 値に置き換えます。

手順

1. ホスト上で、Web ブラウザーで https://<_localhost_>:9090/ を開きます。
2. root ユーザーとして Web コンソールにログインします。

3. RHEL Image Builder のコントロールを表示するには、ウィンドウの左上隅にある Image Builder ボタンをクリックします。

   RHEL Image Builder ダッシュボードが開き、既存のブループリントがあればそれがリストされます。

手順

1. 右上隅にある Create Blueprint をクリックします。

   ブループリントの名前と説明のフィールドを含むダイアログウィザードが開きます。

2. Details ページで以下を行います。

   1. ブループリントの名前と、必要に応じてその説明を入力します。
   2. Next をクリックします。

3. オプション: Packages ページで以下を行います。

   1. Available packages の検索で、パッケージ名を入力します。
   2. > ボタンをクリックして Chosen packages フィールドに移動します。
   3. 前の手順を繰り返して、必要な数のパッケージを検索して含めます。

   4. Next をクリックします。

      注記

      特に指定がない限り、これらのカスタマイズはすべてオプションです。

4. Kernel ページで、カーネル名とコマンドライン引数を入力します。

5. File system ページで、お使いのイメージファイルシステムに合わせて Use automatic partitioning または Manually configure partitions を選択します。パーティションを手動で設定するには、次の手順を実行します。

   1. Manually configure partitions ボタンをクリックします。

      Configure partitions セクションが開き、Red Hat 標準およびセキュリティーガイドに基づく設定が表示されます。

   2. ドロップダウンメニューから、パーティションを設定するための詳細を入力します。

      1. Mount point フィールドに、以下のマウントポイントタイプオプションのいずれかを選択します。

         • / - ルートマウントポイント
         • /app
         • /boot
         • /data
         • /home
         • /opt
         • /srv/
         • /usr
         • /usr/local

         • /var

           /tmp などの追加のパスを Mount point に追加することもできます。例: 接頭辞 /var と、追加パス /tmp で、/var/tmp になります。

           注記

           選択した Mount point のタイプに応じて、ファイルシステムのタイプが xfs に変わります。

      2. ファイルシステムの Minimum size partition フィールドに、必要な最小パーティションサイズを入力します。Minimum size ドロップダウンメニューでは、GiB、MiB、KiB などの一般的なサイズ単位を使用できます。デフォルトの単位は GiB です。

         注記

         Minimum size とは、作業用イメージの作成には小さすぎる場合にも RHEL Image Builder がパーティションサイズを増加できるという意味です。

   3. さらにパーティションを追加するには、Add partition ボタンをクリックします。以下のエラーメッセージが表示された場合は、以下を行います。Duplicate partitions:Only one partition at each mount point can be created.

      1. Remove ボタンをクリックして、重複したパーティションを削除します。
      2. 作成するパーティションの新しいマウントポイントを選択します。
   4. パーティションの設定が完了したら、Next をクリックします。

6. Services ページで、サービスを有効または無効にします。

   1. 有効または無効にするサービス名をコンマまたはスペースで区切るか、Enter キーを押して入力します。Next をクリックします。
   2. Enabled services を入力します。
   3. Disabled services を入力します。

7. Firewall ページで、ファイアウォールを設定します。

   1. Ports と、有効または無効にするファイアウォールサービスを入力します。
   2. Add zone ボタンをクリックして、各ゾーンのファイアウォールルールを個別に管理します。Next をクリックします。

8. Users ページで、以下の手順に従ってユーザーを追加します。

   1. Add user をクリックします。
   2. Username、Password、および SSH key を入力します。Server administrator チェックボックスをクリックして、ユーザーを特権ユーザーとしてマークすることもできます。Next をクリックします。

9. Groups ページで、次の手順を実行してグループを追加します。

   1. Add groups ボタンをクリックします。

      1. Group name と Group ID を入力します。グループをさらに追加できます。Next をクリックします。

10. SSH keys ページで、キーを追加します。

    1. Add key ボタンをクリックします。

       1. SSH キーを入力します。
       2. User を入力します。Next をクリックします。

11. Timezone ページで、タイムゾーンを設定します。

    1. Timezone フィールドに、システムイメージに追加するタイムゾーンを入力します。たとえば、次のタイムゾーン形式を追加します。"US/Eastern"。

       タイムゾーンを設定しない場合、システムはデフォルトとして協定世界時 (UTC) を使用します。

    2. NTP servers を入力します。Next をクリックします。

12. Locale ページで、以下の手順を実行します。

    1. Keyboard 検索フィールドに、システムイメージに追加するパッケージ名を入力します。たとえば、["en_US.UTF-8"] と入力します。
    2. Languages 検索フィールドに、システムイメージに追加するパッケージ名を入力します。たとえば、"us" と入力します。Next をクリックします。

13. Others ページで、次の手順を実行します。

    1. Hostname フィールドに、システムイメージに追加するホスト名を入力します。ホスト名を追加しない場合、オペレーティングシステムによってホスト名が決定されます。
    2. Simplifier Installer イメージでのみ必須:Installation Devices フィールドに、システムイメージの有効なノードを入力します。たとえば、dev/sda1 と入力します。Next をクリックします。

14. FDO 用のイメージをビルドする場合にのみ必須: FIDO device onboarding ページで、次の手順を実行します。

    1. Manufacturing server URL フィールドに、次の情報を入力します。

       1. DIUN public key insecure フィールドに、セキュアでない公開鍵を入力します。
       2. DIUN public key hash フィールドに、公開鍵ハッシュを入力します。
       3. DIUN public key root certs フィールドに、公開鍵ルート証明書を入力します。Next をクリックします。

15. OpenSCAP ページで、次の手順を実行します。

    1. Datastream フィールドに、システムイメージに追加する datastream 修復手順を入力します。
    2. Profile ID フィールドに、システムイメージに追加する profile_id セキュリティープロファイルを入力します。Next をクリックします。

16. Ignition を使用するイメージをビルドする場合にのみ必須: Ignition ページで、次の手順を実行します。

    1. Firstboot URL フィールドに、システムイメージに追加するパッケージ名を入力します。
    2. Embedded Data フィールドに、ファイルをドラッグまたはアップロードします。Next をクリックします。
17. .Review ページで、ブループリントの詳細を確認します。Create をクリックします。

手順

1. RHEL Image Builder ダッシュボードで、Import blueprint をクリックします。Import blueprint が開きます。
2. Upload フィールドから、既存のブループリントをドラッグまたはアップロードします。TOML と JSON のどちらかの形式のブループリントを使用できます。
3. Import をクリックします。ダッシュボードに、インポートしたブループリントがリストされます。

手順

1. Image Builder ダッシュボードで、エクスポートするブループリントを選択します。
2. Export blueprint をクリックします。Export blueprint が開きます。

3. Export ボタンをクリックしてブループリントをファイルとしてダウンロードするか、Copy ボタンをクリックしてブループリントをクリップボードにコピーします。

   1. オプション: Copy ボタンをクリックしてブループリントをコピーします。

手順

1. RHEL Image Builder ダッシュボードで、blueprint タブをクリックします。
2. ブループリントのテーブルで、イメージをビルドするブループリントを見つけます。
3. 選択したブループリントの右側で、Create Image をクリックします。Create image ダイアログウィザードが開きます。

4. Image output ページで、次の手順を実行します。

   1. Select a blueprint リストから、必要なイメージのタイプを選択します。

   2. Image output type リストから、必要なイメージの出力タイプを選択します。

      選択したイメージの種類に応じて、さらに詳細を追加する必要があります。

5. Next をクリックします。

6. Review ページで、イメージの作成に関する詳細を確認し、Create image をクリックします。

   イメージのビルドが開始され、完了するまでに最大 20 分かかります。

手順

1. システムに最新 RHSA OVAL 定義をダウンロードします。

   # wget -O - https://www.redhat.com/security/data/oval/v2/RHEL8/rhel-8.oval.xml.bz2 | bzip2 --decompress > rhel-8.oval.xml

2. システムの脆弱性をスキャンし、vulnerability.html ファイルに結果を保存します。

   # oscap oval eval --report vulnerability.html rhel-8.oval.xml

手順

1. システムに最新 RHSA OVAL 定義をダウンロードします。

   # wget -O - https://www.redhat.com/security/data/oval/v2/RHEL8/rhel-8.oval.xml.bz2 | bzip2 --decompress > rhel-8.oval.xml

2. リモートシステムの脆弱性をスキャンし、結果をファイルに保存します。

   # oscap-ssh <username>@<hostname> <port> oval eval --report <scan-report.html> rhel-8.oval.xml

   以下を置き換えます。

   • <username>@<hostname> は、リモートシステムのユーザー名とホスト名に置き換えます。
   • <port> は、リモートシステムにアクセスできるポート番号 (例: 22) です。
   • <scan-report.html> は、oscap がスキャン結果を保存するファイル名です。

手順

1. SCAP Security Guide プロジェクトが提供するセキュリティーコンプライアンスプロファイルで利用可能なファイルをすべて表示します。

   $ ls /usr/share/xml/scap/ssg/content/
   ssg-firefox-cpe-dictionary.xml  ssg-rhel6-ocil.xml
   ssg-firefox-cpe-oval.xml        ssg-rhel6-oval.xml
   …
   ssg-rhel6-ds-1.2.xml          ssg-rhel8-oval.xml
   ssg-rhel8-ds.xml              ssg-rhel8-xccdf.xml
   …

2. oscap info サブコマンドを使用して、選択したデータストリームに関する詳細情報を表示します。データストリームを含む XML ファイルは、名前に -ds 文字列で示されます。Profiles セクションでは、利用可能なプロファイルと、その ID のリストを確認できます。

   $ oscap info /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml
   Profiles:
   …
     Title: Health Insurance Portability and Accountability Act (HIPAA)
       Id: xccdf_org.ssgproject.content_profile_hipaa
     Title: PCI-DSS v3.2.1 Control Baseline for Red Hat Enterprise Linux 8
       Id: xccdf_org.ssgproject.content_profile_pci-dss
     Title: OSPP - Protection Profile for General Purpose Operating Systems
       Id: xccdf_org.ssgproject.content_profile_ospp
   …

3. データストリームファイルからプロファイルを選択し、選択したプロファイルに関する追加情報を表示します。そのためには、oscap info に --profile オプションを指定した後に、直前のコマンドの出力で表示された ID の最後のセクションを指定します。たとえば、HIPPA プロファイルの ID は xccdf_org.ssgproject.content_profile_hipaa で、--profile オプションの値は hipaa です。

   $ oscap info --profile hipaa /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml
   …
   Profile
   	Title: Health Insurance Portability and Accountability Act (HIPAA)
   
   	Description: The HIPAA Security Rule establishes U.S. national standards to protect individuals’ electronic personal health information that is created, received, used, or maintained by a covered entity.
   …

手順

1. ローカルシステムをスキャンして、選択したプロファイルへの準拠を評価し、スキャン結果をファイルに保存します。

   $ oscap xccdf eval --report <scan-report.html> --profile <profileID> /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml

   以下を置き換えます。

   • <scan-report.html> は、oscap がスキャン結果を保存するファイル名です。
   • <profileID> は、システムが準拠する必要があるプロファイル ID (例: hipaa) です。

2. オプション: リモートシステムをスキャンして、選択したプロファイルへの準拠を評価し、スキャン結果をファイルに保存します。

   $ oscap-ssh <username>@<hostname> <port> xccdf eval --report <scan-report.html> --profile <profileID> /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml

   以下を置き換えます。

   • <username>@<hostname> は、リモートシステムのユーザー名とホスト名に置き換えます。
   • <port> は、リモートシステムにアクセスできるポート番号です。
   • <scan-report.html> は、oscap がスキャン結果を保存するファイル名です。
   • <profileID> は、システムが準拠する必要があるプロファイル ID (例: hipaa) です。

手順

1. GNOME Classic デスクトップ環境から SCAP Workbench を実行するには、Super キーを押して アクティビティーの概要 を開き、scap-workbenchと入力して Enterを押します。または、次のコマンドを実行します。

   $ scap-workbench &

2. 以下のオプションのいずれかを使用してセキュリティーポリシーを選択します。

   • 開始ウィンドウの Load Content ボタン
   • Open content from SCAP Security Guide

   • File メニューの Open Other Content で、XCCDF、SCAP RPM、またはデータストリームファイルの各ファイルを検索します。

     

3. Remediate チェックボックスを選択して、システム設定の自動修正を行うことができます。このオプションを有効にすると、SCAP Workbench は、ポリシーにより適用されるセキュリティールールに従ってシステム設定の変更を試みます。このプロセスは、システムスキャン時に失敗した関連チェックを修正する必要があります。

   警告

   修正 オプションが有効な状態でのシステム評価は、慎重に行わないとシステムが機能不全に陥る場合があります。Red Hat は、セキュリティーを強化した修正で加えられた変更を元に戻す自動手段は提供していません。修復は、デフォルト設定の RHEL システムで対応しています。インストール後にシステムが変更した場合は、修正を実行しても、必要なセキュリティープロファイルに準拠しない場合があります。

4. Scan ボタンをクリックし、選択したプロファイルでシステムをスキャンします。

   
5. スキャン結果を XCCDF ファイル、ARF ファイル、または HTML ファイルの形式で保存するには、Save Results コンボボックスをクリックします。HTML Report オプションを選択して、スキャンレポートを、人間が判読できる形式で生成します。XCCDF 形式および ARF (データストリーム) 形式は、追加の自動処理に適しています。3 つのオプションはすべて繰り返し選択できます。
6. 結果ベースの修復をファイルにエクスポートするには、ポップアップメニューの Generate remediation role を使用します。

手順

1. SCAP Workbench を実行し、Open content from SCAP Security Guide または File メニューの Open Other Content を使用してカスタマイズするプロファイルを選択します。

2. 選択したセキュリティープロファイルを必要に応じて調整するには、Customize ボタンをクリックします。

   これにより、元のデータストリームファイルを変更せずに現在選択されているプロファイルを変更できる新しいカスタマイズウィンドウが開きます。新しいプロファイル ID を選択します。

   
3. 論理グループに分けられたルールを持つツリー構造を使用するか、Search フィールドを使用して変更するルールを検索します。

4. ツリー構造のチェックボックスを使用した include ルールまたは exclude ルール、または必要に応じてルールの値を変更します。

   
5. OK ボタンをクリックして変更を確認します。

6. 変更内容を永続的に保存するには、以下のいずれかのオプションを使用します。

   • File メニューの Save Customization Only を使用して、カスタマイズファイルを別途保存します。

   • File メニュー Save All を選択して、すべてのセキュリティーコンテンツを一度に保存します。

     Into a directory オプションを選択すると、SCAP Workbench は、データストリームファイルおよびカスタマイズファイルの両方を、指定した場所に保存します。これはバックアップソリューションとして使用できます。

     As RPM オプションを選択すると、SCAP Workbench に、データストリームファイル、ならびにカスタマイズファイルを含む RPM パッケージの作成を指示できます。これは、リモートでスキャンできないシステムにセキュリティーコンテンツを配布したり、詳細な処理のためにコンテンツを配信するのに便利です。

手順

1. aide パッケージをインストールします。

   # yum install aide

2. 初期データベースを生成します。

   # aide --init
   Start timestamp: 2024-07-08 10:39:23 -0400 (AIDE 0.16)
   AIDE initialized database at /var/lib/aide/aide.db.new.gz
   
   Number of entries:	55856
   
   ---------------------------------------------------
   The attributes of the (uncompressed) database(s):
   ---------------------------------------------------
   
   /var/lib/aide/aide.db.new.gz
   …
     SHA512   : mZaWoGzL2m6ZcyyZ/AXTIowliEXWSZqx
                IFYImY4f7id4u+Bq8WeuSE2jasZur/A4
                FPBFaBkoCFHdoE/FW/V94Q==

3. オプション: デフォルト設定では、aide --init コマンドは、/etc/aide.conf ファイルで定義するディレクトリーとファイルのセットのみを確認します。ディレクトリーまたはファイルを AIDE データベースに追加し、監視パラメーターを変更するには、/etc/aide.conf を変更します。

4. データベースの使用を開始するには、初期データベースのファイル名から末尾の .new を削除します。

   # mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

5. オプション: AIDE データベースの場所を変更するには、/etc/aide.conf ファイルを編集し、DBDIR 値を変更します。追加のセキュリティーのデータベース、設定、/usr/sbin/aide バイナリーファイルを、読み取り専用メディアなどの安全な場所に保存します。

手順

1. 手動でチェックを開始するには、以下を行います。

   # aide --check
   Start timestamp: 2024-07-08 10:43:46 -0400 (AIDE 0.16)
   AIDE found differences between database and filesystem!!
   
   Summary:
     Total number of entries:	55856
     Added entries:		0
     Removed entries:		0
     Changed entries:		1
   
   ---------------------------------------------------
   Changed entries:
   ---------------------------------------------------
   
   f   ...      ..S : /root/.viminfo
   
   ---------------------------------------------------
   Detailed information about changes:
   ---------------------------------------------------
   
   File: /root/.viminfo
     SELinux  : system_u:object_r:admin_home_t:s | unconfined_u:object_r:admin_home
                0                                | _t:s0
   …

2. 少なくとも、AIDE を毎週実行するようにシステムを設定します。最適な設定としては、AIDE を毎日実行します。たとえば、cron コマンドを使用して毎日午前 04:05 に AIDE を実行するようにスケジュールするには、/etc/crontab ファイルに次の行を追加します。

    05 4 * * * root /usr/sbin/aide --check

手順

1. 基本となる AIDE データベースを更新します。

   # aide --update

   aide --update コマンドは、/var/lib/aide/aide.db.new.gz データベースファイルを作成します。

2. 整合性チェックで更新したデータベースを使用するには、ファイル名から末尾の .new を削除します。

手順

1. 暗号化するデバイスにあるファイルシステムのマウントをすべて解除します。次に例を示します。

   # umount /dev/mapper/vg00-lv00

2. LUKS ヘッダーを保存するための空き容量を確認します。シナリオに合わせて、次のいずれかのオプションを使用します。

   • 論理ボリュームを暗号化する場合は、以下のように、ファイルシステムのサイズを変更せずに、論理ボリュームを拡張できます。以下に例を示します。

     # lvextend -L+32M /dev/mapper/vg00-lv00

   • parted などのパーティション管理ツールを使用してパーティションを拡張します。
   • このデバイスのファイルシステムを縮小します。ext2、ext3、または ext4 のファイルシステムには resize2fs ユーティリティーを使用できます。XFS ファイルシステムは縮小できないことに注意してください。

3. 暗号化を初期化します。

   # cryptsetup reencrypt --encrypt --init-only --reduce-device-size 32M /dev/mapper/vg00-lv00 lv00_encrypted
   
   /dev/mapper/lv00_encrypted is now active and ready for online encryption.

4. デバイスをマウントします。

   # mount /dev/mapper/lv00_encrypted /mnt/lv00_encrypted

5. 永続的なマッピングのエントリーを /etc/crypttab ファイルに追加します。

   1. luksUUID を見つけます。

      # cryptsetup luksUUID /dev/mapper/vg00-lv00
      
      a52e2cc9-a5be-47b8-a95d-6bdf4f2d9325

   2. 任意のテキストエディターで /etc/crypttab を開き、このファイルにデバイスを追加します。

      $ vi /etc/crypttab
      
      lv00_encrypted UUID=a52e2cc9-a5be-47b8-a95d-6bdf4f2d9325 none

      a52e2cc9-a5be-47b8-a95d-6bdf4f2d9325 は、デバイスの luksUUID に置き換えます。

   3. dracut で initramfs を更新します。

      $ dracut -f --regenerate-all

6. /etc/fstab ファイルに永続的なマウントのエントリーを追加します。

   1. アクティブな LUKS ブロックデバイスのファイルシステムの UUID を見つけます。

      $ blkid -p /dev/mapper/lv00_encrypted
      
      /dev/mapper/lv00-encrypted: UUID="37bc2492-d8fa-4969-9d9b-bb64d3685aa9" BLOCK_SIZE="4096" TYPE="xfs" USAGE="filesystem"

   2. 任意のテキストエディターで /etc/fstab を開き、このファイルにデバイスを追加します。次に例を示します。

      $ vi /etc/fstab
      
      UUID=37bc2492-d8fa-4969-9d9b-bb64d3685aa9 /home auto rw,user,auto 0

      37bc2492-d8fa-4969-9d9b-bb64d3685aa9 は、ファイルシステムの UUID に置き換えます。

7. オンライン暗号化を再開します。

   # cryptsetup reencrypt --resume-only /dev/mapper/vg00-lv00
   
   Enter passphrase for /dev/mapper/vg00-lv00:
   Auto-detected active dm device 'lv00_encrypted' for data device /dev/mapper/vg00-lv00.
   Finished, time 00:31.130, 10272 MiB written, speed 330.0 MiB/s

検証

1. 既存のデータが暗号化されているかどうかを確認します。

   # cryptsetup luksDump /dev/mapper/vg00-lv00
   
   LUKS header information
   Version: 2
   Epoch: 4
   Metadata area: 16384 [bytes]
   Keyslots area: 16744448 [bytes]
   UUID: a52e2cc9-a5be-47b8-a95d-6bdf4f2d9325
   Label: (no label)
   Subsystem: (no subsystem)
   Flags: (no flags)
   
   Data segments:
     0: crypt
   	offset: 33554432 [bytes]
   	length: (whole device)
   	cipher: aes-xts-plain64
   [...]

2. 暗号化された空のブロックデバイスのステータスを表示します。

   # cryptsetup status lv00_encrypted
   
   /dev/mapper/lv00_encrypted is active and is in use.
     type:    LUKS2
     cipher:  aes-xts-plain64
     keysize: 512 bits
     key location: keyring
     device:  /dev/mapper/vg00-lv00

手順

1. 以下のように、そのデバイスのファイルシステムをすべてアンマウントします。

   # umount /dev/nvme0n1p1

2. 暗号化を初期化します。

   # cryptsetup reencrypt --encrypt --init-only --header /home/header /dev/nvme0n1p1 nvme_encrypted
   
   WARNING!
   ========
   Header file does not exist, do you want to create it?
   
   Are you sure? (Type 'yes' in capital letters): YES
   Enter passphrase for /home/header:
   Verify passphrase:
   /dev/mapper/nvme_encrypted is now active and ready for online encryption.

   /home/header は、独立した LUKS ヘッダーを持つファイルへのパスに置き換えます。後で暗号化したデバイスのロックを解除するために、独立した LUKS ヘッダーにアクセスできる必要があります。

3. デバイスをマウントします。

   # mount /dev/mapper/nvme_encrypted /mnt/nvme_encrypted

4. オンライン暗号化を再開します。

   # cryptsetup reencrypt --resume-only --header /home/header /dev/nvme0n1p1
   
   Enter passphrase for /dev/nvme0n1p1:
   Auto-detected active dm device 'nvme_encrypted' for data device /dev/nvme0n1p1.
   Finished, time 00m51s,   10 GiB written, speed 198.2 MiB/s

検証

1. 独立したヘッダーがある LUKS2 を使用するブロックデバイスの既存のデータが暗号化されているかどうかを確認します。

   # cryptsetup luksDump /home/header
   
   LUKS header information
   Version:       	2
   Epoch:         	88
   Metadata area: 	16384 [bytes]
   Keyslots area: 	16744448 [bytes]
   UUID:          	c4f5d274-f4c0-41e3-ac36-22a917ab0386
   Label:         	(no label)
   Subsystem:     	(no subsystem)
   Flags:       	(no flags)
   
   Data segments:
     0: crypt
   	offset: 0 [bytes]
   	length: (whole device)
   	cipher: aes-xts-plain64
   	sector: 512 [bytes]
   [...]

2. 暗号化された空のブロックデバイスのステータスを表示します。

   # cryptsetup status nvme_encrypted
   
   /dev/mapper/nvme_encrypted is active and is in use.
     type:    LUKS2
     cipher:  aes-xts-plain64
     keysize: 512 bits
     key location: keyring
     device:  /dev/nvme0n1p1

手順

1. 暗号化した LUKS パーティションとしてパーティションを設定します。

   # cryptsetup luksFormat /dev/nvme0n1p1
   
   WARNING!
   ========
   This will overwrite data on /dev/nvme0n1p1 irrevocably.
   Are you sure? (Type 'yes' in capital letters): YES
   Enter passphrase for /dev/nvme0n1p1:
   Verify passphrase:

2. 暗号化した LUKS パーティションを開きます。

   # cryptsetup open /dev/nvme0n1p1 nvme0n1p1_encrypted
   
   Enter passphrase for /dev/nvme0n1p1:

   これにより、パーティションのロックが解除され、デバイスマッパーを使用してパーティションが新しいデバイスにマッピングされます。暗号化されたデータを上書きしないように、このコマンドは、デバイスが暗号化されたデバイスであり、/dev/mapper/device_mapped_name パスを使用して LUKS を通じてアドレス指定されることをカーネルに警告します。

3. 暗号化されたデータをパーティションに書き込むためのファイルシステムを作成します。このパーティションには、デバイスマップ名を介してアクセスする必要があります。

   # mkfs -t ext4 /dev/mapper/nvme0n1p1_encrypted

4. デバイスをマウントします。

   # mount /dev/mapper/nvme0n1p1_encrypted mount-point

検証

1. 空のブロックデバイスが暗号化されているかどうかを確認します。

   # cryptsetup luksDump /dev/nvme0n1p1
   
   LUKS header information
   Version:       	2
   Epoch:         	3
   Metadata area: 	16384 [bytes]
   Keyslots area: 	16744448 [bytes]
   UUID:          	34ce4870-ffdf-467c-9a9e-345a53ed8a25
   Label:         	(no label)
   Subsystem:     	(no subsystem)
   Flags:       	(no flags)
   
   Data segments:
     0: crypt
   	offset: 16777216 [bytes]
   	length: (whole device)
   	cipher: aes-xts-plain64
   	sector: 512 [bytes]
   [...]

2. 暗号化された空のブロックデバイスのステータスを表示します。

   # cryptsetup status nvme0n1p1_encrypted
   
   /dev/mapper/nvme0n1p1_encrypted is active and is in use.
     type:    LUKS2
     cipher:  aes-xts-plain64
     keysize: 512 bits
     key location: keyring
     device:  /dev/nvme0n1p1
     sector size:  512
     offset:  32768 sectors
     size:    20938752 sectors
     mode:    read/write

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Storage をクリックします。
3. Storage テーブルで、暗号化するストレージデバイスの横にあるメニューボタン ⋮ をクリックします。
4. ドロップダウンメニューから Format を選択します。
5. Encryption field で、暗号化仕様 LUKS1 または LUKS2 を選択します。
6. 新しいパスフレーズを設定し、確認します。
7. オプション: その他の暗号化オプションを変更します。
8. フォーマット設定の最終処理
9. Format をクリックします。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Storage をクリックします。
3. Storage テーブルで、暗号化されたデータを含むディスクを選択します。

4. ディスクページで、Keys セクションまでスクロールし、編集ボタンをクリックします。

   

5. パスフレーズの変更 ダイアログウィンドウで、以下を行います。

   1. 現在のパスフレーズを入力します。
   2. 新しいパスフレーズを入力します。

   3. 新しいパスフレーズを確認します。

      

6. Saveをクリックします。

手順

1. 機密性の高い変数を暗号化されたファイルに保存します。

   1. vault を作成します。

      $ ansible-vault create vault.yml
      New Vault password: <vault_password>
      Confirm New Vault password: <vault_password>

   2. ansible-vault create コマンドでエディターが開いたら、機密データを <key>: <value> 形式で入力します。

      luks_password: <password>

   3. 変更を保存して、エディターを閉じます。Ansible は vault 内のデータを暗号化します。

2. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Manage local storage
     hosts: managed-node-01.example.com
     vars_files:
       - vault.yml
     tasks:
       - name: Create and configure a volume encrypted with LUKS
         ansible.builtin.include_role:
           name: rhel-system-roles.storage
         vars:
           storage_volumes:
             - name: barefs
               type: disk
               disks:
                 - sdb
               fs_type: xfs
               fs_label: <label>
               mount_point: /mnt/data
               encryption: true
               encryption_password: "{{ luks_password }}"

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.storage/README.md ファイルを参照してください。

3. Playbook の構文を検証します。

   $ ansible-playbook --ask-vault-pass --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

4. Playbook を実行します。

   $ ansible-playbook --ask-vault-pass ~/playbook.yml

検証

1. LUKS 暗号化ボリュームの luksUUID 値を見つけます。

   # ansible managed-node-01.example.com -m command -a 'cryptsetup luksUUID /dev/sdb'
   
   4e4e7970-1822-470e-b55a-e91efe5d0f5c

2. ボリュームの暗号化ステータスを表示します。

   # ansible managed-node-01.example.com -m command -a 'cryptsetup status luks-4e4e7970-1822-470e-b55a-e91efe5d0f5c'
   
   /dev/mapper/luks-4e4e7970-1822-470e-b55a-e91efe5d0f5c is active and is in use.
     type:    LUKS2
     cipher:  aes-xts-plain64
     keysize: 512 bits
     key location: keyring
     device:  /dev/sdb
   ...

3. 作成された LUKS 暗号化ボリュームを確認します。

   # ansible managed-node-01.example.com -m command -a 'cryptsetup luksDump /dev/sdb'
   
   LUKS header information
   Version:        2
   Epoch:          3
   Metadata area:  16384 [bytes]
   Keyslots area:  16744448 [bytes]
   UUID:           4e4e7970-1822-470e-b55a-e91efe5d0f5c
   Label:          (no label)
   Subsystem:      (no subsystem)
   Flags:          (no flags)
   
   Data segments:
     0: crypt
           offset: 16777216 [bytes]
           length: (whole device)
           cipher: aes-xts-plain64
           sector: 512 [bytes]
   ...

手順

1. tang パッケージとその依存関係をインストールするには、root で以下のコマンドを実行します。

   # yum install tang

2. 7500/tcp などの不要なポートを選択し、tangd サービスがそのポートにバインドできるようにします。

   # semanage port -a -t tangd_port_t -p tcp 7500

   ポートは 1 つのサービスのみで一度に使用できるため、すでに使用しているポートを使用しようとすると、ValueError:Port already defined エラーが発生します。

3. ファイアウォールのポートを開きます。

   # firewall-cmd --add-port=7500/tcp
   # firewall-cmd --runtime-to-permanent

4. tangd サービスを有効にします。

   # systemctl enable tangd.socket

5. オーバーライドファイルを作成します。

   # systemctl edit tangd.socket

6. 以下のエディター画面で、/etc/systemd/system/tangd.socket.d/ ディレクトリーにある空の override.conf ファイルを開き、次の行を追加して、Tang サーバーのデフォルトのポートを、80 から、以前取得した番号に変更します。

   [Socket]
   ListenStream=
   ListenStream=7500

   重要

   # Anything between here と # Lines below this で始まる行の間に以前のコードスニペットを挿入します。挿入しない場合、システムは変更を破棄します。

7. Ctrl+O と Enter を押し、変更を保存します。Ctrl+X を押してエディターを終了します。

8. 変更した設定を再読み込みします。

   # systemctl daemon-reload

9. 設定が機能していることを確認します。

   # systemctl show tangd.socket -p Listen
   Listen=[::]:7500 (Stream)

10. tangd サービスを開始します。

    # systemctl restart tangd.socket

    tangd が、systemd のソケットアクティベーションメカニズムを使用しているため、最初に接続するとすぐにサーバーが起動します。最初の起動時に、一組の暗号鍵が自動的に生成されます。鍵の手動生成などの暗号化操作を実行するには、jose ユーティリティーを使用します。

手順

1. /var/db/tang 鍵データベースディレクトリーのすべての鍵の名前の前に . を指定して、アドバタイズメントに対して非表示にします。以下の例のファイル名は、Tang サーバーの鍵データベースディレクトリーにある一意のファイル名とは異なります。

   # cd /var/db/tang
   # ls -l
   -rw-r--r--. 1 root root 349 Feb  7 14:55 UV6dqXSwe1bRKG3KbJmdiR020hY.jwk
   -rw-r--r--. 1 root root 354 Feb  7 14:55 y9hxLTQSiSB5jSEGWnjhY8fDTJU.jwk
   # mv UV6dqXSwe1bRKG3KbJmdiR020hY.jwk .UV6dqXSwe1bRKG3KbJmdiR020hY.jwk
   # mv y9hxLTQSiSB5jSEGWnjhY8fDTJU.jwk .y9hxLTQSiSB5jSEGWnjhY8fDTJU.jwk

2. 名前が変更され、Tang サーバーのアドバタ�