25.4. sshd RHEL システムロールを使用して SSH サーバー上のシステム全体の暗号化ポリシーをオーバーライドする

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   - name: Deploy SSH configuration for OpenSSH server
     hosts: managed-node-01.example.com
     tasks:
       - name: Overriding the system-wide cryptographic policy
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.sshd
         vars:
           sshd_sysconfig: true
           sshd_sysconfig_override_crypto_policy: true
           sshd_KexAlgorithms: ecdh-sha2-nistp521
           sshd_Ciphers: aes256-ctr
           sshd_MACs: hmac-sha2-512-etm@openssh.com
           sshd_HostKeyAlgorithms: rsa-sha2-512,rsa-sha2-256

   Copy to Clipboard Toggle word wrap

   サンプル Playbook で指定されている設定は次のとおりです。

   sshd_KexAlgorithms

   たとえば、ecdh-sha2-nistp256、ecdh-sha2-nistp384、ecdh-sha2-nistp521、diffie-hellman-group14-sha1、または diffie-hellman-group-exchange-sha256 などの鍵交換アルゴリズムを選択できます。

   sshd_Ciphers

   たとえば、aes128-ctr、aes192-ctr、または aes256-ctr などの暗号を選択できます。

   sshd_MACs

   たとえば、hmac-sha2-256、hmac-sha2-512、または hmac-sha1 などの MAC を選択できます。

   sshd_HostKeyAlgorithms

   ecdsa-sha2-nistp256、ecdsa-sha2-nistp384、ecdsa-sha2-nistp521、ssh-rsa などの公開鍵アルゴリズムを選択できます。

   Playbook で使用されるすべての変数の詳細は、コントロールノード上の /usr/share/ansible/roles/rhel-system-roles.sshd/README.md ファイルを参照してください。

   RHEL 9 管理対象ノードでは、システムロールによって設定が /etc/ssh/sshd_config.d/00-ansible_system_role.conf ファイルに書き込まれ、暗号化オプションが自動的に適用されます。sshd_config_file 変数を使用してファイルを変更できます。ただし、設定を確実に有効にするために、設定された暗号化ポリシーが含まれる /etc/ssh/sshd_config.d/50-redhat.conf ファイルよりも辞書式順序で前に来るようなファイル名を使用してください。

   RHEL 8 管理対象ノードでは、sshd_sysconfig_override_crypto_policy 変数と sshd_sysconfig 変数を true に設定してオーバーライドを有効にする必要があります。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard Toggle word wrap