RHEL システムイメージのカスタマイズ

手順

1. RHEL Image Builder とその他の必要なパッケージをインストールします。

   # dnf install osbuild-composer composer-cli cockpit-composer

   • osbuild-composer - カスタマイズした RHEL オペレーティングシステムイメージをビルドするサービス。
   • composer-cli - このパッケージにより、CLI インターフェイスへのアクセスが可能になります。
   • cockpit-composer - このパッケージにより、Web UI インターフェイスへのアクセスが可能になります。Web コンソールは、cockpit-composer パッケージの依存関係としてインストールされます。

2. RHEL Image Builder ソケットを有効にして起動します。

   # systemctl enable --now osbuild-composer.socket

3. Web コンソールで RHEL Image Builder を使用する場合は、それを有効にして起動します。

   # systemctl enable --now cockpit.socket

   osbuild-composer サービスと cockpit サービスは、最初のアクセス時に自動的に起動します。

4. ログアウトおよびログインしなくても composer-cli コマンドのオートコンプリート機能がすぐに動作するように、シェル設定スクリプトをロードします。

   $ source /etc/bash_completion.d/composer-cli

5. RHEL ホストで実行中の osbuild-composer サービスを再起動します。

   # systemctl restart osbuild-composer

手順

1. /root/repo.toml などのリポジトリーソースファイルを作成します。以下に例を示します。

   id = "k8s"
   name = "Kubernetes"
   type = "yum-baseurl"
   url = "https://server.example.com/repos/company_internal_packages/"
   check_gpg = false
   check_ssl = false
   system = false

   type フィールドは、有効な値 yum-baseurl、yum-mirrorlist、および yum-metalink を受け入れます。

2. ファイルを TOML 形式で保存します。

3. 新しいサードパーティーソースを RHEL Image Builder に追加します。

   $ composer-cli sources add <file-name>.toml

検証

1. 新しいソースが正常に追加されたかどうかを確認します。

   $ composer-cli sources list

2. 新しいソースコンテンツを確認します。

   $ composer-cli sources info <source_id>

手順

1. /root/repo.toml などのリポジトリーソースファイルを作成します。たとえば、ディストリビューションを指定するには、次のようにします。

   check_gpg = true
   check_ssl = true
   distros = ["rhel-9"]
   id = "rh9-local"
   name = "packages for RHEL"
   system = false
   type = "yum-baseurl"
   url = "https://local/repos/rhel9/projectrepo/"

2. ファイルを TOML 形式で保存します。

3. 新しいサードパーティーソースを RHEL Image Builder に追加します。

   $ composer-cli sources add <file-name>.toml

検証

1. 新しいソースが正常に追加されたかどうかを確認します。

   $ composer-cli sources list

2. 新しいソースコンテンツを確認します。

   $ composer-cli sources info <source_id>

手順

1. リポジトリーを作成するフォルダーにアクセスします。

   $ cd repo/

2. createrepo_c を実行して、RPM パッケージからリポジトリーを作成します。

   $ createrepo_c .

3. リポデータがあるディレクトリーにアクセスします。

   $ cd repodata/

4. repomd.xml ファイルに署名します。

   $ gpg -u <_gpg-key-email_> --yes --detach-sign --armor /srv/repo/example/repomd.xml

5. リポジトリーで GPG 署名チェックを有効にするには、以下を行います。

   1. リポジトリーソースで check_repogpg = true を設定します。

   2. チェックを行う gpgkey を入力します。キーが https 経由で利用できる場合は、gpgkeys フィールドにキーのキー URL を設定します。URL キーは必要なだけ追加できます。

      以下に例を示します。

      check_gpg = true
      check_ssl = true
      id = "signed local packages"
      name = "repository_name"
      type = "yum-baseurl"
      url = "https://local/repos/projectrepo/"
      check_repogpg = true
      gpgkeys=["https://local/keys/repokey.pub"]

      代わりに、たとえば次のように GPG キーを gpgkeys フィールドに直接追加します。

      check_gpg = true
      check_ssl = true
      check_repogpg
      id = "custom-local"
      name = "signed local packages"
      type = "yum-baseurl"
      url = "https://local/repos/projectrepo/"
      gpgkeys=["https://remote/keys/other-repokey.pub",
      '''-----BEGIN PGP PUBLIC KEY BLOCK-----
      …​
      -----END PGP PUBLIC KEY BLOCK-----''']

      • テストで署名が見つからない場合、GPG ツールは次のようなエラーを表示します。

        $ GPG verification is enabled, but GPG signature is not available.
        This may be an error or the repository does not support GPG verification:
        Status code: 404 for http://repo-server/rhel/repodata/repomd.xml.asc (IP: 192.168.1.3)

      • 署名が無効な場合、GPG ツールは次のようなエラーを表示します。

        repomd.xml GPG signature verification error: Bad GPG signature

手順

1. リポジトリーのオーバーライドを保存する /etc/osbuild-composer/repositories/ ディレクトリーを作成します。

   $ sudo mkdir -p /etc/osbuild-composer/repositories

2. RHEL バージョンに対応する名前を使用して、JSON ファイルを作成します。または、配布用のファイルを /usr/share/osbuild-composer/ からコピーして、その内容を変更することもできます。

   RHEL 9.3 の場合は、/etc/osbuild-composer/repositories/rhel-93.json を使用します。

3. 次の構造を JSON ファイルに追加します。次の属性から 1 つだけ文字列形式で指定します。

   • baseurl - リポジトリーのベース URL。
   • metalink - 有効なミラーリポジトリーのリストを含む metallink ファイルの URL。

   • mirrorlist - 有効なミラーリポジトリーのリストを含む mirrorlist ファイルの URL。gpgkey や metadata_expire などの残りのフィールドはオプションです。

     以下に例を示します。

     {
          "x86_64": [
             {
                 "name": "baseos",
                 "baseurl": "http://mirror.example.com/composes/released/RHEL-9/9.0/BaseOS/x86_64/os/",
                 "gpgkey": "-----BEGIN PGP PUBLIC KEY BLOCK-----\n\n (…​)",
                 "check_gpg": true
             }
         ]
     }

     あるいは、rhel-version.json を RHEL のバージョン (例: rhel-9.json) に置き換えて、ディストリビューション用の JSON ファイルをコピーすることもできます。

     $  cp /usr/share/osbuild-composer/repositories/rhel-version.json /etc/osbuild-composer/repositories/

4. オプション: JSON ファイルを確認します。

   $ json_verify  /etc/osbuild-composer/repositories/<file>.json

5. rhel-9.json ファイル内の baseurl パスを編集して保存します。以下に例を示します。

   $ /etc/osbuild-composer/repositories/rhel-version.json

6. osbuild-composer.service を再起動します。

   $ sudo systemctl restart osbuild-composer.service

手順

1. /etc/yum.repos.d/redhat.repo ファイルから baseurl を取得します。

   # cat /etc/yum.repos.d/redhat.repo
   [AppStream]
   name = AppStream mirror example
   baseurl = https://mirror.example.com/RHEL-9/9.0/AppStream/x86_64/os/
   enabled = 1
   gpgcheck = 0
   sslverify = 1
   sslcacert = /etc/pki/ca1/ca.crt
   sslclientkey = /etc/pki/ca1/client.key
   sslclientcert = /etc/pki/ca1/client.crt
   metadata_expire = 86400
   enabled_metadata = 0

2. 同じ baseurl を使用するようにリポジトリーオーバーライドを設定し、rhsm を true に設定します。

   {
       "x86_64": [
           {
               "name": "AppStream mirror example",
               "baseurl": "https://mirror.example.com/RHEL-9/9.0/AppStream/x86_64/os/",
               "gpgkey": "-----BEGIN PGP PUBLIC KEY BLOCK-----\n\n (…​)",
               "check_gpg": true,
               "rhsm": true
           }
       ]
   }

3. osbuild-composer.service を再起動します。

   $ sudo systemctl restart osbuild-composer.service

手順

1. 現在設定されているリポジトリーからリポジトリー URL を見つけます。

   $ sudo yum -v repolist rhel-8-for-x86_64-baseos-rpms | grep repo-baseurl
     Repo-baseurl :

   次の出力は例です。

   https://satellite6.example.com/pulp/content/YourOrg/YourEnv/YourCV/content/dist/rhel8/8/x86_64/baseos/os

2. ハードコードされたリポジトリーを Satellite Server に変更します。

   1. 0755 権限を持つリポジトリーディレクトリーを作成します。

      $ sudo mkdir -pvm 0755 /etc/osbuild-composer/repositories

   2. /usr/share/osbuild-composer/repositories/*.json の内容を、作成したディレクトリーにコピーします。

      $ sudo cp /usr/share/osbuild-composer/repositories/*.json /etc/osbuild-composer/repositories/

   3. /content/dist/* 行を通じて Satellite URL とファイルの内容を更新します。

      $ sudo sed -i -e 's|cdn.redhat.com|satellite6.example.com/pulp/content/YourOrg/YourEnv/YourCV|' /etc/osbuild-composer/repositories/*.json

   4. 設定が正しく置き換えられたことを確認します。

      $ sudo vi /etc/osbuild-composer/repositories/rhel-8.json

3. サービスを再起動します。

   $ sudo systemctl restart osbuild-worker@1.service osbuild-composer.service

4. Red Hat Image Builder 設定で必要なシステムリポジトリーをオーバーライドし、Satellite リポジトリーの URL をベース URL として使用します。システムリポジトリーのオーバーライド を参照してください。

手順

1. Satellite Web UI で、Content > Products に移動し、Product を選択して、使用するリポジトリーをクリックします。
2. Published フィールドで、保護された URL (HTTPS) を検索してコピーします。
3. コピーした URL を Red Hat Image Builder リポジトリーのベース URL として使用します。RHEL Image Builder へのカスタムサードパーティーリポジトリーの追加 を参照してください。

1. ブループリントを作成するか、既存のブループリント定義をプレーンテキストファイルにエクスポート (保存) します。
2. テキストエディターでこのファイルを編集します。
3. ブループリントテキストファイルを Image Builder にインポートします。
4. Compose を実行して、ブループリントからイメージをビルドします。
5. イメージファイルをエクスポートしてダウンロードします。

手順

1. 次の内容のプレーンテキストファイルを作成します。

   name = "BLUEPRINT-NAME"
   description = "LONG FORM DESCRIPTION TEXT"
   version = "0.0.1"
   modules = []
   groups = []

   BLUEPRINT-NAME および LONG FORM DESCRIPTION TEXT は、ブループリントの名前および説明に置き換えます。

   0.0.1 は、セマンティックバージョニングスキームに従ってバージョン番号に置き換えます。

2. ブループリントに含まれるすべてのパッケージに、次の行をファイルに追加します。

   [[packages]]
   name = "package-name"
   version = "package-version"

   package-name は、パッケージ名 (httpd、gdb-doc、coreutils など) に置き換えます。

   必要に応じて、package-version を使用するバージョンに置き換えます。このフィールドは、dnf バージョンの指定に対応します。

   • 特定のバージョンについては、8.7.0 などの正確なバージョン番号を使用してください。
   • 利用可能な最新バージョンについては、アスタリスク * を使用してください。
   • 最新のマイナーバージョンを指定する場合は、8.* などの形式を使用してください。

3. ニーズに合わせてブループリントをカスタマイズします。たとえば、Simultaneous Multi Threading (SMT) を無効にするには、ブループリントファイルに次の行を追加します。

   [customizations.kernel]
   append = "nosmt=force"

   その他に利用できるカスタマイズについては、サポートされているイメージのカスタマイズ を参照してください。

4. たとえば、ファイルを BLUEPRINT-NAME.toml として保存し、テキストエディターを閉じます。

5. ブループリントをプッシュします。

   # composer-cli blueprints push BLUEPRINT-NAME.toml

   BLUEPRINT-NAME は、前の手順で使用した値に置き換えます。

   注記

   composer-cli を非 root として使用してイメージを作成するには、ユーザーを weldr または root グループに追加します。

   # usermod -a -G weldr user
   $ newgrp weldr

手順

1. 既存のブループリントをリストします。

   # composer-cli blueprints list

2. ブループリントをローカルテキストファイルに保存します。

   # composer-cli blueprints save BLUEPRINT-NAME

3. BLUEPRINT-NAME .toml ファイルをテキストエディターで編集し、変更を加えます。

4. 編集を完了する前に、ファイルが有効なブループリントであることを確認します。

   1. ブループリントに次の行が存在する場合は、それを削除します。

      packages = []

   2. たとえば、バージョン番号を 0.0.1 から 0.1.0 に増やします。RHEL Image Builder のブループリントバージョンでは、セマンティックバージョニングスキームを使用する必要があります。また、バージョンを変更しない場合、パッチバージョンコンポーネントが自動的に増加することにも注意してください。
5. ファイルを保存し、テキストエディターを閉じます。

6. ブループリントを RHEL Image Builder にプッシュして戻します。

   # composer-cli blueprints push BLUEPRINT-NAME.toml

   注記

   ブループリントを RHEL Image Builder にインポートして戻すには、.toml 拡張子を含むファイル名を指定しますが、他のコマンドではブループリント名のみを使用します。

検証

1. RHEL Image Builder にアップロードした内容が編集内容と一致することを確認するには、ブループリントの内容をリストします。

   # composer-cli blueprints show BLUEPRINT-NAME

2. ブループリントに記載されているコンポーネントおよびバージョンと、その依存関係が有効かどうかを確認します。

   # composer-cli blueprints depsolve BLUEPRINT-NAME

手順

1. オプション: 作成できるイメージ形式をリストします。

   # composer-cli compose types

2. Compose を起動します。

   # composer-cli compose start BLUEPRINT-NAME IMAGE-TYPE

   BLUEPRINT-NAME をブループリントの名前に、IMAGE-TYPE をイメージのタイプに置き換えます。使用可能な値は、composer-cli compose types コマンドの出力を参照してください。

   作成プロセスはバックグラウンドで開始され、作成者の Universally Unique Identifier (UUID) が表示されます。

3. イメージの作成が完了するまでに最大 10 分かかる場合があります。

   Compose のステータスを確認するには、以下のコマンドを実行します。

   # composer-cli compose status

   Compose が完了すると、ステータスが FINISHED になります。リスト内の Compose を識別するには、その UUID を使用します。

4. Compose プロセスが完了したら、作成されたイメージファイルをダウンロードします。

   # composer-cli compose image UUID

   UUID は、前の手順で示した UUID 値に置き換えます。

手順

1. ホスト上で、Web ブラウザーで https://<_localhost_>:9090/ を開きます。
2. root ユーザーとして Web コンソールにログインします。

3. RHEL Image Builder のコントロールを表示するには、ウィンドウの左上隅にある Image Builder ボタンをクリックします。

   RHEL Image Builder ダッシュボードが開き、既存のブループリントがあればそれがリストされます。

手順

1. 右上隅にある Create Blueprint をクリックします。

   ブループリントの名前と説明のフィールドを含むダイアログウィザードが開きます。

2. Details ページで以下を行います。

   1. ブループリントの名前と、必要に応じてその説明を入力します。
   2. Next をクリックします。

3. オプション: Packages ページで以下を行います。

   1. Available packages の検索で、パッケージ名を入力します。
   2. > ボタンをクリックして Chosen packages フィールドに移動します。
   3. 前の手順を繰り返して、必要な数のパッケージを検索して含めます。

   4. Next をクリックします。

      注記

      特に指定がない限り、これらのカスタマイズはすべてオプションです。

4. Kernel ページで、カーネル名とコマンドライン引数を入力します。

5. File system ページで、お使いのイメージファイルシステムに合わせて Use automatic partitioning または Manually configure partitions を選択します。パーティションを手動で設定するには、次の手順を実行します。

   1. Manually configure partitions ボタンをクリックします。

      Configure partitions セクションが開き、Red Hat 標準およびセキュリティーガイドに基づく設定が表示されます。

   2. ドロップダウンメニューから、パーティションを設定するための詳細を入力します。

      1. Mount point フィールドに、以下のマウントポイントタイプオプションのいずれかを選択します。

         • / - ルートマウントポイント
         • /var
         • /home
         • /opt
         • /srv/
         • /usr
         • /app
         • /data
         • /tmp

         • /usr/local

           /tmp などの追加のパスを Mount point に追加することもできます。例: 接頭辞 /var と、追加パス /tmp で、/var/tmp になります。

           注記

           選択した Mount point のタイプに応じて、ファイルシステムのタイプが xfs に変わります。

      2. ファイルシステムの Minimum size partition フィールドに、必要な最小パーティションサイズを入力します。Minimum size ドロップダウンメニューでは、GiB、MiB、KiB などの一般的なサイズ単位を使用できます。デフォルトの単位は GiB です。

         注記

         Minimum size とは、作業用イメージの作成には小さすぎる場合にも RHEL Image Builder がパーティションサイズを増加できるという意味です。

   3. さらにパーティションを追加するには、Add partition ボタンをクリックします。以下のエラーメッセージが表示された場合は、以下を行います。Duplicate partitions:Only one partition at each mount point can be created.

      1. Remove ボタンをクリックして、重複したパーティションを削除します。
      2. 作成するパーティションの新しいマウントポイントを選択します。
   4. パーティションの設定が完了したら、Next をクリックします。

6. Services ページで、サービスを有効または無効にします。

   1. 有効または無効にするサービス名をコンマまたはスペースで区切るか、Enter キーを押して入力します。Next をクリックします。

7. Firewall ページで、ファイアウォールを設定します。

   1. Ports と、有効または無効にするファイアウォールサービスを入力します。
   2. Add zone ボタンをクリックして、各ゾーンのファイアウォールルールを個別に管理します。Next をクリックします。

8. Users ページで、以下の手順に従ってユーザーを追加します。

   1. Add user をクリックします。
   2. Username、password、および SSH key を入力します。Server administrator チェックボックスをクリックして、ユーザーを特権ユーザーとしてマークすることもできます。Next をクリックします。

9. Groups ページで、次の手順を実行してグループを追加します。

   1. Add groups ボタンをクリックします。

      1. Group name と Group ID を入力します。グループをさらに追加できます。Next をクリックします。

10. SSH keys ページで、キーを追加します。

    1. Add key ボタンをクリックします。

       1. SSH キーを入力します。
       2. User を入力します。Next をクリックします。

11. Timezone ページで、タイムゾーンを設定します。

    1. Timezone フィールドに、システムイメージに追加するタイムゾーンを入力します。たとえば、次のタイムゾーン形式を追加します。"US/Eastern"。

       タイムゾーンを設定しない場合、システムはデフォルトとして協定世界時 (UTC) を使用します。

    2. NTP サーバーを入力します。Next をクリックします。

12. Locale ページで、以下の手順を実行します。

    1. Keyboard 検索フィールドに、システムイメージに追加するパッケージ名を入力します。たとえば、["en_US.UTF-8"] と入力します。
    2. Languages 検索フィールドに、システムイメージに追加するパッケージ名を入力します。たとえば、"us" と入力します。Next をクリックします。

13. Others ページで、次の手順を実行します。

    1. Hostname フィールドに、システムイメージに追加するホスト名を入力します。ホスト名を追加しない場合、オペレーティングシステムによってホスト名が決定されます。
    2. Simplifier Installer イメージでのみ必須:Installation Devices フィールドに、システムイメージの有効なノードを入力します。たとえば、dev/sda1 と入力します。Next をクリックします。

14. FIDO イメージをビルドする場合にのみ必須:FIDO device onboarding ページで、次の手順を実行します。

    1. Manufacturing server URL フィールドに、次の情報を入力します。

       1. DIUN public key insecure フィールドに、セキュアでない公開鍵を入力します。
       2. DIUN public key hash フィールドに、公開鍵ハッシュを入力します。
       3. DIUN public key root certs フィールドに、公開鍵ルート証明書を入力します。Next をクリックします。

15. OpenSCAP ページで、次の手順を実行します。

    1. Datastream フィールドに、システムイメージに追加する datastream 修復手順を入力します。
    2. Profile ID フィールドに、システムイメージに追加する profile_id セキュリティープロファイルを入力します。Next をクリックします。

16. Ignition イメージをビルドする場合にのみ必須:Ignition ページで、次の手順を実行します。

    1. Firstboot URL フィールドに、システムイメージに追加するパッケージ名を入力します。
    2. Embedded Data フィールドに、ファイルをドラッグまたはアップロードします。Next をクリックします。
17. .Review ページで、ブループリントの詳細を確認します。Create をクリックします。

手順

1. RHEL Image Builder ダッシュボードで、Import blueprint をクリックします。Import blueprint が開きます。
2. Upload フィールドから、既存のブループリントをドラッグまたはアップロードします。TOML と JSON のどちらかの形式のブループリントを使用できます。
3. Import をクリックします。ダッシュボードに、インポートしたブループリントがリストされます。

手順

1. Image Builder ダッシュボードで、エクスポートするブループリントを選択します。
2. Export blueprint をクリックします。Export blueprint が開きます。

3. Export ボタンをクリックしてブループリントをファイルとしてダウンロードするか、Copy ボタンをクリックしてブループリントをクリップボードにコピーします。

   1. オプション: Copy ボタンをクリックしてブループリントをコピーします。

手順

1. RHEL Image Builder ダッシュボードで、blueprint タブをクリックします。
2. ブループリントのテーブルで、イメージをビルドするブループリントを見つけます。
3. 選択したブループリントの右側で、Create Image をクリックします。Create image ダイアログウィザードが開きます。

4. Image output ページで、次の手順を実行します。

   1. Select a blueprint リストから、必要なイメージのタイプを選択します。

   2. Image output type リストから、必要なイメージの出力タイプを選択します。

      選択したイメージの種類に応じて、さらに詳細を追加する必要があります。

5. Next をクリックします。

6. Review ページで、イメージの作成に関する詳細を確認し、Create image をクリックします。

   イメージのビルドが開始され、完了するまでに最大 20 分かかります。

手順

1. ISO イメージを作成します。

   # composer-cli compose start BLUEPRINT-NAME image-installer

   • BLUEPRINT-NAME は作成したブループリントの名前です。

   • image-installer はイメージタイプです。

     Compose プロセスはバックグラウンドで開始し、Compose の UUID が表示されます。Compose が完成するまで待ちます。これには数分かかる場合があります。

2. Compose のステータスを確認します。

   # composer-cli compose status

   Compose が完了すると、ステータスが FINISHED となります。

3. リスト内の Compose をその UUID で識別します。

   # composer-cli compose list

4. Compose が完了したら、作成したイメージファイルをカレントディレクトリーにダウンロードします。

   # composer-cli compose image UUID

   UUID は、前の手順で取得した UUID 値に置き換えます。

   RHEL Image Builder は .tar ファイルを含む .iso ファイルをビルドします。.tar ファイルは、オペレーティングシステム用にインストールされるイメージです。.iso は、Anaconda を起動し、tar ファイルをインストールしてシステムをセットアップするように設定されています。

1. ダウンロードした .iso イメージを見つけます。

2. ISO をマウントします。

   $ mount -o ro path_to_ISO /mnt

   .tar ファイルは /mnt/liveimg.tar.gz ディレクトリーにあります。

3. .tar ファイルの内容をリスト表示します。

   $ tar ztvf /mnt/liveimg.tar.gz

手順

1. RHEL Image Builder のダッシュボードで、イメージのビルドに使用するブループリントを見つけます。必要に応じて、ブループリント名またはその一部を左上の検索ボックスに入力し、Enter をクリックします。

2. ブループリントの右側で、対応する Create Image ボタンをクリックします。

   Create image ダイアログウィザードが開きます。

3. Create image ダイアログウィザードで:

   1. Image Type リストで、"RHEL Installer (.iso)" を選択します。
   2. Next をクリックします。

   3. Review タブで Create をクリックします。

      RHEL Image Builder は、RHEL .iso イメージの Compose をキューに追加します。

      プロセスが完了すると、Image build complete のステータスが表示されます。RHEL Image Builder は ISO イメージを作成します。

1. Download をクリックして、"RHEL Installer (.iso)" イメージをシステムに保存します。
2. "RHEL Installer (.iso)" イメージをダウンロードしたフォルダーに移動します。
3. ダウンロードした .tar イメージを見つけます。

4. "RHEL Installer (.iso)" イメージの内容を展開します。

   $ tar -xf content.tar

手順

1. dd ツールを使用して、ブート可能な ISO イメージを USB ドライブに直接書き込みます。以下に例を示します。

   dd if=installer.iso of=/dev/sdX

   ここで、installer.iso は ISO イメージファイル名、/dev/sdX は USB フラッシュドライブのデバイスパスです。

2. 起動するコンピューターの USB ポートにフラッシュドライブを挿入します。

3. USB フラッシュドライブから ISO イメージを起動します。

   インストール環境が開始したら、デフォルトの Red Hat Enterprise Linux インストールと同様に、インストールの手動完了が必要になることがあります。

手順

1. システムに OpenSCAP をインストールします。

   # dnf install openscap-scanner

2. scap-security-guide パッケージをインストールします。

   # dnf install scap-security-guide

   インストールが完了したら、oscap コマンドラインツールを使い始めることができます。セキュリティープロファイルを含む SCAP コンテンツが、/usr/share/xml/scap/ssg/content/ ディレクトリーにインストールされます。

手順

1. OpenSCAP ツールと scap-security-guide コンテンツを使用して、TOML 形式でハードニングブループリントを作成し、必要に応じて変更します。

   # oscap xccdf generate fix --profile=cis --fix-type=blueprint /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml > cis.toml

2. composer-cli ツールを使用して、ブループリントを osbuild-composer にプッシュします。

   # composer-cli blueprints push cis.toml

3. ハードニング済みイメージのビルドを開始します。

   # composer-cli compose start hardened_xccdf_org.ssgproject.content_profile_cis qcow2

   イメージビルドの準備ができたら、デプロイメントでハードニング済みイメージを使用できます。仮想マシンの作成 を参照してください｡

1. SSH を使用して仮想マシンに接続します。

2. oscap スキャナーを実行します。

   # oscap xccdf eval --profile=cis --report=/tmp/compliance-report.html /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

3. compliance-report.html を取得し、結果を検査します。

手順

1. OpenSCAP ツールと scap-security-guide コンテンツを使用して、TOML 形式でハードニングブループリントを作成し、必要に応じて変更します。

   # oscap xccdf generate fix --profile=cis --fix-type=blueprint /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml > cis_tailored.toml

2. カスタマイズしたルールセットを含む調整セクションをブループリントに追加します。

   # Blueprint for CIS Red Hat Enterprise Linux 9 Benchmark for Level 2 - Server
   # ...
   [customizations.openscap.tailoring]
   selected = [ "xccdf_org.ssgproject.content_bind_crypto_policy" ]
   unselected = [ "grub2_password" ]

3. composer-cli ツールを使用して、ブループリントを osbuild-composer にプッシュします。

   # composer-cli blueprints push cis_tailored.toml

4. ハードニング済みイメージのビルドを開始します。

   # composer-cli compose start hardened_xccdf_org.ssgproject.content_profile_cis qcow2

   イメージのビルドが準備できたら、デプロイメントでハードニング済みイメージを使用して仮想マシンを作成します。詳細は、仮想マシンの作成 を参照してください。

   ハードニング済みイメージを仮想マシンにデプロイした後、設定コンプライアンスのスキャンを実行して、イメージが選択したセキュリティープロファイルに準拠していることを確認できます。

   重要

   設定コンプライアンススキャンを実行しても、システムが準拠しているとは限りません。詳細については、設定コンプライアンススキャン を参照してください。

1. SSH を使用して仮想マシンに接続します。

2. oscap スキャナーを実行します。

   # oscap xccdf eval --profile=cis --report=/tmp/compliance-report.html /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

3. compliance-report.html を取得し、結果を検査します。

手順

1. 作成したブループリント名をクリックします。
2. Images タブを選択します。
3. Create Image をクリックして、カスタマイズしたイメージを作成します。Create Image ウィンドウが開きます。
4. Type ドロップダウンメニューリストから、QEMU Image (.qcow2) を選択します。
5. インスタンス化するときのイメージのサイズを設定し、Create をクリックします。
6. ウィンドウの右上にある小さなポップアップに、イメージの作成がキューに追加されたことが表示されます。イメージ作成プロセスが完了すると、Image build complete のステータスが表示されます。

手順

1. RHEL Image Builder を使用して作成した .qcow2 イメージを /var/lib/libvirt/images/ ディレクトリーに移動します。

2. ディレクトリー (cloudinitiso など) を作成し、新規に作成したそのディレクトリーに移動します。

   $ mkdir cloudinitiso
   $ cd cloudinitiso

3. meta-data という名前のファイルを作成します。このファイルに以下の情報を追加します。

   instance-id: citest
   local-hostname: vmname

4. user-data という名前のファイルを作成します。以下の情報をファイルに追加します。

   #cloud-config
   user: admin
   password: password
   chpasswd: {expire: False}
   ssh_pwauth: True
   ssh_authorized_keys:
     - ssh-rsa AAA...fhHQ== your.email@example.com

   ssh_authorized_keys は、SSH 公開鍵になります。~/.ssh/<id_rsa.pub>\ で SSH 公開鍵を確認できます。

5. genisoimage ユーティリティーを使用して、user-data ファイルおよび meta-data ファイルを含む ISO イメージを作成します。

   # genisoimage -output cloud-init.iso -volid cidata -joliet -rock user-data meta-data
   
   I: -input-charset not specified, using utf-8 (detected in locale settings)
   Total translation table size: 0
   Total rockridge attributes bytes: 331
   Total directory bytes: 0
   Path table size(bytes): 10
   Max brk space used 0
   183 extents written (0 MB)

6. virt-install コマンドを使用して、KVM ゲストイメージから新しい仮想マシンを作成します。仮想マシンイメージへのアタッチメントとして、手順 4 で作成した ISO イメージを含めます。

   # virt-install \
       --memory 4096 \
       --vcpus 4 \
       --name myvm \
       --disk rhel-9-x86_64-kvm.qcow2,device=disk,bus=virtio,format=qcow2 \
       --disk cloud-init.iso,device=cdrom \
       --os-variant rhel 9 \
       --virt-type kvm \
       --graphics none \
       --import

   • --graphics none - ヘッドレス RHEL 9 仮想マシンであることを意味します。
   • --vcpus 4 - 4 つの仮想 CPU を使用することを意味します。
   • --memory 4096 - 4096 MB のメモリーを使用することを意味します。

7. 仮想マシンのインストールが起動します。

   Starting install...
   Connected to domain mytestcivm
   ...
   [  OK  ] Started Execute cloud user/final scripts.
   [  OK  ] Reached target Cloud-init target.
   
   Red Hat Enterprise Linux 9 (Ootpa)
   Kernel 4.18.0-221.el8.x86_64 on an x86_64

1. ユーザー名として admin と入力し、Enter を押します。

2. password としてパスワードを入力し、Enter を押します。

   ログイン認証が完了すると、CLI を使用して仮想マシンにアクセスできます。

手順

1. コンテナープロバイダーを選択するために、registry-config.toml ファイルをセットアップします。認証情報はオプションです。

   provider = "container_provider"
   [settings]
   tls_verify = false
   username = "admin"
   password = "your_password"

2. ブループリントを .toml 形式で作成します。これは、ブループリントに nginx パッケージをインストールするコンテナーのブループリントです。

   name = "simple-container"
   description = "Simple RHEL container"
   version = "0.0.1"
   [[packages]]
   name = "nginx"
   version = "*"

3. ブループリントをプッシュします。

   # composer-cli blueprints push blueprint.toml

4. レジストリーとリポジトリーを composer-cli ツールに引数として渡し、コンテナーイメージをビルドします。

   # composer-cli compose start simple-container container "quay.io:8080/osbuild/repository" registry-config.toml

   • simple-container - ブループリント名です。
   • コンテナー - イメージの種類です。

   • "quay.io:8080/osbuild/repository" - quay.io はターゲットレジストリー、osbuild は組織、repository はビルドが完了したときにコンテナーをプッシュする場所です。オプションで、tag を設定できます。:tag の値を設定しない場合、デフォルトで :latest タグが使用されます。

     注記

     コンテナーイメージのビルドには、カスタマイズされたパッケージの依存関係を解決するため時間がかかります。

5. イメージのビルドが完了すると、作成したコンテナーが quay.io で使用できるようになります。

検証

1. quay.io を開き、Repository Tags をクリックします。

    You can see details about the container you created, such as:
   - last modified
   - image size
   - the `manifest ID`, that you can copy to the clipboard.

2. manifest ID の値をコピーして、コンテナーを埋め込むイメージをビルドします。

手順

1. qcow2 イメージをビルドするためのブループリントを作成します。このブループリントには、"" カスタマイズを含める必要があります。

   name = "image"
   description = "A qcow2 image with a container"
   version = "0.0.1"
   distro = "rhel-90"
   [[packages]]
   name = "podman"
   version = "*"
   [[containers]]
   source = "registry.access.redhat.com/ubi9:8080/osbuild/container/container-image@sha256:manifest-ID-from-Repository-tag: tag-version"
   name =  "source-name"
   tls-verify = true

2. ブループリントをプッシュします。

   # composer-cli blueprints push blueprint-image.toml

3. コンテナーイメージをビルドします。

   # composer-cli start compose image qcow2

   • image はブループリントの名前です。

   • qcow2 はイメージタイプです。

     注記

     quay.io レジストリーでコンテナーをチェックするため、イメージのビルドに時間がかかります。

4. Compose のステータスを確認するには、以下のコマンドを実行します。

   # composer-cli compose status

   Compose が完了すると、ステータスが FINISHED になります。リスト内の Compose を識別するには、その UUID を使用します。

5. Compose プロセスが完了したら、作成したイメージファイルをデフォルトのダウンロード先にダウンロードします。

   # composer-cli compose image UUID

   UUID は、前の手順で示した UUID 値に置き換えます。

   作成してダウンロードした qcow2 イメージを使用して、仮想マシンを作成できます。

1. 仮想マシンで qcow2 イメージを起動します。KVM ゲストイメージからの仮想マシンの作成 を参照してください｡

2. qemu ウィザードが開きます。qcow2 イメージにログインします。

   1. ユーザー名とパスワードを入力します。.qcow2 ブループリントの "customizations.user" セクションで設定したユーザー名とパスワード、または cloud-init を使用して起動時に作成したユーザー名とパスワードを使用できます。

3. コンテナーイメージを実行し、コンテナー内でシェルプロンプトを開きます。

   # podman run -it registry.access.redhat.com/ubi9:8080/osbuild/repository /bin/bash/

   registry.access.redhat.com はターゲットレジストリー、osbuild は組織、repository はビルドの完了時にコンテナーをプッシュする場所です。

4. ブループリントに追加したパッケージが利用可能であることを確認します。

   # type -a nginx

   出力には、nginx パッケージのパスが表示されます。