Amazon Web Services への RHEL 9 のデプロイ

1. 要件と市場の現在のオファーに基づいて、ユースケースに最適なクラウドプロバイダーを選択します。

   現在、RHEL インスタンスの実行が認定されているクラウドプロバイダーは次のとおりです。

   • Amazon Web Services (AWS)
   • Google Cloud Platform (GCP)

   • Microsoft Azure

     注記

     このドキュメントでは、AWS への RHEL のデプロイについて特に説明します。

2. 選択したクラウドプラットフォーム上に RHEL クラウドインスタンスを作成します。詳細は、RHEL クラウドインスタンスを作成する方法 を参照してください。
3. RHEL デプロイメントを最新の状態に保つには、Red Hat Update Infrastructure (RHUI) を使用します。

手順

1. Python 3 および pip ツールをインストールします。

   # dnf install python3 python3-pip

   Copy to Clipboard Toggle word wrap

2. pip で AWS コマンドラインツール をインストールします。

   # pip3 install awscli

   Copy to Clipboard Toggle word wrap

3. プロファイルを設定します。ターミナルで、認証情報、リージョン、および出力形式を指定するように求められます。

   $ aws configure
   AWS Access Key ID [None]:
   AWS Secret Access Key [None]:
   Default region name [None]:
   Default output format [None]:

   Copy to Clipboard Toggle word wrap

4. バケットの名前を定義し、バケットを作成します。

   $ BUCKET=bucketname
   $ aws s3 mb s3://$BUCKET

   Copy to Clipboard Toggle word wrap

   bucketname は、実際のバケット名に置き換えます。この名前は、グローバルで一意となるように指定する必要があります。上記で、バケットが作成されます。

5. S3 バケットへのアクセス許可を付与するには、AWS Identity and Access Management (IAM) で vmimport S3 ロールを作成します (まだ作成していない場合)。

   1. 信頼ポリシーの設定で、JSON 形式で trust-policy.json ファイルを作成します。以下に例を示します。

      {
          "Version": "2022-10-17",
          "Statement": [{
              "Effect": "Allow",
              "Principal": {
                  "Service": "vmie.amazonaws.com"
              },
              "Action": "sts:AssumeRole",
              "Condition": {
                  "StringEquals": {
                      "sts:Externalid": "vmimport"
                  }
              }
          }]
      }

      Copy to Clipboard Toggle word wrap

   2. ロールポリシーの設定を含む role-policy.json ファイルを JSON 形式で作成します。以下に例を示します。

      {
          "Version": "2012-10-17",
          "Statement": [{
              "Effect": "Allow",
              "Action": ["s3:GetBucketLocation", "s3:GetObject", "s3:ListBucket"],
              "Resource": ["arn:aws:s3:::%s", "arn:aws:s3:::%s/"] }, { "Effect": "Allow", "Action": ["ec2:ModifySnapshotAttribute", "ec2:CopySnapshot", "ec2:RegisterImage", "ec2:Describe"],
              "Resource": "*"
          }]
      }
      $BUCKET $BUCKET

      Copy to Clipboard Toggle word wrap

   3. trust-policy.json ファイルを使用して、Amazon Web Services アカウントのロールを作成します。

      $ aws iam create-role --role-name vmimport --assume-role-policy-document file://trust-policy.json

      Copy to Clipboard Toggle word wrap

   4. role-policy.json ファイルを使用して、インラインポリシードキュメントを埋め込みます。

      $ aws iam put-role-policy --role-name vmimport --policy-name vmimport --policy-document file://role-policy.json

      Copy to Clipboard Toggle word wrap

手順

1. テキストエディターを使用して、次の内容の設定ファイルを作成します。

   provider = "aws"
   [settings]
   accessKeyID = "AWS_ACCESS_KEY_ID"
   secretAccessKey = "AWS_SECRET_ACCESS_KEY"
   bucket = "AWS_BUCKET"
   region = "AWS_REGION"
   key = "IMAGE_KEY"

   Copy to Clipboard Toggle word wrap

   フィールドの値を accessKeyID、secretAccessKey、bucket、および region の認証情報に置き換えます。IMAGE_KEY 値は、EC2 にアップロードする仮想マシンイメージの名前です。

2. ファイルを CONFIGURATION-FILE.toml として保存し、テキストエディターを閉じます。

3. Compose を開始して AWS にアップロードします。

   # composer-cli compose start blueprint-name image-type image-key configuration-file.toml

   Copy to Clipboard Toggle word wrap

   以下のように置き換えます。

   • blueprint-name は、作成したブループリントの名前に置き換えます。
   • image-type は、ami イメージタイプに置き換えます。
   • image-key は、EC2 にアップロードする仮想マシンイメージの名前に置き換えます。

   • configuration-file.toml は、クラウドプロバイダーの設定ファイルの名前に置き換えます。

     注記

     カスタマイズしたイメージの送信先となるバケットの正しい AWS Identity and Access Management (IAM) 設定が必要です。イメージをアップロードする前にバケットにポリシーを設定しておく必要があります。

4. イメージビルドのステータスを確認します。

   # composer-cli compose status

   Copy to Clipboard Toggle word wrap

   イメージのアップロードプロセスが完了すると、"FINISHED" ステータスが表示されます。

1. メニューで EC2 にアクセスし、AWS コンソールで正しいリージョンを選択します。イメージが正常にアップロードされたことを示すには、イメージが available ステータスになっている必要があります。
2. ダッシュボードでイメージを選択し、Launch をクリックします。

手順

1. RHEL Image Builder のダッシュボードで、以前に作成した ブループリント名 をクリックします。
2. Images タブを選択します。

3. Create Image をクリックして、カスタマイズしたイメージを作成します。

   Create Image ウィンドウが開きます。

   1. Type ドロップダウンメニューから、Amazon Machine Image Disk (.raw) を選択します。
   2. イメージを AWS Cloud にアップロードするには、Upload to AWS チェックボックスをオンして、Next をクリックします。

   3. AWS へのアクセスを認証するには、対応するフィールドに AWS access key ID および AWS secret access key を入力します。Next をクリックします。

      注記

      新規アクセスキー ID を作成する場合にのみ、AWS シークレットアクセスキーを表示できます。秘密鍵が分からない場合は、新しいアクセスキー ID を生成します。

   4. Image name フィールドにイメージ名を、Amazon S3 bucket name フィールドに Amazon バケット名を入力して、カスタマイズイメージを追加するバケットの AWS region フィールドを入力します。Next をクリックします。

   5. 情報を確認し、Finish をクリックします。

      必要に応じて、Back をクリックして誤った情報を変更します。

      注記

      カスタマイズイメージを送信するバケットの正しい IAM 設定が必要です。この手順では IAM のインポートとエクスポートを使用するため、バケットにイメージをアップロードする前にバケットに ポリシー を設定する必要があります。詳細は、IAM ユーザーの必要なパーミッション を参照してください。

4. 右上のポップアップで、保存の進行状況が通知されます。イメージ作成の開始、イメージ作成の進捗、およびその後の AWS Cloud にアップロードに関する情報も通知されます。

   プロセスが完了すると、Image build complete のステータスが表示されます。

5. ブラウザーで、Service→EC2 にアクセスします。

   1. AWS コンソールのダッシュボードメニューで、正しいリージョン を選択します。イメージのステータスは、アップロードされていることを示す Available でなければなりません。
   2. AWS ダッシュボードでイメージを選択し、Launch をクリックします。
6. 新しいウィンドウが開きます。イメージを開始するために必要なリソースに応じて、インスタンスタイプを選択します。Review and Launch をクリックします。
7. インスタンスの開始の詳細を確認します。変更が必要な場合は、各セクションを編集できます。起動 をクリックします。

8. インスタンスを起動する前に、インスタンスにアクセスするための公開鍵を選択します。

   既存のキーペアを使用するか、キーペアーを新規作成します。

   次の手順に従って、EC2 で新規キーペアを作成し、新規インスタンスにアタッチします。

   1. ドロップダウンメニューリストから、Create a new key pair を選択します。
   2. 新しいキーペアに名前を入力します。新しいキーペアが生成されます。
   3. Download Key Pair をクリックして、新しいキーペアをローカルシステムに保存します。

9. Launch Instance をクリックしてインスタンスを起動します。

   Initializing と表示されるインスタンスのステータスを確認できます。

10. インスタンスのステータスが running になると、Connect ボタンが有効になります。

11. Connect をクリックします。ウィンドウが表示され、SSH を使用して接続する方法の説明が表示されます。

    1. 優先する接続方法として スタンドアロン SSH クライアント を選択し、ターミナルを開きます。

    2. 秘密鍵を保存する場所で、SSH が機能するために鍵が公開されていることを確認してください。これには、以下のコマンドを実行します。

       $ chmod 400 <_your-instance-name.pem_>

       Copy to Clipboard Toggle word wrap

    3. パブリック DNS を使用してインスタンスに接続します。

       $ ssh -i <_your-instance-name.pem_> ec2-user@<_your-instance-IP-address_>

       Copy to Clipboard Toggle word wrap

    4. yes と入力して、接続の続行を確定します。

       その結果、SSH 経由でインスタンスに接続されます。

手順

1. AWS コンソール を起動します。
2. AWS アカウント ID をクリックしてドロップダウンメニューを表示し、My Security Credentials を選択します。
3. Users をクリックします。
4. ユーザーを選択し、Summary 画面を開きます。
5. Security credentials タブをクリックします。
6. Create access key をクリックします。
7. .csv ファイルをダウンロード (または両方の鍵を保存) します。フェンスデバイスの作成時に、この鍵を入力する必要があります。

手順

1. dnf コマンドを使用して AWS コマンドラインツール をインストールします。

   # dnf install awscli

   Copy to Clipboard Toggle word wrap

2. aws --version コマンドを使用して、AWS CLI をインストールしたことを確認します。

   $ aws --version
   aws-cli/1.19.77 Python/3.6.15 Linux/5.14.16-201.fc34.x86_64 botocore/1.20.77

   Copy to Clipboard Toggle word wrap

3. AWS アクセスの詳細に従って、AWS コマンドラインクライアントを設定します。

   $ aws configure
   AWS Access Key ID [None]:
   AWS Secret Access Key [None]:
   Default region name [None]:
   Default output format [None]:

   Copy to Clipboard Toggle word wrap

手順

1. AWS EC2 Dashboard から、Images を選択して、AMI を選択します。
2. イメージを右クリックして、Launch を選択します。

3. ワークロードの要件を満たす、もしくは超過する Instance Type を選択します。HA アプリケーションによっては、各インスタンスの容量を増やす必要がある場合があります。

   インスタンスタイプの詳細は、Amazon EC2 Instance Types を参照してください。

4. Next:Configure Instance Details をクリックします。

   1. クラスターを作成する インスタンス数 を入力します。この例の手順では、3 つのクラスターノードを使用します。

      注記

      自動スケーリンググループでは起動しないでください。

   2. ネットワーク の場合は、Set up the AWS environment で作成した VPC を選択します。新規サブネットを作成するインスタンスのサブネットを選択します。

   3. 自動割り当てパブリック IP では、Enable を選択します。Configure Instance Details に必要な最小限の選択です。特定の HA アプリケーションによっては、追加の選択が必要になる場合があります。

      注記

      これらは、基本インスタンスの作成に必要な最小限の設定オプションです。HA アプリケーション要件に応じて追加オプションを確認します。

5. Next: Add Storage をクリックし、デフォルトのストレージが十分であることを確認します。HA アプリケーションに他のストレージオプションが必要でない限り、これらの設定を変更する必要はありません。

6. Next: Add Tags をクリックします。

   注記

   タグを使用すると、AWS リソースの管理に役立ちます。タグ付けの詳細は、Tagging Your Amazon EC2 Resources を参照してください。

7. Next:Configure Security Group をクリックします。Setting up the AWS environment で作成した既存のセキュリティーグループを選択します。
8. Review and Launch をクリックし、選択を確認します。
9. Launch をクリックします。既存の鍵のペアの選択、または新しい鍵のペアの作成に関するダイアログが表示されます。AWS 環境でのセットアップ 時に作成した鍵のペアを選択します。
10. Launch Instances をクリックします。

11. View Instances をクリックします。インスタンスに名前を付けることができます。

    注記

    または、AWS CLI を使用してインスタンスを起動することもできます。詳細は、Amazon 社のドキュメントの Launching, Listing, and Terminating Amazon EC2 Instances を参照してください。

手順

1. キーファイルを Downloads ディレクトリーから ホーム ディレクトリーまたは ~/.ssh ディレクトリー に移動します。

2. root ユーザーのみが読み取れるように、キーファイルのアクセス許可を変更します。

   # chmod 400 KeyName.pem

   Copy to Clipboard Toggle word wrap

手順

1. AWS コンソール を起動し、EC2 インスタンスを選択します。
2. Connect をクリックし、A standalone SSH client を選択します。
3. SSH 端末セッションから、ポップアップウィンドウで提供される AWS の例を使用してインスタンスに接続します。パスが例に表示されていない場合は、正しいパスを KeyName.pem ファイルに追加します。

手順

1. AWS Red Hat Update Infrastructure (RHUI) クライアントを削除します。

   $ sudo -i
   # dnf -y remove rh-amazon-rhui-client*

   Copy to Clipboard Toggle word wrap

2. 仮想マシンを Red Hat に登録します。

   # subscription-manager register --auto-attach

   Copy to Clipboard Toggle word wrap

3. すべてのリポジトリーを無効にします。

   # subscription-manager repos --disable=*

   Copy to Clipboard Toggle word wrap

4. RHEL9 サーバーの HA リポジトリーを有効にします。

   # subscription-manager repos --enable=rhel-9-for-x86_64-highavailability-rpms

   Copy to Clipboard Toggle word wrap

5. RHEL AWS インスタンスを更新します。

   # dnf update -y

   Copy to Clipboard Toggle word wrap

6. High Availability チャネルから、Red Hat High Availability Add-On ソフトウェアパッケージと AWS フェンスエージェントをインストールします。

   # dnf install pcs pacemaker fence-agents-aws

   Copy to Clipboard Toggle word wrap

7. hacluster ユーザーは、前の手順で pcs および pacemaker のインストール時に作成されました。すべてのクラスターノードに hacluster のパスワードを作成します。すべてのノードに同じパスワードを使用します。

   # passwd hacluster

   Copy to Clipboard Toggle word wrap

8. firewalld.service がインストールされている場合は、RHEL ファイアウォールに 高可用性 サービスを追加します。

   # firewall-cmd --permanent --add-service=high-availability
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

9. pcs サービスを起動し、システムの起動時に開始できるようにします。

   # systemctl start pcsd.service
   # systemctl enable pcsd.service

   Copy to Clipboard Toggle word wrap
10. /etc/hosts を編集し、RHEL ホスト名と内部 IP アドレスを追加します。詳細は、Red Hat ナレッジベースソリューション How should the /etc/hosts file be set up on RHEL cluster nodes? を参照してください。

手順

1. ノードのいずれかで以下のコマンドを実行し、pcs ユーザー hacluster を認証します。コマンドで、クラスター内の各ノードの名前を指定します。

   # pcs host auth <hostname1> <hostname2> <hostname3>

   Copy to Clipboard Toggle word wrap

   以下に例を示します。

   [root@node01 clouduser]# pcs host auth node01 node02 node03
   Username: hacluster
   Password:
   node01: Authorized
   node02: Authorized
   node03: Authorized

   Copy to Clipboard Toggle word wrap

2. クラスターを作成します。

   # pcs cluster setup <cluster_name> <hostname1> <hostname2> <hostname3>

   Copy to Clipboard Toggle word wrap

   以下に例を示します。

   [root@node01 clouduser]# pcs cluster setup new_cluster node01 node02 node03
   
   [...]
   
   Synchronizing pcsd certificates on nodes node01, node02, node03...
   node02: Success
   node03: Success
   node01: Success
   Restarting pcsd on the nodes in order to reload the certificates...
   node02: Success
   node03: Success
   node01: Success

   Copy to Clipboard Toggle word wrap

検証

1. クラスターを有効にします。

   [root@node01 clouduser]# pcs cluster enable --all
   node02: Cluster Enabled
   node03: Cluster Enabled
   node01: Cluster Enabled

   Copy to Clipboard Toggle word wrap

2. クラスターを起動します。

   [root@node01 clouduser]# pcs cluster start --all
   node02: Starting Cluster...
   node03: Starting Cluster...
   node01: Starting Cluster...

   Copy to Clipboard Toggle word wrap

標準手順

1. 以下の AWS メタデータクエリーを入力し、各ノードのインスタンス ID を取得します。フェンスデバイスを設定するには、これらの ID が必要です。詳細は Instance Metadata and User Data を参照してください。

   # echo $(curl -s http://169.254.169.254/latest/meta-data/instance-id)

   Copy to Clipboard Toggle word wrap

   以下に例を示します。

   [root@ip-10-0-0-48 ~]# echo $(curl -s http://169.254.169.254/latest/meta-data/instance-id) i-07f1ac63af0ec0ac6

   Copy to Clipboard Toggle word wrap

2. 以下のコマンドを実行して、フェンスデバイスを設定します。pcmk_host_map コマンドを使用して、RHEL ホスト名をインスタンス ID にマッピングします。以前に設定した AWS アクセスキーおよび AWS シークレットアクセスキーを使用します。

   # pcs stonith \
       create <name> fence_aws access_key=access-key secret_key=<secret-access-key> \
       region=<region> pcmk_host_map="rhel-hostname-1:Instance-ID-1;rhel-hostname-2:Instance-ID-2;rhel-hostname-3:Instance-ID-3" \
       power_timeout=240 pcmk_reboot_timeout=480 pcmk_reboot_retries=4

   Copy to Clipboard Toggle word wrap

   以下に例を示します。

   [root@ip-10-0-0-48 ~]# pcs stonith \
   create clusterfence fence_aws access_key=AKIAI123456MRMJA secret_key=a75EYIG4RVL3hdsdAslK7koQ8dzaDyn5yoIZ/ \
   region=us-east-1 pcmk_host_map="ip-10-0-0-48:i-07f1ac63af0ec0ac6;ip-10-0-0-46:i-063fc5fe93b4167b2;ip-10-0-0-58:i-08bd39eb03a6fd2c7" \
   power_timeout=240 pcmk_reboot_timeout=480 pcmk_reboot_retries=4

   Copy to Clipboard Toggle word wrap
3. 即時かつ完全なフェンシングを確実に行うために、すべてのクラスターノードで ACPI Soft-Off を無効にします。ACPI Soft-Off を無効にする方法については、統合フェンスデバイスで使用する ACPI の無効化 を参照してください。

別の手順

1. クラスターの VPC ID を取得します。

   # aws ec2 describe-vpcs --output text --filters "Name=tag:Name,Values=<clustername>-vpc" --query 'Vpcs[*].VpcId'
   vpc-06bc10ac8f6006664

   Copy to Clipboard Toggle word wrap

2. クラスターの VPC ID を使用して、VPC インスタンスを取得します。

   $ aws ec2 describe-instances --output text --filters "Name=vpc-id,Values=vpc-06bc10ac8f6006664" --query 'Reservations[*].Instances[*].{Name:Tags[? Key==Name]|[0].Value,Instance:InstanceId}' | grep "\-node[a-c]"
   i-0b02af8927a895137     <clustername>-nodea-vm
   i-0cceb4ba8ab743b69     <clustername>-nodeb-vm
   i-0502291ab38c762a5     <clustername>-nodec-vm

   Copy to Clipboard Toggle word wrap

3. 取得したインスタンス ID を使用して、クラスター上の各ノードでフェンシングを設定します。たとえば、クラスター内のすべてのノードでフェンスデバイスを設定するには、次のようにします。

   [root@nodea ~]# CLUSTER=<clustername> && pcs stonith create fence${CLUSTER} fence_aws access_key=XXXXXXXXXXXXXXXXXXXX pcmk_host_map=$(for NODE \
   in node{a..c}; do ssh ${NODE} "echo -n \${HOSTNAME}:\$(curl -s http://169.254.169.254/latest/meta-data/instance-id)\;"; done) \
   pcmk_reboot_retries=4 pcmk_reboot_timeout=480 power_timeout=240 region=xx-xxxx-x secret_key=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

   Copy to Clipboard Toggle word wrap

   フェンスデバイスを作成するための特定のパラメーターは、fence_aws の man ページまたは 高可用性クラスターの設定と管理 ガイドを参照してください。

4. 即時かつ完全なフェンシングを確実に行うために、すべてのクラスターノードで ACPI Soft-Off を無効にします。ACPI Soft-Off を無効にする方法については、統合フェンスデバイスで使用する ACPI の無効化 を参照してください。

検証

1. ノードに設定されているフェンスデバイスとそのパラメーターを表示します。

   [root@nodea ~]# pcs stonith config fence${CLUSTER}
   
   Resource: <clustername> (class=stonith type=fence_aws)
   Attributes: access_key=XXXXXXXXXXXXXXXXXXXX pcmk_host_map=nodea:i-0b02af8927a895137;nodeb:i-0cceb4ba8ab743b69;nodec:i-0502291ab38c762a5;
   pcmk_reboot_retries=4 pcmk_reboot_timeout=480 power_timeout=240 region=xx-xxxx-x secret_key=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   Operations: monitor interval=60s (<clustername>-monitor-interval-60s)

   Copy to Clipboard Toggle word wrap

2. クラスターノードのいずれかに対してフェンスエージェントをテストします。

   # pcs stonith fence <awsnodename>

   Copy to Clipboard Toggle word wrap
   注記

   コマンドの応答が表示されるまで数分かかる場合があります。フェンシングしているノードのアクティブな端末セッションを確認する場合は、fence コマンドを入力すると、端末の接続がすぐに終了するようになります。

   以下に例を示します。

   [root@ip-10-0-0-48 ~]# pcs stonith fence ip-10-0-0-58
   
   Node: ip-10-0-0-58 fenced

   Copy to Clipboard Toggle word wrap

3. ステータスを確認して、ノードがフェンスされていることを確認します。

   # pcs status

   Copy to Clipboard Toggle word wrap

   以下に例を示します。

   [root@ip-10-0-0-48 ~]# pcs status
   
   Cluster name: newcluster
   Stack: corosync
   Current DC: ip-10-0-0-46 (version 1.1.18-11.el7-2b07d5c5a9) - partition with quorum
   Last updated: Fri Mar  2 19:55:41 2018
   Last change: Fri Mar  2 19:24:59 2018 by root via cibadmin on ip-10-0-0-46
   
   3 nodes configured
   1 resource configured
   
   Online: [ ip-10-0-0-46 ip-10-0-0-48 ]
   OFFLINE: [ ip-10-0-0-58 ]
   
   Full list of resources:
   clusterfence  (stonith:fence_aws):    Started ip-10-0-0-46
   
   Daemon Status:
   corosync: active/disabled
   pacemaker: active/disabled
   pcsd: active/enabled

   Copy to Clipboard Toggle word wrap

4. 前の手順でフェンシングされたノードを起動します。

   # pcs cluster start <awshostname>

   Copy to Clipboard Toggle word wrap

5. ステータスを確認して、ノードが起動したことを確認します。

   # pcs status

   Copy to Clipboard Toggle word wrap

   以下に例を示します。

   [root@ip-10-0-0-48 ~]# pcs status
   
   Cluster name: newcluster
   Stack: corosync
   Current DC: ip-10-0-0-46 (version 1.1.18-11.el7-2b07d5c5a9) - partition with quorum
   Last updated: Fri Mar  2 20:01:31 2018
   Last change: Fri Mar  2 19:24:59 2018 by root via cibadmin on ip-10-0-0-48
   
   3 nodes configured
   1 resource configured
   
   Online: [ ip-10-0-0-46 ip-10-0-0-48 ip-10-0-0-58 ]
   
   Full list of resources:
   
     clusterfence  (stonith:fence_aws):    Started ip-10-0-0-46
   
   Daemon Status:
     corosync: active/disabled
     pacemaker: active/disabled
     pcsd: active/enabled

   Copy to Clipboard Toggle word wrap

手順

1. AWS CLI をインストールしている。手順については、Installing the AWS CLI を参照してください。

2. AWS CLI が正しく設定されていることを確認します。インスタンス ID およびインスタンス名が表示されます。

   以下に例を示します。

   [root@ip-10-0-0-48 ~]# aws ec2 describe-instances --output text --query 'Reservations[*].Instances[*].[InstanceId,Tags[?Key==Name].Value]'
   i-07f1ac63af0ec0ac6
   ip-10-0-0-48
   i-063fc5fe93b4167b2
   ip-10-0-0-46
   i-08bd39eb03a6fd2c7
   ip-10-0-0-58

   Copy to Clipboard Toggle word wrap

手順

1. AWS コマンド create-volume を使用して共有ブロックボリュームを作成します。

   $ aws ec2 create-volume --availability-zone <availability_zone> --no-encrypted --size 1024 --volume-type io1 --iops 51200 --multi-attach-enabled

   Copy to Clipboard Toggle word wrap

   たとえば、以下のコマンドは、us-east-1a アベイラビリティーゾーンにボリュームを作成します。

   $ aws ec2 create-volume --availability-zone us-east-1a --no-encrypted --size 1024 --volume-type io1 --iops 51200 --multi-attach-enabled
   
   {
       "AvailabilityZone": "us-east-1a",
       "CreateTime": "2020-08-27T19:16:42.000Z",
       "Encrypted": false,
       "Size": 1024,
       "SnapshotId": "",
       "State": "creating",
       "VolumeId": "vol-042a5652867304f09",
       "Iops": 51200,
       "Tags": [ ],
       "VolumeType": "io1"
   }

   Copy to Clipboard Toggle word wrap
   注記

   次の手順で VolumeId が必要になります。

2. クラスターの各インスタンスについて、AWS コマンド attach-volume を使用して共有ブロックボリュームを割り当てます。<instance_id> および <volume_id> を使用します。

   $ aws ec2 attach-volume --device /dev/xvdd --instance-id <instance_id> --volume-id <volume_id>

   Copy to Clipboard Toggle word wrap

   たとえば、以下のコマンドは共有ブロックボリューム vol-042a5652867304f09 を instance i-0eb803361c2c887f2 に接続します。

   $ aws ec2 attach-volume --device /dev/xvdd --instance-id i-0eb803361c2c887f2 --volume-id vol-042a5652867304f09
   
   {
       "AttachTime": "2020-08-27T19:26:16.086Z",
       "Device": "/dev/xvdd",
       "InstanceId": "i-0eb803361c2c887f2",
       "State": "attaching",
       "VolumeId": "vol-042a5652867304f09"
   }

   Copy to Clipboard Toggle word wrap

検証

1. クラスター内の各インスタンスについて、インスタンスの <ip_address> を指定して SSH コマンドを使用して、ブロックデバイスが利用可能になっていることを確認します。

   # ssh <ip_address> "hostname ; lsblk -d | grep ' 1T '"

   Copy to Clipboard Toggle word wrap

   たとえば、以下のコマンドは、インスタンス IP が 198.51.100.3 のホスト名およびブロックデバイスを含む詳細をリスト表示します。

   # ssh 198.51.100.3 "hostname ; lsblk -d | grep ' 1T '"
   
   nodea
   nvme2n1 259:1    0   1T  0 disk

   Copy to Clipboard Toggle word wrap

2. SSH コマンドを使用して、クラスター内の各インスタンスが同じ共有ディスクを使用していることを確認します。

   # ssh <ip_address> "hostname ; lsblk -d | grep ' 1T ' | awk '{print \$1}' | xargs -i udevadm info --query=all --name=/dev/{} | grep '^E: ID_SERIAL='"

   Copy to Clipboard Toggle word wrap

   たとえば、以下のコマンドは、インスタンスの IP アドレスが 198.51.100.3 のホスト名および共有ディスクボリューム ID が含まれる詳細をリスト表示します。

   # ssh 198.51.100.3 "hostname ; lsblk -d | grep ' 1T ' | awk '{print \$1}' | xargs -i udevadm info --query=all --name=/dev/{} | grep '^E: ID_SERIAL='"
   
   nodea
   E: ID_SERIAL=Amazon Elastic Block Store_vol0fa5342e7aedf09f7

   Copy to Clipboard Toggle word wrap

1. レシーバー が、アプリケーションやサービスなどのデータソースからテレメトリーデータを収集します。
2. レシーバーがデータを取り込んだ後、データは処理フェーズに渡されます。そのフェーズで、データを変換するための プロセッサー のチェーンが定義される場合があります。
3. エクスポーター がテレメトリーデータを必要な宛先に送信します。

手順

1. RHEL インスタンスに opentelemetry-collector パッケージをインストールします。

   # dnf install -y opentelemetry-collector

   Copy to Clipboard Toggle word wrap

2. RHEL インスタンスから AWS CloudWatch Logs にログを転送するサービスを有効にして起動します。

   # systemctl enable --now opentelemetry-collector.service

   Copy to Clipboard Toggle word wrap

3. RHEL インスタンスから journald ログを転送するように OTel Collector を設定するために、/etc/opentelemetry-collector/configs/10-cloudwatch-exporter.yaml ファイルを作成して編集します。

   ...
   exporters:
     awscloudwatchlogs:
       log_group_name: testing-logs-emf
       log_stream_name: testing-integrations-stream-emf
       raw_log: true
       region: us-east-1
       endpoint: logs.us-east-1.amazonaws.com
       log_retention: 365
       tags:
         sampleKey: sampleValue
   service:
     pipelines:
       logs:
         receivers:
           - journald
         exporters:
           - awscloudwatchlogs
   ...

   Copy to Clipboard Toggle word wrap

4. OTel Collector サービスを再起動します。

   # systemctl restart opentelemetry-collector.service

   Copy to Clipboard Toggle word wrap
5. AWS コンソールから AWS CloudWatch エージェント用の IAM ロールを作成します。手順については、Create IAM roles and users for use with the CloudWatch agent を参照してください。
6. AWS コンソールから RHEL インスタンスにロールを割り当てます。手順については、Attach an IAM role to an instance を参照してください。
7. AWS コンソールから RHEL インスタンスを再起動して、ログのエクスポートを自動的に有効にします。

8. オプション: ログをエクスポートする必要がなくなった場合は、RHEL インスタンスからのログ転送を停止します。

   # systemctl stop opentelemetry-collector.service

   Copy to Clipboard Toggle word wrap

9. オプション: このサービスが不要になった場合は、ログ転送を永続的に無効にします。

   # systemctl disable opentelemetry-collector.service

   Copy to Clipboard Toggle word wrap

前提条件

1. RHEL AMI では、ブート設定で uefi-preferred オプションが有効になっています。

   $ aws ec2 describe-images --image-id <ami-099f85fc24d27c2a7> --region <us-east-2> | grep -E '"ImageId"|"Name"|"BootMode"'
   
   "ImageId": "ami-099f85fc24d27c2a7",
   "Name": "RHEL-9.6.0_HVM_GA-20250423-x86_64-0-Hourly2-GP3",
   "BootMode": "uefi-preferred"

   Copy to Clipboard Toggle word wrap

2. RHEL インスタンスに以下のパッケージがインストールされている。

   • awscli2
   • python3
   • openssl
   • efivar
   • keyutils
   • edk2-ovmf
   • python3-virt-firmware

手順

1. RHEL Marketplace AMI インスタンスのプラットフォームステータスを確認します。

   $ mokutil --sb-state
   
   SecureBoot disabled
   Platform is in Setup Mode

   Copy to Clipboard Toggle word wrap

   設定 モードでは、インスタンス内のセキュアブート UEFI 変数を更新できます。

2. 新しいランダムなユニバーサル一意識別子(UUID)を作成し、システム生成のテキストファイルに保存します。

   $ uuidgen --random > GUID.txt

   Copy to Clipboard Toggle word wrap

3. プラットフォーム鍵データベースの新しい PK.key RSA 秘密鍵と自己署名 PK.cer X.509 証明書を生成します。

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout PK.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "/CN=Platform key/" \
   -outform DER -out PK.cer

   Copy to Clipboard Toggle word wrap

   openssl ユーティリティーは、出力形式を Distinguished Encoding Rules (DER)に設定することで、証明書の共通名プラットフォーム キー を生成します。

4. 鍵交換鍵データベース用の新しい KEK.key RSA 秘密鍵と自己署名 KEK.cer X.509 証明書を生成します。

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout KEK.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "CN=Key Exchange Key/" \
   -outform DER -out KEK.cer

   Copy to Clipboard Toggle word wrap

5. custom _db.cer カスタム 証明書を生成します。

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout custom_db.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "/CN=Signature Database key/" \
   --outform DER -out custom_db.cer

   Copy to Clipboard Toggle word wrap

6. Microsoft Corporation UEFI CA 2011 証明書をダウンロードします。

   $ wget https://go.microsoft.com/fwlink/p/?linkid=321194 --user-agent="Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.103 Safari/537.36" -O MicCorUEFCA2011_2011-06-27.crt

   Copy to Clipboard Toggle word wrap

7. x64 ビットシステムの禁止署名(dbx)の更新された UEFI 失効リストファイルをダウンロードします。

   $ wget https://uefi.org/sites/default/files/resources/x64_DBXUpdate.bin

   Copy to Clipboard Toggle word wrap

8. virt-fw-vars ユーティリティーを使用して UEFI 変数ファイルを生成します。

   $ virt-fw-vars --set-pk "$(< GUID.txt)" PK.cer \
   --add-kek "$(< GUID.txt)" KEK.cer \
   --add-db "$(< GUID.txt)" custom_db.cer \
   --add-db 77fa9abd-0359-4d32-bd60-28f4e78f784b MicCorUEFCA2011_2011-06-27.crt \
   --set-dbx DBXUpdate.bin -i /usr/share/edk2/ovmf/OVMF_VARS.secboot.fd \
   --output VARS

   Copy to Clipboard Toggle word wrap

9. UEFI 変数を Extensible Firmware Interface (EFI) Signature List (ESL)形式に変換します。

   $ python3 /usr/share/doc/python3-virt-firmware/experimental/authfiles.py \
   --input VARS \
   --outdir .
   $ for f in PK KEK db dbx; do tail -c +41 $f.auth > $f.esl; done

   Copy to Clipboard Toggle word wrap
   注記

   各 GUID は割り当てられた値であり、EFI パラメーターを表します

   • 8be4df61-93ca-11d2-aa0d-00e098032b8c:EFI_GLOBAL_VARIABLE_GUID
   • d719b2cb-3d3a-4596-a3bc-dad00e67656f:EFI_IMAGE_SECURITY_DATABASE_GUID

   EFI_GLOBAL_VARIABLE_GUID パラメーターは、起動可能なデバイスおよびブートマネージャーの設定を維持しますが、EFI_IMAGE_SECURITY_DATABASE_GUID パラメーターはセキュアブート変数 db、dbx、および必要なキーと証明書の保存のイメージセキュリティーデータベースを表します。

10. データベース証明書をターゲットインスタンスに転送し、efivar ユーティリティーを使用して UEFI 環境変数を管理します。

    1. PK.esl を転送するには、次のコマンドを実行します。

       # efivar -w -n 8be4df61-93ca-11d2-aa0d-00e098032b8c-PK -f PK.esl

       Copy to Clipboard Toggle word wrap

    2. KEK.esl を転送するには、次のコマンドを実行します。

       # efivar -w -n 8be4df61-93ca-11d2-aa0d-00e098032b8c-KEK -f KEK.esl

       Copy to Clipboard Toggle word wrap

    3. db.esl を転送するには、次のように入力します。

       # efivar -w -n d719b2cb-3d3a-4596-a3bc-dad00e67656f-db -f db.esl

       Copy to Clipboard Toggle word wrap

    4. x64 アーキテクチャーの dbx.esl UEFI 失効リストファイルを転送するには、次のように入力します。

       # efivar -w -n d719b2cb-3d3a-4596-a3bc-dad00e67656f-dbx -f dbx.esl

       Copy to Clipboard Toggle word wrap
11. AWS コンソールからインスタンスを再起動します。

検証

1. セキュアブートが有効になっているかどうかを確認します。

   $ mokutil --sb-state
   
   SecureBoot enabled

   Copy to Clipboard Toggle word wrap

2. keyctl ユーティリティーを使用して、カスタム証明書のカーネルキーリングを確認します。

   $ sudo keyctl list %:.platform
   
   4 keys in keyring:
   907254483: ---lswrv     0     0 asymmetric: Signature Database key: f064979641c24e1b935e402bdbc3d5c4672a1acc
   ...

   Copy to Clipboard Toggle word wrap

前提条件

1. AWS AMI イメージを作成してアップロードしている。詳細は、AWS AMI の作成とアップロード を 参照してください。

2. 次のパッケージがインストールされている。

   • awscli2
   • python3
   • openssl
   • efivar
   • keyutils
   • python3-virt-firmware

手順

1. 新しいランダムなユニバーサル一意識別子(UUID)を作成し、システム生成のテキストファイルに保存します。

   $ uuidgen --random > GUID.txt

   Copy to Clipboard Toggle word wrap

2. プラットフォーム鍵データベースの新しい RSA 秘密鍵 PK.key と自己署名 X.509 証明書 PK.cer を生成します。

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout PK.key \
   -new -x509 -sha256 \
   -days 3650 \
   -outform DER -out PK.cer

   Copy to Clipboard Toggle word wrap

   openssl ユーティリティーは、出力形式を Distinguished Encoding Rules (DER)に設定することで、証明書の共通名プラットフォームキーを生成します。

3. Key Exchange Key データベース用に新しい RSA 秘密鍵 KEK.key と自己署名 X.509 証明書 KEK.cer を生成します。

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout KEK.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "/CN=Key Exchange Key/" \
   -outform DER -out KEK.cer

   Copy to Clipboard Toggle word wrap

4. カスタム証明書 custom_db.cer を生成します。

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout custom_db.key \
   -new -x509 -sha256 \
   -days 3650 -subj "/CN=Signature Database key/" \
   --outform DER -out custom_db.cer

   Copy to Clipboard Toggle word wrap

5. 64 ビットシステムの禁止署名の更新された UEFI 失効リストファイル(dbx)をダウンロードします。

   $ wget https://uefi.org/sites/default/files/resources/x64_DBXUpdate.bin

   Copy to Clipboard Toggle word wrap

6. virt-fw-vars ユーティリティーを使用して、鍵、データベース証明書、および UEFI 変数ストアから aws_blob.bin バイナリーファイルを生成します。

   $ virt-fw-vars --output-aws aws_blob.bin \
   --set-pk "$(< GUID.txt)" PK.cer \
   --add-kek "$(< GUID.txt)" KEK.cer \
   --add-db "$(< GUID.txt)" custom_db.cer \
   --add-db 77fa9abd-0359-4d32-bd60-28f4e78f784b MicCorUEFCA2011_2011-06-27.crt \
   --set-dbx x64_DBXUpdate.bin

   Copy to Clipboard Toggle word wrap

   カスタマイズされた BLOB は、以下で構成されます。

   • 自己署名の X.509 証明書を使用した PK.cer
   • 所有者グループの GUID および Privacy Enhanced Mail (pem)形式を含む KEK.cer および custom_db.cer
   • 除外された署名(dbx)のデータベースからダウンロードされた x64_DBXUpdate.bin リスト。
   • 77fa9abd-0359-4d32-bd60-28f4e78f784b UUID は、MicCorUEFCA2011_2011-06-27.crt Microsoft Corporation UEFI Certification Authority 2011 用です。

7. awscli2 ユーティリティーを使用して、必要なセキュアブート変数を使用してディスクスナップショットから AMI を作成して登録します。

   $ aws ec2 register-image \
   --name rhel9-example-ami \
   --architecture x86_64 \
   --virtualization-type hvm \
   --root-device-name "/dev/sda1" \
   --block-device-mappings "{\"DeviceName\": \"/dev/sda1\",\"Ebs\": {\"SnapshotId\": \"snap-example-id\"}}" \
   --ena-support --boot-mode uefi \
   --region eu-central-1 \
   --uefi-data $(cat aws_blob.bin)

   Copy to Clipboard Toggle word wrap
8. AWS コンソールからインスタンスを再起動します。

検証

1. セキュアブートが有効になっているかどうかを確認します。

   $ mokutil --sb-state
   SecureBoot enabled

   Copy to Clipboard Toggle word wrap

2. keyctl ユーティリティーを使用して、カスタム証明書のカーネルキーリングを確認します。

   $ sudo keyctl list %:.platform
   
   4 keys in keyring:
   907254483: ---lswrv     0     0 asymmetric: Signature Database key: f064979641c24e1b935e402bdbc3d5c4672a1acc
   ...

   Copy to Clipboard Toggle word wrap