RHEL 9 Web コンソールを使用したシステムの管理

手順

1. Web コンソールがインストールバリアントにデフォルトでインストールされていない場合は、cockpit パッケージを手動でインストールします。

   # dnf install cockpit

   Copy to Clipboard Toggle word wrap

2. 必要に応じて、Web サーバーを実行する cockpit.socket サービスを有効にして起動します。

   # systemctl enable --now cockpit.socket

   Copy to Clipboard Toggle word wrap

3. Web コンソールがインストールバリアントにデフォルトでインストールされておらず、カスタムのファイアウォールプロファイルを使用している場合は、cockpit サービスを firewalld に追加して、ファイアウォールの 9090 番ポートを開きます。

   # firewall-cmd --add-service=cockpit --permanent
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

手順

1. Web ブラウザーに次のアドレスを入力して Web コンソールにアクセスします。

   https://localhost:9090

   Copy to Clipboard Toggle word wrap
   注記

   これにより、ローカルマシン上で Web コンソールログインが可能になります。リモートシステムの Web コンソールにログインする場合、「リモートマシンから Web コンソールへの接続」 を参照してください。

   自己署名証明書を使用する場合は、ブラウザーに警告が表示されます。証明書を確認し、セキュリティー例外を許可して、ログインを続行します。

   コンソールは /etc/cockpit/ws-certs.d ディレクトリーから証明書をロードし、アルファベット順で最後となる .cert 拡張子のファイルを使用します。セキュリティーの例外を承認しなくてもすむように、認証局 (CA) が署名した証明書をインストールします。

2. ログイン画面で、システムユーザー名とパスワードを入力します。
3. Log In をクリックします。

手順

1. 任意のテキストエディターで、/etc/cockpit/ ディレクトリーの cockpit.conf ファイルを開くか、作成します。次に例を示します。

   # vi cockpit.conf

   Copy to Clipboard Toggle word wrap

2. 次のテキストを追加します。

   [basic]
   action = none

   Copy to Clipboard Toggle word wrap
3. ファイルを保存します。

4. Web コンソールを再起動して、変更を有効にします。

   # systemctl try-restart cockpit

   Copy to Clipboard Toggle word wrap

手順

1. Web ブラウザーを開きます。

2. リモートサーバーのアドレスを次のいずれかの形式で入力します。

   1. サーバーのホスト名を使用する場合:

      https://<server.hostname.example.com>:<port-number>

      Copy to Clipboard Toggle word wrap

      以下に例を示します。

      https://example.com:9090

      Copy to Clipboard Toggle word wrap

   2. サーバーの IP アドレスを使用する場合:

      https://<server.IP_address>:<port-number>

      Copy to Clipboard Toggle word wrap

      以下に例を示します。

      https://192.0.2.2:9090

      Copy to Clipboard Toggle word wrap
3. ログインインターフェイスが開いたら、RHEL システムの認証情報を使用してログインします。

手順

1. /etc/cockpit/ ディレクトリーにある disallowed-users ファイルを任意のテキストエディターで開きます。次に例を示します。

   # vi /etc/cockpit/disallowed-users

   Copy to Clipboard Toggle word wrap

2. このファイルを編集して、root ユーザーの行を削除します。

   # List of users which are not allowed to login to Cockpit root
    

   Copy to Clipboard Toggle word wrap
3. 変更を保存し、エディターを終了します。

手順

1. ブラウザーで RHEL Web コンソールを開きます。

   • ローカルの場合 - https://localhost:PORT_NUMBER
   • リモートでサーバーのホスト名を使用する場合 - https://example.com:PORT_NUMBER

   • リモートでサーバーの IP アドレスを使用する場合 - https://EXAMPLE.SERVER.IP.ADDR:PORT_NUMBER

     自己署名証明書を使用する場合は、ブラウザーに警告が表示されます。証明書を確認し、セキュリティー例外を許可してから、ログインを続行します。

     コンソールは /etc/cockpit/ws-certs.d ディレクトリーから証明書をロードし、アルファベット順で最後となる .cert 拡張子のファイルを使用します。セキュリティーの例外を承認しなくてもすむように、認証局 (CA) が署名した証明書をインストールします。

2. ログイン画面が表示されます。ログイン画面で、システムユーザーの名前とパスワードを入力します。
3. デバイスでワンタイムパスワードを生成します。
4. パスワードを確認してから、Web コンソールインターフェイスに表示される新規フィールドにワンタイムパスワードを入力します。
5. Log in をクリックします。
6. ログインに成功すると、Web コンソールインターフェイスの Overview ページに移動します。

手順

1. 任意のテキストエディターで /etc/issue.cockpit ファイルを開きます。

   # vi /etc/issue.cockpit

   Copy to Clipboard Toggle word wrap

2. バナーとして表示するコンテンツをファイルに追加します。次に例を示します。

   This is an example banner for the RHEL web console login page.

   Copy to Clipboard Toggle word wrap

   ファイルにマクロを含めることはできませんが、改行と ASCII アートは使用できます。

3. ファイルを保存します。

4. 任意のテキストエディターで、/etc/cockpit/ ディレクトリーの cockpit.conf ファイルを開きます。次に例を示します。

   # vi /etc/cockpit/cockpit.conf

   Copy to Clipboard Toggle word wrap

5. 以下のテキストをファイルに追加します。

   [Session]
   Banner=/etc/issue.cockpit

   Copy to Clipboard Toggle word wrap
6. ファイルを保存します。

7. Web コンソールを再起動して、変更を有効にします。

   # systemctl try-restart cockpit

   Copy to Clipboard Toggle word wrap

手順

1. 任意のテキストエディターで、/etc/cockpit/ ディレクトリーの cockpit.conf ファイルを開きます。次に例を示します。

   # vi /etc/cockpit/cockpit.conf

   Copy to Clipboard Toggle word wrap

2. 以下のテキストをファイルに追加します。

   [Session]
   IdleTimeout=<X>

   Copy to Clipboard Toggle word wrap

   <X> は、任意の期間の数値 (分単位) に置き換えます。

3. ファイルを保存します。

4. Web コンソールを再起動して、変更を有効にします。

   # systemctl try-restart cockpit

   Copy to Clipboard Toggle word wrap

手順

1. 使用されていないポート (例: <4488/tcp>) を選択し、cockpit サービスがそのポートにバインドできるように SELinux に指示します。

   # semanage port -a -t websm_port_t -p tcp <4488>

   Copy to Clipboard Toggle word wrap

   ポートは 1 つのサービスのみで一度に使用できるため、すでに使用しているポートを使用しようとすると、ValueError: Port already defined エラーが発生します。

2. ファイアウォールで新しいポートを開き、以前のポートを閉じます。

   # firewall-cmd --service cockpit --permanent --add-port=<4488>/tcp
   # firewall-cmd --service cockpit --permanent --remove-port=9090/tcp

   Copy to Clipboard Toggle word wrap

3. cockpit.socket サービスのオーバーライドファイルを作成します。

   # systemctl edit cockpit.socket

   Copy to Clipboard Toggle word wrap

4. 次に表示されるエディター画面で、/etc/systemd/system/cockpit.socket.d/ ディレクトリーにある空の override.conf ファイルが開きます。次の行を追加して、Web コンソールのデフォルトポートを、9090 から、先ほど選択した番号に変更します。

   [Socket]
   ListenStream=
   ListenStream=<4488>

   Copy to Clipboard Toggle word wrap

   最初の ListenStream= ディレクティブの値が空になっているのは意図的であることに注意してください。単一のソケットユニットで複数の ListenStream ディレクティブを宣言きます。このドロップインファイルに空の値を指定すると、リストがリセットされ、元のユニットのデフォルトポート 9090 が無効になります。

   重要

   上記のコードスニペットは、# Anything between here と # Lines below this で始まる行の間に挿入してください。それ以外の場合、システムによって変更が破棄されます。

5. Ctrl + O と Enter を押して変更を保存します。Ctrl + X を押してエディターを終了します。

6. 変更した設定を再読み込みします。

   # systemctl daemon-reload

   Copy to Clipboard Toggle word wrap

7. 設定が機能していることを確認します。

   # systemctl show cockpit.socket -p Listen
   Listen=[::]:4488 (Stream)

   Copy to Clipboard Toggle word wrap

8. cockpit.socket を再起動します。

   # systemctl restart cockpit.socket

   Copy to Clipboard Toggle word wrap

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Manage the RHEL web console
     hosts: managed-node-01.example.com
     tasks:
       - name: Install RHEL web console
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.cockpit
         vars:
           cockpit_packages: default
           cockpit_manage_selinux: true
           cockpit_manage_firewall: true
           cockpit_certificates:
             - name: /etc/cockpit/ws-certs.d/01-certificate
               dns: ['localhost', 'www.example.com']
               ca: ipa

   Copy to Clipboard Toggle word wrap

   サンプル Playbook で指定されている設定は次のとおりです。

   cockpit_manage_selinux: true

   selinux システムロールを使用して、websm_port_t SELinux タイプで正しいポート権限を設定するように SELinux を設定できるようにします。

   cockpit_manage_firewall: true

   cockpit システムロールが firewalld システムロールを使用してポートを追加できるようにします。

   cockpit_certificates: <YAML_dictionary>

   デフォルトでは、RHEL Web コンソールは自己署名証明書を使用します。または、cockpit_certificates 変数を Playbook に追加し、IdM 認証局 (CA) から証明書を要求するか、管理対象ノードで使用可能な既存の証明書と秘密鍵を使用するようにロールを設定することもできます。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.cockpit/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard Toggle word wrap

手順

1. 任意のテキストエディターで <systemd>.override.json ファイルのマニフェスト設定をオーバーライドします。次に例を示します。

   1. すべてのユーザーの設定を編集するには、次のように入力します。

      # vi /etc/cockpit/<systemd>.override.json

      Copy to Clipboard Toggle word wrap

   2. 単一ユーザーの設定を編集するには、次のように入力します。

      # vi ~/.config/cockpit/<systemd>.override.json

      Copy to Clipboard Toggle word wrap

2. 次の詳細を含む必要なファイルを編集します。

   {
     "menu": {
     "services": null,
     "logs": {
         "order": -1
     }
    }
   }

   Copy to Clipboard Toggle word wrap
   • null 値を指定すると、services タブが非表示になります。
   • -1 値を指定すると、logs タブが一番目に移動します。

3. cockpit サービスを再起動します。

   # systemctl restart cockpit.service

   Copy to Clipboard Toggle word wrap

手順

1. RHEL 9 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Software Updates をクリックします。

   利用可能な更新のリストは、24 時間が経過すると自動的に更新されます。再読み込みさせるには、Check for Updates ボタンをクリックします。

3. 更新を適用します。更新の実行中に更新ログを見ることができます。

   1. 利用可能な更新をすべてインストールするには、Install all updates ボタンをクリックします。
   2. 利用可能なセキュリティー更新がある場合は、Install Security Updates ボタンをクリックして個別にインストールできます。
   3. kpatch 更新が利用可能な場合は、Install kpatch updates ボタンをクリックして個別にインストールできます。

4. オプション: システムを自動的に再起動するために、Reboot after completion スイッチをオンにすることができます。

   この手順を実行する場合は、この手順の残りの手順をスキップできます。

5. システムが更新を適用すると、システムを再起動するように勧められます。新しいカーネルまたはシステムサービスが更新に含まれていて、それらを個別に再起動する必要がない場合は、システムを再起動します。

6. 無視 をクリックして再起動をキャンセルするか、今すぐ再起動 をクリックしてシステムの再起動を続行します。

   システムの再起動後、Web コンソールにログインし、Software Updates ページに移動して更新が成功したことを確認します。

手順

1. RHEL 9 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Software Updates をクリックします。
3. Settings テーブルで、Edit ボタンをクリックします。
4. 自動更新の種類を一つ選びます。Security updates only、または All updates を選択できます。
5. 自動更新の日付を変更するには、ドロップダウンメニューの 毎日 をクリックして、特定の日付を選択します。
6. 自動更新の時刻を変更するには、6:00 のフィールドをクリックして、特定の時刻を選択するか、入力します。
7. ソフトウェアの自動更新を無効にする場合は、更新なし を選択してください。

手順

1. RHEL 9 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Software Updates をクリックします。
3. システムの更新を適用します。
4. 更新が成功したら、Reboot system…​、Restart services…​、または Ignore をクリックします。

5. 無視することにした場合には、次のいずれかの方法で再起動またはリブートメニューに戻ることができます。

   1. リブート:

      1. Software Updates ページの Status フィールドにある Reboot system ボタンをクリックします。
      2. オプション: ログインしているユーザーへのメッセージを書きます。
      3. Delay ドロップダウンメニューから、delay を選択します。
      4. Reboot をクリックします。

   2. サービスの再起動:

      1. Software Updates ページの Status フィールドにある Restart services ボタンをクリックします。

         再起動が必要なすべてのサービスのリストが表示されます。

      2. サービスの再起動 をクリックします。

         選択した内容に応じて、システムを再起動するか、サービスを再起動します。

手順

1. RHEL 9 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Software Updates をクリックします。

3. カーネルパッチの設定状況を確認します。

   1. パッチがインストールされていない場合は、インストール をクリックします。

      

   2. カーネルパッチを有効にするには、Enable をクリックします。

      

   3. カーネルパッチを適用する場合はチェックを入れます。

   4. 現在および今後のカーネルにパッチを適用するか、現在のカーネルにのみ適用するかを選択します。今後のカーネルにパッチを適用することを選択した場合、システムは今後リリースされるカーネルのパッチも適用します。

      

   5. Apply をクリックします。

手順

1. ブラウザーで https://<ip_address_or_hostname>:9090 を開き、Web コンソールにログインします。
2. Overview ページの Health フィールドで、Not registered の警告をクリックするか、メインメニューの Subscriptions をクリックして、サブスクリプション情報を含むページに移動します。
3. Overview フィールドで、Register をクリックします。

4. Register system ダイアログで、登録方法を選択します。

   オプション: 組織の名前または ID を入力します。アカウントが Red Hat カスタマーポータルで複数の組織に所属している場合には、組織名または ID を追加する必要があります。組織 ID を取得する場合は、Red Hat のテクニカルアカウントマネージャーに確認してください。

5. システムを Red Hat Insights に接続しない場合は、Insights チェックボックスをオフにします。
6. Register をクリックします。

手順

1. RHEL 9 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Overview ページの Health フィールドで、Not registered の警告をクリックするか、メインメニューの Subscriptions をクリックして、サブスクリプション情報を含むページに移動します。

   .

3. Overview フィールドの Register をクリックします。

4. Register system ダイアログボックスで、Activation key を選択して、アクティベーションキーを使用して登録します。

   

5. キーを入力します。

6. 組織名または ID を入力します。

   組織 ID の取得は、Red Hat にお問い合わせください。

   • Red Hat Insights にシステムを接続しない場合は、Insights チェックボックスのチェックを外してください。
7. Register をクリックします。

手順

1. RHEL 9 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. RHEL 9 Web コンソールで、Overview ページの左上隅にある <username>@<hostname> をクリックします。

   

3. ドロップダウンメニューから、Add new host をクリックします。
4. 新規ホストの追加 ダイアログボックスで、追加するホストを指定します。

5. オプション: 接続するアカウントのユーザー名を追加します。

   リモートシステムのユーザーアカウントを使用できます。ただし、管理者権限のないユーザーアカウントの認証情報を使用すると、管理タスクを実行できません。

   ローカルシステムと同じ認証情報を使用すると、ログインするたびに Web コンソールによってリモートシステムが自動的に認証されます。複数のシステムで同じ認証情報を使用すると、セキュリティーが弱まることに注意してください。

6. オプション: Color フィールドをクリックして、システムの色を変更します。
7. Add をクリックします。

手順

1. RHEL 9 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. RHEL 9 Web コンソールで、Overview ページの左上隅にある <username>@<hostname> をクリックします。

   

3. ドロップダウンメニューから、Add new host をクリックします。
4. 新規ホストの追加 ダイアログボックスで、追加するホストを指定します。

5. 接続するアカウントのユーザー名を追加します。

   リモートシステムのユーザーアカウントを使用できます。ただし、管理者権限のないユーザーアカウントを使用すると、管理タスクを実行できません。

6. オプション: Color フィールドをクリックして、システムの色を変更します。

7. Add をクリックします。

   新しいダイアログウィンドウが表示され、パスワードの入力が求められます。

8. ユーザーアカウントのパスワードを入力します。

9. すでに SSH 鍵がある場合は、Authorize SSH key チェックボックスをオンにします。

   

10. SSH 鍵がない場合は、Create new SSH key and authorize it にチェックを入れてください。Web コンソールが鍵を作成します。

    

    1. SSH 鍵のパスワードを追加します。
    2. パスワードを確認すします。
11. Log in をクリックします。

検証

1. ログアウトします。
2. ログインし直してください。
3. Not connected to host 画面の Log in をクリックします。

4. 認証オプションとして、SSH 鍵を選択します。

   

   View larger image

   
5. 鍵のパスワードを入力します。
6. Log in をクリックします。

手順

1. 委任ルールがアクセスできるターゲットホストのリストを作成します。

   1. サービス委任ターゲットを作成します。

      $ ipa servicedelegationtarget-add cockpit-target

      Copy to Clipboard Toggle word wrap

   2. 委任対象に対象ホストを追加します。

      $ ipa servicedelegationtarget-add-member cockpit-target \
        --principals=host/remote.idm.example.com@IDM.EXAMPLE.COM

      Copy to Clipboard Toggle word wrap

2. サービス委任ルールを作成し、HTTP サービスの Kerberos プリンシパルを追加することで、cockpit セッションがターゲットホストリストにアクセスできるようにします。

   1. サービス委任ルールを作成します。

      $ ipa servicedelegationrule-add cockpit-delegation

      Copy to Clipboard Toggle word wrap

   2. Web コンソールクライアントを委任ルールに追加します。

      $ ipa servicedelegationrule-add-member cockpit-delegation \
        --principals=HTTP/myhost.idm.example.com@IDM.EXAMPLE.COM

      Copy to Clipboard Toggle word wrap

   3. 委任対象を委任ルールに追加します。

      $ ipa servicedelegationrule-add-target cockpit-delegation \
        --servicedelegationtargets=cockpit-target

      Copy to Clipboard Toggle word wrap

3. remote.idm.example.com ホストで Kerberos 認証を有効にします。

   1. root として、SSH 経由で remote.idm.example.com に接続します。
   2. /etc/ssh/sshd_config ファイルを開いて編集します。
   3. GSSAPIAuthentication no 行のコメントを外し、GSSAPIAuthentication yes に置き換えて、GSSAPIAuthentication を有効にします。

4. 変更をすぐに有効にするには、remote.idm.example.com で sshd サービスを再起動します。

   $ systemctl try-restart sshd.service

   Copy to Clipboard Toggle word wrap

手順

1. ~/MyPlaybooks/ ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

2. 以下の内容で web-console-smart-card-ssh.yml Playbook を作成します。

   1. 委任対象の存在を確認するタスクを作成します。

      ---
      - name: Playbook to create a constrained delegation target
        hosts: ipaserver
      
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
        - name: Ensure servicedelegationtarget web-console-delegation-target is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target

      Copy to Clipboard Toggle word wrap

   2. 対象ホストを委任ターゲットに追加するタスクを追加します。

        - name: Ensure servicedelegationtarget web-console-delegation-target member principal host/remote.idm.example.com@IDM.EXAMPLE.COM is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target
            principal: host/remote.idm.example.com@IDM.EXAMPLE.COM
            action: member

      Copy to Clipboard Toggle word wrap

   3. 委任ルールの存在を確認するタスクを追加します。

        - name: Ensure servicedelegationrule delegation-rule is present
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule

      Copy to Clipboard Toggle word wrap

   4. Web コンソールクライアントサービスの Kerberos プリンシパルが制約付き委任ルールのメンバーであることを確認するタスクを追加します。

        - name: Ensure the Kerberos principal of the web console client service is added to the servicedelegationrule web-console-delegation-rule
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            principal: HTTP/myhost.idm.example.com
            action: member

      Copy to Clipboard Toggle word wrap

   5. 制約付き委任ルールが web-console-delegation-target 委任対象と関連付けられることを確認するタスクを追加します。

        - name: Ensure a constrained delegation rule is associated with a specific delegation target
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            target: web-console-delegation-target
            action: member

      Copy to Clipboard Toggle word wrap
3. ファイルを保存します。

4. Ansible Playbook を実行します。Playbook ファイル、secret.yml ファイルを保護するパスワードを格納するファイル、およびインベントリーファイルを指定します。

   $ ansible-playbook --vault-password-file=password_file -v -i inventory web-console-smart-card-ssh.yml

   Copy to Clipboard Toggle word wrap

5. remote.idm.example.com で Kerberos 認証を有効にします。

   1. root として、SSH 経由で remote.idm.example.com に接続します。
   2. /etc/ssh/sshd_config ファイルを開いて編集します。
   3. GSSAPIAuthentication no 行のコメントを外し、GSSAPIAuthentication yes に置き換えて、GSSAPIAuthentication を有効にします。

6. 変更をすぐに有効にするには、remote.idm.example.com で sshd サービスを再起動します。

   $ systemctl try-restart sshd.service

   Copy to Clipboard Toggle word wrap

手順

1. RHEL 9 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Overview タブの Configuration フィールドで、Join Domain をクリックします。
3. ドメイン参加 ダイアログボックスの ドメインアドレス フィールドに、IdM サーバーのホスト名を入力します。
4. ドメイン管理者名 フィールドで、IdM 管理アカウントのユーザー名を入力します。
5. Domain administrator password にパスワードを追加します。
6. 参加 をクリックします。

検証

1. システムが IdM ドメインに参加していると、RHEL 9 Web コンソールにエラーが表示されず、システム 画面でドメイン名を確認できます。

2. ユーザーがドメインのメンバーであることを確認するには、Terminal ページをクリックし、id コマンドを実行します。

   $ id
   euid=548800004(example_user) gid=548800004(example_user) groups=548800004(example_user) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

手順

1. Kerberos Ticket-Granting Ticket を取得します。

   $ kinit idmuser@IDM.EXAMPLE.COM
   Password for idmuser@IDM.EXAMPLE.COM:

   Copy to Clipboard Toggle word wrap

2. Web コンソールサービスを実行しているホストの完全修飾名をブラウザーに入力します。

    https://<dns_name>:9090

   Copy to Clipboard Toggle word wrap
   

   View larger image

   

   この時点で、RHEL Web コンソールへの接続に成功しており、設定を開始できます。たとえば、Web コンソールで RHEL 9 システムを IdM ドメインに参加させることが できます。

手順

1. symlink を作成します。

   # ln -s /var/lib/ipa/gssproxy/http.keytab /etc/cockpit/krb5.keytab

   Copy to Clipboard Toggle word wrap

2. 証明書ファイルの Bash 変数を設定します。

   # CERT_FILE=/etc/cockpit/ws-certs.d/50-certmonger.crt

   Copy to Clipboard Toggle word wrap

3. 証明書キーの Bash 変数を設定します。

   # KEY_FILE=/etc/cockpit/ws-certs.d/50-certmonger.key

   Copy to Clipboard Toggle word wrap

4. 証明書キーペアを生成します。

   # ipa-getcert request -f ${CERT_FILE} -k ${KEY_FILE} -D $(hostname --fqdn)

   Copy to Clipboard Toggle word wrap

手順

1. opensc パッケージおよび gnutls-utils パッケージをインストールします。

   # dnf -y install opensc gnutls-utils

   Copy to Clipboard Toggle word wrap

2. pcscd サービスを開始します。

   # systemctl start pcscd

   Copy to Clipboard Toggle word wrap

手順

1. スマートカードを消去して PIN で自身を認証します。

   $ pkcs15-init --erase-card --use-default-transport-keys
   Using reader with a card: Reader name
   PIN [Security Officer PIN] required.
   Please enter PIN [Security Officer PIN]:

   Copy to Clipboard Toggle word wrap

   カードが削除されました。

2. スマートカードを初期化し、ユーザーの PIN と PUK を設定します。また、セキュリティー担当者の PIN と PUK を設定します。

   $ pkcs15-init --create-pkcs15 --use-default-transport-keys \
       --pin 963214 --puk 321478 --so-pin 65498714 --so-puk 784123
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   pcks15-init ツールは、スマートカードに新しいスロットを作成します。

3. スロットのラベルと認証 ID を設定します。

   $ pkcs15-init --store-pin --label testuser \
       --auth-id 01 --so-pin 65498714 --pin 963214 --puk 321478
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

   ラベルは人間が判読できる値に設定されます (この場合は testuser)。auth-id は 16 進数の値である必要があります。この場合、01 に設定されます。

4. スマートカードの新しいスロットに秘密鍵を保存し、ラベルを付けます。

   $ pkcs15-init --store-private-key testuser.key --label testuser_key \
       --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   注記

   --id に指定する値は、秘密鍵を保存するときと、次の手順で証明書を保存するときに同じである必要があります。--id に独自の値を指定することを推奨します。そうしないと、より複雑な値がツールによって計算されます。

5. スマートカードの新しいスロットに証明書を保存し、ラベル付けします。

   $ pkcs15-init --store-certificate testuser.crt --label testuser_crt \
       --auth-id 01 --id 01 --format pem --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap

6. オプション: スマートカードの新しいスロットに公開鍵を保存し、ラベルを付けます。

   $ pkcs15-init --store-public-key testuserpublic.key \
       --label testuserpublic_key --auth-id 01 --id 01 --pin 963214
   Using reader with a card: Reader name

   Copy to Clipboard Toggle word wrap
   注記

   公開鍵が秘密鍵または証明書に対応する場合は、秘密鍵または証明書の ID と同じ ID を指定します。

7. オプション: スマートカードの中には、設定をロックしてカードをファイナライズする必要があるものもあります。

   $ pkcs15-init -F

   Copy to Clipboard Toggle word wrap

   この段階で、スマートカードの新しく作成されたスロットに、証明書、秘密鍵、公開鍵が含まれています。ユーザーの PIN と PUK、およびセキュリティー担当者の PIN と PUK も作成しました。

手順

1. RHEL 9 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Terminal をクリックします。

3. /etc/cockpit/cockpit.conf で ClientCertAuthentication を yes に設定します。

   [WebService]
   ClientCertAuthentication = yes

   Copy to Clipboard Toggle word wrap

4. オプション: 以下のようにして cockpit.conf でパスワードベースの認証を無効にします。

   [Basic]
   action = none

   Copy to Clipboard Toggle word wrap

   この設定ではパスワード認証が無効になり、常にスマートカードを使用する必要があります。

5. Web コンソールを再起動して、cockpit.service が変更を受け入れることを確認します。

   # systemctl restart cockpit

   Copy to Clipboard Toggle word wrap

手順

1. RHEL 9 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

   ブラウザーは、スマートカードに保存されている証明書を PIN で保護するよう要求します。

2. Password Required ダイアログボックスで PIN を入力し、OK をクリックします。
3. User Identification Request ダイアログボックスで、スマートカードに保存されている証明書を選択します。

4. Remember this decision を選択します。

   次回、このウィンドウが開きません。

   注記

   この手順は、Google Chrome ユーザーには適用されません。

5. OK をクリックします。

手順

1. チケットがアクセスできるホストをリストアップする制約委譲ルールを設定します。

   例8.1 制約委譲ルールの設定

   Web コンソールセッションはホスト host.example.com で実行されており、sudo を使用して自分のホストにアクセスできるように信頼されている必要があります。さらに、2 つ目の信頼できるホストとして remote.example.com を追加します。

   • 以下の委譲を作成します。

     • 以下のコマンドを実行して、特定のルールがアクセスできるターゲットマシンのリストを追加します。

       # ipa servicedelegationtarget-add cockpit-target
       # ipa servicedelegationtarget-add-member cockpit-target \
          --principals=host/host.example.com@EXAMPLE.COM \
          --principals=host/remote.example.com@EXAMPLE.COM

       Copy to Clipboard Toggle word wrap

     • Web コンソールセッション (HTTP/プリンシパル) がそのホストリストにアクセスできるようにするには、次のコマンドを使用します。

       # ipa servicedelegationrule-add cockpit-delegation
       # ipa servicedelegationrule-add-member cockpit-delegation \
         --principals=HTTP/host.example.com@EXAMPLE.COM
       # ipa servicedelegationrule-add-target cockpit-delegation \
         --servicedelegationtargets=cockpit-target

       Copy to Clipboard Toggle word wrap

2. 対応するサービスで GSS 認証を有効にします。

   1. sudo の場合は、/etc/sssd/sssd.conf ファイルで pam_sss_gss モジュールを有効にします。

      1. root で、/etc/sssd/sssd.conf 設定ファイルにドメイン用のエントリーを追加します。

         [domain/example.com]
         pam_gssapi_services = sudo, sudo-i

         Copy to Clipboard Toggle word wrap

      2. /etc/pam.d/sudo ファイルの 1 行目でモジュールを有効にします。

         auth sufficient pam_sss_gss.so

         Copy to Clipboard Toggle word wrap
   2. SSH の場合、/etc/ssh/sshd_config ファイルの GSSAPIAuthentication オプションを yes に更新します。

検証

1. スマートカードを使用して Web コンソールにログインします。
2. Limited access ボタンをクリックします。
3. スマートカードを使用して認証を行います。

手順

1. 端末で system-cockpithttps.slice 設定ファイルを開きます。

   # systemctl edit system-cockpithttps.slice

   Copy to Clipboard Toggle word wrap

2. TasksMax を 100 に、CPUQuota を 30% に制限します。

   [Slice]
   # change existing value
   TasksMax=100
   # add new restriction
   CPUQuota=30%

   Copy to Clipboard Toggle word wrap

3. 変更を適用するには、システムを再起動します。

   # systemctl daemon-reload
   # systemctl stop cockpit

   Copy to Clipboard Toggle word wrap