Image Mode for RHEL を使用したオペレーティングシステムの構築、デプロイ、管理

手順

1. Containerfile を作成します。

   $ cat Containerfile
   FROM registry.redhat.io/rhel9/rhel-bootc:latest
   RUN dnf -y install cloud-init && \
       ln -s ../cloud-init.target /usr/lib/systemd/system/default.target.wants && \
       dnf clean all

   Copy to Clipboard Toggle word wrap

   この Containerfile の例では、cloud-init ツールが追加されています。そのため、SSH 鍵を自動的に取得し、インフラストラクチャーからスクリプトを実行できるほか、インスタンスメタデータから設定とシークレットを収集することもできます。たとえば、このコンテナーイメージを、事前に生成した AWS または KVM ゲストシステムに使用できます。

2. 現在のディレクトリーの Containerfile を使用して、<image> イメージをビルドします。

   $ podman build -t quay.io/<namespace>/<image>:<tag> .

   Copy to Clipboard Toggle word wrap

手順

1. 論理的にバインドするイメージを選択します。

2. Containerfile を作成します。

   $ cat Containerfile
   FROM quay.io/<namespace>/<image>:latest
   COPY ./<app_1>.image /usr/share/containers/systemd/<app_1>.image
   COPY ./<app_2>.container /usr/share/containers/systemd/<app_2>.container
   
   RUN ln -s /usr/share/containers/systemd/<app_1>.image \
   	/usr/lib/bootc/bound-images.d/<app_1>.image && \
       ln -s /usr/share/containers/systemd/<app_2>.container \
       	/usr/lib/bootc/bound-images.d/<app_2>.container

   Copy to Clipboard Toggle word wrap

3. .container 定義で、以下を使用します。

   GlobalArgs=--storage-opt=additionalimagestore=/usr/lib/bootc/storage

   Copy to Clipboard Toggle word wrap

   この Containerfile の例では、/usr/lib/bootc/bound-images.d ディレクトリーに、.image ファイルまたは .container ファイルを参照するシンボリックリンクを作成することにより、論理的にバインドされるイメージが選択されます。

4. bootc upgrade コマンドを実行します。

   $ bootc upgrade

   Copy to Clipboard Toggle word wrap

   bootc upgrade では、次の主な手順が実行されます。

   1. イメージリポジトリーから新しいベースイメージを取得します。「コンテナープルシークレットの設定」を参照してください。
   2. 新しいベースイメージのルートファイルシステムを読み取り、論理的にバインドされたイメージを検出します。
   3. 新しい bootc イメージで定義されている、検出された論理的にバインドされたイメージを、bootc が所有する /usr/lib/bootc/storage イメージストレージに自動的にプルします。

5. バインドされたイメージを Podman などのコンテナーランタイムで使用できるようにします。そのためには、バインドされたイメージが "追加のイメージストア" として bootc ストレージを参照するように明示的に設定する必要があります。以下に例を示します。

   podman --storage-opt=additionalimagestore=/usr/lib/bootc/storage run <image>

   Copy to Clipboard Toggle word wrap
   重要

   /etc/containers/storage.conf で /usr/lib/bootc/storage イメージストレージをグローバルに有効にしないでください。論理的にバインドされたイメージには bootc ストレージだけを使用してください。

手順

1. ログインして、registry.redhat.io に対する認証を行います。

   $ sudo podman login registry.redhat.io

   Copy to Clipboard Toggle word wrap

2. bootc-image-builder ツールをインストールします。

   $ sudo podman pull registry.redhat.io/rhel9/bootc-image-builder

   Copy to Clipboard Toggle word wrap

手順

1. オプション: ユーザーアクセスを設定するための config.toml を作成します。次に例を示します。

   [[customizations.user]]
   name = "user"
   password = "pass"
   key = "ssh-rsa AAA ... user@email.com"
   groups = ["wheel"]

   Copy to Clipboard Toggle word wrap

2. bootc-image-builder を実行します。必要に応じて、ユーザーアクセス設定を使用する場合は、config.toml を引数として渡します。

   注記

   コンテナーストレージマウントがない場合は、イメージがパブリックである必要があります。

   1. 以下は、パブリック QCOW2 イメージを作成する例です。

   2. 次の例では、パブリックな QCOW2 イメージを作成します。このイメージは、registry.redhat.io/rhel10/bootc-image-builder:latest などのレジストリーからアクセスできる必要があります。

      $ sudo podman run \
          --rm \
          --privileged \
          --pull=newer \
          --security-opt label=type:unconfined_t \
          -v ./config.toml:/config.toml:ro \
          -v ./output:/output \
          -v /var/lib/containers/storage:/var/lib/containers/storage \
          registry.redhat.io/rhel10/bootc-image-builder:latest \
          --type qcow2 \
          --config /config.toml \
        quay.io/<namespace>/<image>:<tag>

      Copy to Clipboard Toggle word wrap
   3. 以下は、プライベート QCOW2 イメージを作成する例です。

   4. この例では、ローカルコンテナーからプライベートな QCOW2 イメージを作成します。

      $ sudo podman run \
          --rm \
          -it \
          --privileged \
          --pull=newer \
          --security-opt label=type:unconfined_t \
          -v ./config.toml:/config.toml:ro \
          -v ./output:/output \
          -v /var/lib/containers/storage:/var/lib/containers/storage \
          registry.redhat.io/rhel10/bootc-image-builder:latest \
          --type qcow2 \
          --config /config.toml \
          quay.io/<namespace>/<image>:<tag>

      Copy to Clipboard Toggle word wrap

      .qcow2 イメージは出力フォルダーにあります。

手順

1. 次の内容の Containerfile を作成します。

   FROM registry.redhat.io/rhel10/rhel-bootc:latest
   RUN dnf -y install cloud-init open-vm-tools && \
   ln -s ../cloud-init.target /usr/lib/systemd/system/default.target.wants && \
   rm -rf /var/{cache,log} /var/lib/{dnf,rhsm} && \
   systemctl enable vmtoolsd.service

   Copy to Clipboard Toggle word wrap

2. bootc イメージをビルドします。

   # podman build . -t localhost/rhel-bootc-vmdk

   Copy to Clipboard Toggle word wrap
3. 以前に作成した bootc イメージから VMDK ファイルを作成します。

4. 以前に作成した bootc イメージから VMDK ファイルを作成します。このイメージは、registry.redhat.io/rhel10/bootc-image-builder:latest などのレジストリーからアクセスできる必要があります。

   # podman run \
   --rm \
   -it \
   --privileged \
   -v /var/lib/containers/storage:/var/lib/containers/storage \
   -v ./output:/output \
   --security-opt label=type:unconfined_t \
   --pull newer \
   registry.redhat.io/rhel10/bootc-image-builder:latest \
   --type vmdk \
   --config /config.toml \
   localhost/rhel-bootc-vmdk:latest

   Copy to Clipboard Toggle word wrap

   bootc イメージの VMDK ディスクファイルは、output/vmdk ディレクトリーに保存されます。

手順

1. オプション: ユーザーアクセスを設定するための config.toml を作成します。次に例を示します。

   [[customizations.user]]
   name = "user"
   password = "pass"
   key = "ssh-rsa AAA ... user@email.com"
   groups = ["wheel"]

   Copy to Clipboard Toggle word wrap

2. bootc-image-builder を実行します。必要に応じて、ユーザーアクセス設定を使用する場合は、config.toml を引数として渡します。

   注記

   コンテナーストレージマウントがない場合は、イメージがパブリックである必要があります。

3. bootc-image-builder を実行します。必要に応じて、ユーザーアクセス設定を使用する場合は、config.toml を引数として渡します。このイメージは、registry.redhat.io/rhel10/bootc-image-builder:latest などのレジストリーからアクセスできる必要があります。

   1. 以下は gce イメージを作成する例です。

      $ sudo podman run \
          --rm \
          -it \
          --privileged \
          --pull=newer \
          --security-opt label=type:unconfined_t \
          -v ./config.toml:/config.toml \
          -v ./output:/output \
          -v /var/lib/containers/storage:/var/lib/containers/storage \
          registry.redhat.io/rhel10/bootc-image-builder:latest \
          --type gce \
          --config /config.toml \
        quay.io/<namespace>/<image>:<tag>

      Copy to Clipboard Toggle word wrap

      gce イメージは出力フォルダーにあります。

手順

1. bootc イメージからディスクイメージを作成します。

   • Containerfile でユーザーの詳細を設定します。必ず sudo アクセスを割り当ててください。
   • Containerfile で設定したユーザーを使用して、カスタマイズされたオペレーティングシステムイメージをビルドします。これにより、パスワードなしの sudo アクセスを持つデフォルトのユーザーが作成されます。

2. オプション: cloud-init を使用してマシンイメージを設定します。ユーザーとグループの設定 - cloud-init を使用したユーザーと SSH 鍵の注入 を参照してください。以下に例を示します。

   FROM registry.redhat.io/rhel10/rhel-bootc:latest
   
   RUN dnf -y install cloud-init && \
       ln -s ../cloud-init.target /usr/lib/systemd/system/default.target.wants && \
       rm -rf /var/{cache,log} /var/lib/{dnf,rhsm}

   Copy to Clipboard Toggle word wrap
   注記

   cloud-init により、インスタンスメタデータを使用してユーザーや設定を追加することもできます。

3. bootc イメージをビルドします。たとえば、イメージを x86_64 AWS マシンにデプロイするには、次のコマンドを使用します。

   $ podman build -t quay.io/<namespace>/<image>:<tag> .
   $ podman push quay.io/<namespace>/<image>:<tag> .

   Copy to Clipboard Toggle word wrap
4. bootc-image-builder ツールを使用して、bootc コンテナーイメージから AMI を作成します。

5. bootc-image-builder ツールを使用して、bootc コンテナーイメージからパブリックな AMI イメージを作成します。このイメージは、registry.redhat.io/rhel10/bootc-image-builder:latest などのレジストリーからアクセスできる必要があります。

   $ sudo podman run \
     --rm \
     -it \
     --privileged \
     --pull=newer \
     -v $HOME/.aws:/root/.aws:ro \
     -v /var/lib/containers/storage:/var/lib/containers/storage \
     --env AWS_PROFILE=default \
     registry.redhat.io/rhel10/bootc-image-builder:latest \
     --type ami \
     --config /config.toml \
     --aws-ami-name rhel-bootc-x86 \
     --aws-bucket rhel-bootc-bucket \
     --aws-region us-east-1 \
   quay.io/<namespace>/<image>:<tag>

   Copy to Clipboard Toggle word wrap
   注記

   以下のフラグはすべてまとめて指定する必要があります。フラグを指定しない場合、AMI は出力ディレクトリーにエクスポートされます。

   • --aws-ami-name - AWS の AMI イメージの名前
   • --aws-bucket - AMI を作成する際の中間ストレージのターゲット S3 バケット名

   • --aws-region - AWS アップロードのターゲットリージョン

     bootc-image-builder ツールは AMI イメージをビルドし、ビルド後に AWS 認証情報を使用して AMI イメージをプッシュおよび登録することで、AWS s3 バケットにアップロードします。bootc-image-builder ツールは、AMI イメージをビルドし、ビルド後に AWS 認証情報を使用して AMI イメージをプッシュおよび登録することで、AWS S3 bucket にアップロードします。

手順

1. オプション: ユーザーアクセスを設定するための config.toml を作成します。次に例を示します。

   [[customizations.user]]
   name = "user"
   password = "pass"
   key = "ssh-rsa AAA ... user@email.com"
   groups = ["wheel"]

   Copy to Clipboard Toggle word wrap
2. bootc-image-builder を実行します。ユーザーアクセス設定を使用する場合は、config.toml を引数として渡します。

3. bootc-image-builder を実行します。ユーザーアクセス設定を使用する場合は、config.toml を引数として渡します。このイメージは、registry.redhat.io/rhel10/bootc-image-builder:latest などのレジストリーからアクセスできる必要があります。

   $ sudo podman run \
       --rm \
       -it \
       --privileged \
       --pull=newer \
       --security-opt label=type:unconfined_t \
       -v /var/lib/containers/storage:/var/lib/containers/storage \
       -v ./config.toml:/config.toml \
       -v ./output:/output \
       registry.redhat.io/rhel10/bootc-image-builder:latest \
       --type raw \
       --config /config.toml \
     quay.io/<namespace>/<image>:<tag>

   Copy to Clipboard Toggle word wrap

   .raw イメージは出力フォルダーにあります。

手順

1. オプション: 自動インストールを実行するデフォルトの埋め込みキックスタートをオーバーライドする config.toml を作成します。

   [customizations.installer.kickstart]
   contents = """
   text --non-interactive
   zerombr
   clearpart --all --initlabel --disklabel=gpt
   autopart --noswap --type=lvm
   network --bootproto=dhcp --device=link --activate --onboot=on
   """

   Copy to Clipboard Toggle word wrap
2. bootc-image-builder を実行します。設定を追加しない場合は、-v $(pwd)/config.toml:/config.toml 引数を省略します。

3. bootc-image-builder を実行してパブリックな ISO イメージを作成します。設定を追加しない場合は、-v $(pwd)/config.toml:/config.toml 引数を省略します。このイメージは、registry.redhat.io/rhel10/bootc-image-builder:latest などのレジストリーからアクセスできる必要があります。

   $ sudo podman run \
       --rm \
       -it \
       --privileged \
       --pull=newer \
       --security-opt label=type:unconfined_t \
       -v /var/lib/containers/storage:/var/lib/containers/storage \
       -v $(pwd)/config.toml:/config.toml \
       -v $(pwd)/output:/output \
       registry.redhat.io/rhel10/bootc-image-builder:latest \
       --type iso \
       --config /config.toml \
     quay.io/<namespace>/<image>:<tag>

   Copy to Clipboard Toggle word wrap

   .iso イメージは出力フォルダーにあります。

手順

1. キックスタートファイルを作成します。次のキックスタートファイルは、ユーザーの作成とパーティションの指示を含む、完全に自動のキックスタートファイル設定の例です。

   [customizations.installer.kickstart]
   contents = """
   lang en_GB.UTF-8
   keyboard uk
   timezone CET
   
   user --name <user> --password <password> --plaintext --groups <groups>
   sshkey --username <user> ssh-<type> <public key>
   rootpw --lock
   
   zerombr
   clearpart --all --initlabel
   autopart --type=plain
   reboot --eject
   """

   Copy to Clipboard Toggle word wrap
2. キックスタートコンテンツを注入するために、キックスタート設定を toml 形式で保存します。たとえば、config.toml です。

3. bootc-image-builder を実行し、ISO ビルドに追加するキックスタートファイル設定を含めます。bootc-image-builder によって、コンテナーイメージをインストールする ostreecontainer コマンドが自動的に追加されます。

   注記

   コンテナーストレージマウントおよび --local イメージオプションがない場合は、イメージをパブリックにする必要があります。

   1. 以下はパブリック ISO イメージを作成する例です。

      $ sudo podman run \
          --rm \
          -it \
          --privileged \
          --pull=newer \
          --security-opt label=type:unconfined_t \
          -v /var/lib/containers/storage:/var/lib/containers/storage \
          -v $(pwd)/config.toml:/config.toml \
          -v $(pwd)/output:/output \
          registry.redhat.io/rhel9/bootc-image-builder:latest \
          --type iso \
          --config /config.toml \
        quay.io/<namespace>/<image>:<tag>

      Copy to Clipboard Toggle word wrap

   2. 以下はプライベート ISO イメージを作成する例です。

      $ sudo podman run \
          --rm \
          -it \
          --privileged \
          --pull=newer \
          --security-opt label=type:unconfined_t \
          -v $(pwd)/config.toml:/config.toml:ro \
          -v $(pwd)/output:/output \
          -v /var/lib/containers/storage:/var/lib/containers/storage \
          registry.redhat.io/rhel9/bootc-image-builder:latest \
          --local
          --type iso \
        quay.io/<namespace>/<image>:<tag>

      Copy to Clipboard Toggle word wrap

      .iso イメージは出力フォルダーにあります。

1. config.toml ファイルの [disk] セクション内で image_size パラメーターを定義します。

   [disk]
   image_size = 10737418240 # Example: 10GB in bytes

   Copy to Clipboard Toggle word wrap

手順

1. 以下の内容で config.tom ファイルを作成します。

   1. ユーザーをイメージに追加します。

      [[customizations.user]]
      name = "user1"
      password = "user2"
      key = "ssh-rsa AAA ... user@email.com"
      groups = ["wheel"]
      
      # Set a size for the root partition:
      
      [[customizations.partitioning.plain.filesystems]]
      mountpoint = "/"
      type = "ext4"
      minsize = "3 GiB"
      
      # Add an extra data partition
      [[customizations.partitioning.plain.filesystems]]
      mountpoint = "/var/data"
      type = "xfs"
      minsize = "2 GiB"
      label = "data"
      
      
      # Add an app partition with a top-level mountpoint.
      # Requires derived container.
      [[customizations.partitioning.plain.filesystems]]
      mountpoint = "/app"
      type = "xfs"
      minsize = "1 GiB"
      label = "app"
      
      # Add the LVM configuration:
      # Define the LVM Volume Group name and size
      [[customizations.partitioning.lvm.volume_groups]]
      name = "rhelvg"
      minsize = 10737418240  # 10 GiB
      
      
      # Add a data Logical Volume to the group
      [[customizations.partitioning.lvm.volume_groups.logical_volumes]]
      name = "datalv"
      mountpoint = "/var/data"
      label = "data"
      minsize = "1 GiB"
      type = "xfs"
      
      
      # The root Logical Volume is created automatically if not defined, but setting
      # it lets us set the name, label, and size explicitly
      [[customizations.partitioning.lvm.volume_groups.logical_volumes]]
      name = "rootlv"
      mountpoint = "/"
      label = "system"
      minsize = "2 GiB"
      type = "ext4"
      
      
      # Add an app Logical Volume with a top-level mountpoint.
      # Requires derived container.
      [[customizations.partitioning.lvm.volume_groups.logical_volumes]]
      mountpoint = "/app"
      type = "xfs"
      minsize = "1 GiB"
      label = "app"
      name = "applv"

      Copy to Clipboard Toggle word wrap

2. bootc-image-builder を実行します。必要に応じて、ユーザーアクセス設定を使用する場合は、config.toml を引数として渡します。以下は、パブリック QCOW2 イメージを作成する例です。

   sudo podman run \
       --rm \
       -it \
       --privileged \
       --pull=newer \
       --security-opt label=type:unconfined_t \
       -v ./config.toml:/config.toml:ro \
       -v ./output:/output \
        registry.redhat.io/rhel9/bootc-image-builder:latest \
       --type qcow2 \
       --config /config.toml \
     quay.io/<namespace>/<image>:<tag>

   Copy to Clipboard Toggle word wrap

検証

1. 作成された QCOW2 ファイルを仮想マシンで実行します。

   qemu-system-x86_64 \
        -enable-kvm \
        -cpu host \
        -m 8G \
        -bios /usr/share/edk2/ovmf/OVMF_CODE.fd \
        -snapshot \
        -drive file="${path}/output/qcow2/disk.qcow2"

   Copy to Clipboard Toggle word wrap

2. SSH で起動した仮想マシンのシステムにアクセスします。

   # ssh -i /<path_to_private_ssh-key> <user1>@<ip-address>

   Copy to Clipboard Toggle word wrap

手順

1. config.toml を作成してカスタムマウントオプションを設定します。次に例を示します。

   name = "lvm"
   description = "A base system with custom LVM partitioning"
   
   [customizations.disk]
   
   [[customizations.disk.partitions]]
   mountpoint = "/var/data"
   minsize = "1 GiB"
   label = "data"
   fs_type = "ext4"
   
   [[customizations.disk.partitions]]
   mountpoint = "/"
   minsize = "2 GiB"
   label = "root"
   fs_type = "ext4"

   Copy to Clipboard Toggle word wrap

2. config.toml を引数として渡して、bootc-image-builder を実行します。

   注記

   コンテナーストレージマウントおよび --local イメージオプションがない場合は、イメージをパブリックにする必要があります。

   $ sudo podman run \
       --rm \
       -it \
       --privileged \
       --pull=newer \
       --security-opt label=type:unconfined_t \
       -v ./config.toml:/config.toml \
       -v ./output:/output \
       registry.redhat.io/rhel9/bootc-image-builder:latest \
       --type <image_type>\
       --config config.toml \
     quay.io/<namespace>/<image>:<tag>

   Copy to Clipboard Toggle word wrap

   カスタマイズした高度なパーティションを使用したイメージが、出力フォルダーに保存されます。

手順

1. Containerfile を作成します。

   FROM <internal_repository>/<image>
   RUN  mkdir -p /etc/pki/ca-trust/extracted/pem/
   COPY tls-ca-bundle.pem /etc/pki/ca-trust/extracted/pem/
   RUN  rm -rf /etc/yum.repos.d/*
   COPY echo-rhel9_4.repo /etc/yum.repos.d/

   Copy to Clipboard Toggle word wrap

2. カスタムイメージをビルドします。

   # podman build -t <your_image> .

   Copy to Clipboard Toggle word wrap

3. <your_image> を実行します。

   # podman run -it --rm <your_image>

   Copy to Clipboard Toggle word wrap

手順

1. ブラウザーで Service→EC2 にアクセスし、ログインします。
2. AWS コンソールのダッシュボードメニューで、正しいリージョンを選択します。イメージが正常にアップロードされたことを示すには、イメージが Available ステータスになっている必要があります。
3. AWS ダッシュボードでイメージを選択し、Launch をクリックします。
4. 新しく開いたウィンドウで、イメージを起動するために必要なリソースに応じて、インスタンスタイプを選択します。Review and Launch をクリックします。
5. インスタンスの詳細を確認します。変更が必要な場合は、各セクションを編集できます。Launch をクリックします。
6. インスタンスを起動する前に、インスタンスにアクセスするための公開鍵を選択します。既存のキーペアを使用するか、キーペアーを新規作成します。

7. インスタンスを起動するには、Launch Instance をクリックします。Initializing と表示されるインスタンスのステータスを確認できます。

   インスタンスのステータスが Running になると、Connect ボタンが有効になります。

8. Connect をクリックします。ウィンドウが表示され、SSH を使用して接続する方法の説明が表示されます。

9. 次のコマンドを実行して、自分だけが読み取れるように秘密鍵ファイルのパーミッションを設定します。Connect to your Linux instance を参照してください。

   $ chmod 400 <your-instance-name.pem>

   Copy to Clipboard Toggle word wrap

10. パブリック DNS を使用してインスタンスに接続します。

    $ ssh -i <your-instance-name.pem>ec2-user@<your-instance-IP-address>

    Copy to Clipboard Toggle word wrap

手順

1. ネットワークからイメージを取得するための ostreecontainer キックスタートファイルを作成します。以下に例を示します。

   # Basic setup
   text
   network --bootproto=dhcp --device=link --activate
   # Basic partitioning
   clearpart --all --initlabel --disklabel=gpt
   reqpart --add-boot
   part / --grow --fstype xfs
   
   # Reference the container image to install - The kickstart
   # has no %packages section. A container image is being installed.
   ostreecontainer --url quay.io/<namespace>/<image>:<tag> . bootc-image-builder:latest
   
   firewall --disabled
   services --enabled=sshd
   
   # Only inject a SSH key for root
   rootpw --iscrypted locked
   sshkey --username root "<your-key>"
   reboot

   Copy to Clipboard Toggle word wrap

2. 9.4 Boot ISO インストールメディアを使用してシステムを起動します。

   1. カーネル引数に、次の内容のキックスタートファイルを追加します。

      inst.ks=http://<path_to_your_kickstart>

      Copy to Clipboard Toggle word wrap
3. CTRL+X を押してシステムを起動します。

手順

1. ISO ディスクイメージを USB フラッシュドライブにコピーします。
2. USB スティック内のコンテンツを使用して、非接続環境でベアメタルインストールを実行します。

手順

1. RHEL インストール ISO イメージを、HTTP サーバーにエクスポートします。これにより、PXE ブートサーバーでは、PXE クライアントにサービスを提供する準備が整いました。
2. クライアントを起動して、インストールを開始します。
3. ブートソースを指定するよう求められたら、PXE ブートを選択します。ブートオプションが表示されない場合は、キーボードの Enter キーを押すか、起動画面が開くまで待ちます。
4. Red Hat Enterprise Linux の起動画面で、必要なブートオプションを選択し、Enter キーを押します。
5. ネットワークインストールを開始します。

手順

1. ./config.toml を作成します。次の例は、ディスクイメージにユーザーを追加する方法を示しています。

   [[customizations.user]]
   name = "user"
   password = "pass"
   key = "ssh-rsa AAA ... user@email.com"
   groups = ["wheel"]

   Copy to Clipboard Toggle word wrap
   • name - 必須。ユーザーの名前です。
   • password - 必須ではありません。暗号化されていないパスワードです。
   • key - 必須ではありません。SSH 公開鍵の内容です。
   • groups - 必須ではありません。ユーザーの追加先グループの配列です。

2. bootc-image-builder を実行します。./config.toml を含む次の引数を渡します。

   $ sudo podman run \
       --rm \
       -it \
       --privileged \
       --pull=newer \
       --security-opt label=type:unconfined_t \
       -v $(pwd)/config.toml:/config.toml \
       -v $(pwd)/output:/output \
       registry.redhat.io/rhel9/bootc-image-builder:latest \
       --type qcow2 \
       --config config.toml \
       quay.io/<namespace>/<image>:<tag>

   Copy to Clipboard Toggle word wrap

3. たとえば、virt-install を使用して仮想マシンを起動します。

   $ sudo virt-install \
     --name bootc \
     --memory 4096 \
     --vcpus 2 \
     --disk qcow2/disk.qcow2 \
     --import \
     --os-variant rhel9

   Copy to Clipboard Toggle word wrap

手順

1. インスタンスが起動したら、インスタンスの作成時に選択したキーを使用して SSH でインスタンスに接続します。

   $ ssh -i <ssh-key-file> <cloud-user@ip>

   Copy to Clipboard Toggle word wrap

2. system-reinstall-bootc サブパッケージがインストールされていることを確認します。

   # rpm -q system-reinstall-bootc

   Copy to Clipboard Toggle word wrap

   そうでない場合は、system-reinstall-bootc サブパッケージをインストールします。

   # dnf -y install system-reinstall-bootc

   Copy to Clipboard Toggle word wrap

3. bootc イメージを使用するようにシステムを変換します。

   # system-reinstall-bootc <image>

   Copy to Clipboard Toggle word wrap
   • Red Hat Ecosystem Catalog のコンテナーイメージ、または Containerfile から構築された bootc カスタマイズイメージを使用できます。
4. "a" キーを押して、bootc イメージにインポートするユーザーを選択します。
5. 選択内容を 2 回確認し、イメージがダウンロードされるまで待ちます。

6. システムを再起動します。

   # reboot

   Copy to Clipboard Toggle word wrap

7. 指定された <ip> の保存されている SSH ホストキーを /.ssh/known_hosts ファイルから削除します。

   # ssh-keygen -R <ip>

   Copy to Clipboard Toggle word wrap

   bootc システムは現在、新しい公開 SSH ホストキーを使用しています。ローカルに保存されているキーとは異なるキーを使用して同じ IP アドレスに接続しようとすると、SSH は警告を発するか、ホストキーの不一致により接続を拒否します。この変更は想定されているため、次のコマンドを使用して、既存のホストキーエントリーを ~/.ssh/known_hosts ファイルから安全に削除できます。

8. bootc システムに接続します。

   # ssh -i <ssh-key-file> root@<ip>

   Copy to Clipboard Toggle word wrap

検証手順

1. イメージを保存してビルドします。

   $ podman build -t quay.io/<namespace>/<image>:<tag> . --cap-add=all --security-opt=label=type:container_runtime_t --device /dev/fuse

   Copy to Clipboard Toggle word wrap

2. カレントディレクトリーにある Containerfile を使用して <_image_> イメージをビルドします。

   $ podman build -t quay.io/<namespace>/<image>:<tag> .

   Copy to Clipboard Toggle word wrap

手順

1. 01-fips.toml を作成して FIPS の有効化を設定します。次に例を示します。

   # Enable FIPS
   kargs = ["fips=1"]

   Copy to Clipboard Toggle word wrap

2. 次の手順で Containerfile を作成して、fips=1 カーネル引数を有効にします。

   FROM registry.redhat.io/rhel9/rhel-bootc:latest
   # Enable fips=1 kernel argument: https://bootc-dev.github.io/bootc/building/kernel-arguments.html
   COPY 01-fips.toml /usr/lib/bootc/kargs.d/
   # Enable the FIPS system-wide cryptographic policy
   # crypto-policies-scripts is not installed by default in RHEL-10
   RUN dnf install -y crypto-policies-scripts && update-crypto-policies --no-reload --set FIPS

   Copy to Clipboard Toggle word wrap

3. カレントディレクトリーの Containerfile を使用して、bootc <image> と互換性のあるベースディスクイメージを作成します。

   $ podman build -t quay.io/<namespace>/<image>:<tag> .

   Copy to Clipboard Toggle word wrap

手順

1. 01-fips.toml を作成して FIPS の有効化を設定します。次に例を示します。

   # Enable FIPS
   kargs = ["fips=1"]

   Copy to Clipboard Toggle word wrap

2. 次の手順で Containerfile を作成して、fips=1 カーネル引数を有効にします。

   FROM registry.redhat.io/rhel9/rhel-bootc:latest
   # Enable fips=1 kernel argument: https://bootc-dev.github.io/bootc/building/kernel-arguments.html
   COPY 01-fips.toml /usr/lib/bootc/kargs.d/
   # Install and enable the FIPS system-wide cryptographic policy
   RUN dnf install -y crypto-policies-scripts && update-crypto-policies --no-reload --set FIPS

   Copy to Clipboard Toggle word wrap

3. カレントディレクトリーの Containerfile を使用して、bootc <image> と互換性のあるベースディスクイメージを作成します。

   $ sudo podman run \
       --rm \
       -it \
       --privileged \
       --pull=newer \
       --security-opt label=type:unconfined_t \
       -v $(pwd)/config.toml:/config.toml:ro \
       -v $(pwd)/output:/output \
       -v /var/lib/containers/storage:/var/lib/containers/storage \
       registry.redhat.io/rhel9/bootc-image-builder:latest \
       --local
       --type iso \
       quay.io/<namespace>/<image>:<tag>

   Copy to Clipboard Toggle word wrap

4. システムのインストール中に FIPS モードを有効にします。

   1. RHEL Anaconda インストーラーを起動するときに、インストール画面で TAB キーを押して、fips=1 カーネル引数を追加します。

      インストール後に、システムは FIPS モードで自動的に起動します。

手順

1. Containerfile を作成します。

   FROM registry.redhat.io/rhel9/rhel-bootc:latest
   
   # Install OpenSCAP scanner and security content to the image
   RUN dnf install -y openscap-utils scap-security-guide && dnf clean all
   
   # Add sudo user 'admin' with password 'admin123'.
   # The user can be used with profiles that prevent
   # ssh root logins.
   RUN useradd -G wheel -p "\$6\$Ga6Zn
   IlytrWpuCzO\$q0LqT1USHpahzUafQM9jyHCY9BiE5/ahXLNWUMiVQnFGblu0WWGZ1e6icTaCGO4GNgZNtspp1Let/qpM7FMVB0" admin
   
   # Run scan and hardening
   RUN oscap-im --profile <profileID> /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

   Copy to Clipboard Toggle word wrap

   この Containerfile は次のタスクを実行します。

   • oscap-im ツールを提供する openscap-utils パッケージと、Security Content Automation Protocol (SCAP) コンテンツを含むデータストリームを提供する scap-security-guide パッケージをインストールします。
   • SSH ルートログインを阻止するプロファイルに sudoer 権限を持つユーザーを追加します。
   • 選択されたプロファイルに準拠して、イメージのスキャンと修復を行います。

2. カレントディレクトリーにある Containerfile を使用してイメージをビルドします。

   $ podman build -t quay.io/<namespace>/<image>:<tag> .

   Copy to Clipboard Toggle word wrap

手順

1. Containerfile を作成します。

   FROM registry.redhat.io/rhel9/rhel-bootc:latest
   
   # Copy a tailoring file into the Containerfile
   COPY tailoring.xml /usr/share/
   
   # Install OpenSCAP scanner and security content to the image
   RUN dnf install -y openscap-utils scap-security-guide && dnf clean all
   
   
   # Add sudo user 'admin' with password 'admin123'.
   # The user can be used with profiles that prevent
   # ssh root logins.
   RUN useradd -G wheel -p "\$6\$Ga6Zn
   IlytrWpuCzO\$q0LqT1USHpahzUafQM9jyHCY9BiE5/ahXLNWUMiVQnFGblu0WWGZ1e6icTaCGO4GNgZNtspp1Let/qpM7FMVB0" admin
   
   # Run scan and hardening including the tailoring file
   RUN oscap-im --tailoring-file /usr/share/tailoring.xml --profile stig_customized /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

   Copy to Clipboard Toggle word wrap

手順

1. ドロップイン設定ファイルを作成します。以下に例を示します。

   dracutmodules = "module"

   Copy to Clipboard Toggle word wrap

2. ドロップイン設定ファイルを、dracut が通常使用する場所 (/usr) に配置します。以下に例を示します。

   /usr/lib/dracut/dracut.conf.d/50-custom-added-modules.conf

   Copy to Clipboard Toggle word wrap

3. コンテナービルドの一部として initrd を再生成します。ターゲットのカーネルバージョンを dracut に明示的に渡す必要があります。dracut が実行中のカーネルバージョンをプルしようとしたときに、エラーが発生する可能性があるためです。以下に例を示します。

   FROM <baseimage>
   COPY 50-custom-added-modules.conf /usr/lib/dracut/dracut.conf.d
   RUN set -x; kver=$(cd /usr/lib/modules && echo *); dracut -vf /usr/lib/modules/$kver/initramfs.img $kver

   Copy to Clipboard Toggle word wrap

1. registry.access.redhat.com/ubi9/toolbox:latest イメージをローカルシステムにプルする
2. イメージからコンテナーを起動する
3. コンテナー内でシェルを実行し、そこからホストシステムにアクセスできる

手順

1. toolbox create コマンドを使用して Toolbx コンテナーを起動し、toolbox enter コマンドを使用してコンテナーに入ります。

   • ルートレスユーザーとして:

     $ toolbox create <mytoolbox>

     Copy to Clipboard Toggle word wrap

   • ルートユーザーとして:

     $ sudo toolbox create <mytoolbox>
     Created container: <mytoolbox>
     Enter with: toolbox enter

     Copy to Clipboard Toggle word wrap

   • 正しいイメージを取得したことを確認します。

     [user@toolbox ~]$ toolbox list
     IMAGE ID      IMAGE NAME    CREATED
     fe0ae375f149   registry.access.redhat.com/ubi{ProductVersion}/toolbox 5 weeks ago
     
     CONTAINER ID  CONTAINER NAME  CREATED         STATUS   IMAGE NAME
     5245b924c2cb  <mytoolbox>       7 minutes ago   created  registry.access.redhat.com/ubi{ProductVersion}/toolbox:8.9-6

     Copy to Clipboard Toggle word wrap

     1. Toolbx コンテナーに入ります。

        [user@toolbox ~]$ toolbox enter <mytoolbox>

        Copy to Clipboard Toggle word wrap
     2. オプション: 正しいイメージを取得したことを確認します。

   • <mytoolbox> コンテナー内でコマンドを実行し、コンテナーの名前とイメージを表示します。

     ⬢ [user@toolbox ~]$ cat /run/.containerenv
     engine="podman-4.8.2"
     name="<mytoolbox>"
     id="5245b924c2cb..."
     image="registry.access.redhat.com/ubi{ProductVersion}/toolbox"
     imageid="fe0ae375f14919cbc0596142e3aff22a70973a36e5a165c75a86ea7ec5d8d65c"

     Copy to Clipboard Toggle word wrap

2. Toolbx を使用して開発ツールをインストールします。

   1. Emacs テキストエディター、GCC コンパイラー、GNU デバッガー (GDB) など、選択したツールをインストールします。

      ⬢[user@toolbox ~]$ sudo dnf install emacs gcc gdb

      Copy to Clipboard Toggle word wrap

   2. オプション: ツールがインストールされていることを確認します。

      ⬢[user@toolbox ~]$  dnf repoquery --info --installed <package_name>

      Copy to Clipboard Toggle word wrap

      インストール後、ルートレスユーザーとしてこれらのツールを引き続き使用できます。

3. Toolbx を使用して、ツールをホストシステムにインストールせずに、ホストシステムのトラブルシューティングを行います。

   1. journalctl コマンドを実行できるようにするには、systemd スイートをインストールします。

      ⬢[root@toolbox ~]# dnf install systemd

      Copy to Clipboard Toggle word wrap

   2. ホスト上で実行しているすべてのプロセスのログメッセージを表示します。

      ⬢[root@toolbox ~]# j journalctl --boot -0
      Jan 02 09:06:48 user-thinkpadp1gen4i.brq.csb kernel: microcode: updated ear>
      Jan 02 09:06:48 user-thinkpadp1gen4i.brq.csb kernel: Linux version 6.6.8-10>
      Jan 02 09:06:48 user-thinkpadp1gen4i.brq.csb kernel: Command line: BOOT_IMA>
      Jan 02 09:06:48 user-thinkpadp1gen4i.brq.csb kernel: x86/split lock detecti>
      Jan 02 09:06:48 user-thinkpadp1gen4i.brq.csb kernel: BIOS-provided physical>

      Copy to Clipboard Toggle word wrap

   3. カーネルのログメッセージを表示します。

      ⬢[root@toolbox ~]# journalctl --boot -0 --dmesg
      Jan 02 09:06:48 user-thinkpadp1gen4i.brq.csb kernel: microcode: updated ear>
      Jan 02 09:06:48 user-thinkpadp1gen4i.brq.csb kernel: Linux version 6.6.8-10>
      Jan 02 09:06:48 user-thinkpadp1gen4i.brq.csb kernel: Command line: BOOT_IMA>
      Jan 02 09:06:48 user-thinkpadp1gen4i.brq.csb kernel: x86/split lock detecti>
      Jan 02 09:06:48 user-thinkpadp1gen4i.brq.csb kernel: BIOS-provided physical>
      Jan 02 09:06:48 user-thinkpadp1gen4i.brq.csb kernel: BIOS-e820: [mem 0x0000>

      Copy to Clipboard Toggle word wrap

   4. nmap ネットワークスキャンツールをインストールします。

      ⬢[root@toolbox ~]# dnf install nmap

      Copy to Clipboard Toggle word wrap

   5. ネットワーク内の IP アドレスとポートをスキャンします。

      ⬢[root@toolbox ~]# nmap -sS scanme.nmap.org
      Starting Nmap 7.93 ( https://nmap.org ) at 2024-01-02 10:39 CET
      Stats: 0:01:01 elapsed; 0 hosts completed (0 up), 256 undergoing Ping Scan
      Ping Scan Timing: About 29.79% done; ETC: 10:43 (0:02:24 remaining)
      Nmap done: 256 IP addresses (0 hosts up) scanned in 206.45 seconds

      Copy to Clipboard Toggle word wrap
      • -sS オプションは TCP SYN スキャンを実行します。Nmap のスキャンタイプのほとんどは、生のパケットを送受信するため、特権ユーザーのみが使用できます。UNIX システムではルートアクセスが必要です。

4. Toolbx bootc コンテナーを停止します。

   1. コンテナーを離れてホストに戻ります。

      ⬢ [user@toolbox ~]$ exit

      Copy to Clipboard Toggle word wrap

   2. ツールボックスコンテナーを停止します。

      ⬢ [user@toolbox ~]$ podman stop <mytoolbox>

      Copy to Clipboard Toggle word wrap

   3. オプション: ツールボックスコンテナーを削除します。

      ⬢ [user@toolbox ~]$ toolbox rm <mytoolbox>

      Copy to Clipboard Toggle word wrap

      または、podman rm コマンドを使用して bootc コンテナーを削除することもできます。

1. カーネル引数を使用して /usr/lib/bootc/kargs.d 内にファイルを作成します。
2. コンテナーイメージを取得して OSTree コミットを取得します。
3. OSTree コミットを使用してファイルツリーを返します。
4. /usr/lib/bootc/kargs.d に移動します。
5. ディレクトリー内の各ファイルを読み取ります。
6. 各 kargs ファイルの内容を、必要なすべての kargs を含むファイルにプッシュします。
7. kargs を stage() 関数に渡します。
8. カーネル引数を適用して、切り替え、アップグレード、または編集を行います。