15.3. TLS を使用した logging RHEL システムロールの使用

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Configure remote logging solution using TLS for secure transfer of logs
     hosts: managed-node-01.example.com
     tasks:
       - name: Deploying files input and forwards output with certs
         ansible.builtin.include_role:
           name: rhel-system-roles.logging
         vars:
           logging_certificates:
             - name: logging_cert
               dns: ['localhost', 'www.example.com']
               ca: ipa
           logging_pki_files:
             - ca_cert: /local/path/to/ca_cert.pem
               cert: /local/path/to/logging_cert.pem
               private_key: /local/path/to/logging_cert.pem
           logging_inputs:
             - name: input_name
               type: files
               input_log_path: /var/log/containers/*.log
           logging_outputs:
             - name: output_name
               type: forwards
               target: your_target_host
               tcp_port: 514
               tls: true
               pki_authmode: x509/name
               permitted_server: 'server.example.com'
           logging_flows:
             - name: flow_name
               inputs: [input_name]
               outputs: [output_name]

   サンプル Playbook で指定されている設定は次のとおりです。

   logging_certificates

   このパラメーターの値は、certificate RHEL システムロールの certificate_requests に渡され、秘密鍵と証明書の作成に使用されます。

   logging_pki_files

   このパラメーターを使用すると、TLS に使用する CA、証明書、および鍵ファイルを検索するためにロギングで使用するパスとその他の設定 (サブパラメーター ca_cert、ca_cert_src、cert、cert_src、private_key、private_key_src、および tls で指定) を設定できます。

   注記

   logging_certificates を使用して管理対象ノードにファイルを作成する場合は、ca_cert_src、cert_src、および private_key_src を使用しないでください。これらは、logging_certificates によって作成されていないファイルのコピーに使用されます。

   ca_cert

   管理対象ノード上の CA 証明書ファイルへのパスを表します。デフォルトのパスは /etc/pki/tls/certs/ca.pem で、ファイル名はユーザーが設定します。

   cert

   管理対象ノード上の証明書ファイルへのパスを表します。デフォルトのパスは /etc/pki/tls/certs/server-cert.pem で、ファイル名はユーザーが設定します。

   private_key

   管理対象ノード上の秘密鍵ファイルへのパスを表します。デフォルトのパスは /etc/pki/tls/private/server-key.pem で、ファイル名はユーザーが設定します。

   ca_cert_src

   ターゲットホストの ca_cert で指定された場所にコピーされる、コントロールノード上の CA 証明書ファイルへのパスを表します。logging_certificates を使用する場合は、これを使用しないでください。

   cert_src

   ターゲットホストの cert で指定された場所にコピーされる、コントロールノード上の証明書ファイルへのパスを表します。logging_certificates を使用する場合は、これを使用しないでください。

   private_key_src

   ターゲットホストの private_key で指定された場所にコピーされる、コントロールノード上の秘密鍵ファイルへのパスを表します。logging_certificates を使用する場合は、これを使用しないでください。

   tls

   このパラメーターを true に設定すると、ネットワーク上でログがセキュアに転送されます。セキュアなラッパーが必要ない場合は、tls: false に設定します。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.logging/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Configure remote logging solution using TLS for secure transfer of logs
     hosts: managed-node-01.example.com
     tasks:
       - name: Deploying remote input and remote_files output with certs
         ansible.builtin.include_role:
           name: rhel-system-roles.logging
         vars:
           logging_certificates:
             - name: logging_cert
               dns: ['localhost', 'www.example.com']
               ca: ipa
           logging_pki_files:
             - ca_cert: /local/path/to/ca_cert.pem
               cert: /local/path/to/logging_cert.pem
               private_key: /local/path/to/logging_cert.pem
           logging_inputs:
             - name: input_name
               type: remote
               tcp_ports: 514
               tls: true
               permitted_clients: ['clients.example.com']
           logging_outputs:
             - name: output_name
               type: remote_files
               remote_log_path: /var/log/remote/%FROMHOST%/%PROGRAMNAME:::secpath-replace%.log
               async_writing: true
               client_count: 20
               io_buffer_size: 8192
           logging_flows:
             - name: flow_name
               inputs: [input_name]
               outputs: [output_name]

   サンプル Playbook で指定されている設定は次のとおりです。

   logging_certificates

   このパラメーターの値は、certificate RHEL システムロールの certificate_requests に渡され、秘密鍵と証明書の作成に使用されます。

   logging_pki_files

   このパラメーターを使用すると、TLS に使用する CA、証明書、および鍵ファイルを検索するためにロギングで使用するパスとその他の設定 (サブパラメーター ca_cert、ca_cert_src、cert、cert_src、private_key、private_key_src、および tls で指定) を設定できます。

   注記

   logging_certificates を使用して管理対象ノードにファイルを作成する場合は、ca_cert_src、cert_src、および private_key_src を使用しないでください。これらは、logging_certificates によって作成されていないファイルのコピーに使用されます。

   ca_cert

   管理対象ノード上の CA 証明書ファイルへのパスを表します。デフォルトのパスは /etc/pki/tls/certs/ca.pem で、ファイル名はユーザーが設定します。

   cert

   管理対象ノード上の証明書ファイルへのパスを表します。デフォルトのパスは /etc/pki/tls/certs/server-cert.pem で、ファイル名はユーザーが設定します。

   private_key

   管理対象ノード上の秘密鍵ファイルへのパスを表します。デフォルトのパスは /etc/pki/tls/private/server-key.pem で、ファイル名はユーザーが設定します。

   ca_cert_src

   ターゲットホストの ca_cert で指定された場所にコピーされる、コントロールノード上の CA 証明書ファイルへのパスを表します。logging_certificates を使用する場合は、これを使用しないでください。

   cert_src

   ターゲットホストの cert で指定された場所にコピーされる、コントロールノード上の証明書ファイルへのパスを表します。logging_certificates を使用する場合は、これを使用しないでください。

   private_key_src

   ターゲットホストの private_key で指定された場所にコピーされる、コントロールノード上の秘密鍵ファイルへのパスを表します。logging_certificates を使用する場合は、これを使用しないでください。

   tls

   このパラメーターを true に設定すると、ネットワーク上でログがセキュアに転送されます。セキュアなラッパーが必要ない場合は、tls: false に設定します。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.logging/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml