FedRAMP に準拠した Red Hat Insights のクライアント設定ガイド

Insights クライアントは、Red Hat Enterprise Linux (RHEL) の次のリリースで利用できます。

これらの手順を使用して、Red Hat Update Infrastructure (RHUI) が管理するクラウドマーケットプレイスで購入した既存の Red Hat Enterprise Linux システムに Insights for Red Hat Enterprise Linux をデプロイします。

Insights クライアントは、スケジューラーの設定に従って自動的に実行されます。デフォルトでは、24 時間ごとに実行されます。クライアントをインタラクティブに実行するには、insights-client コマンドを入力します。

insights-client を実行すると、次の値と設定によって結果が決まります。

Insights クライアントは、Red Hat Enterprise Linux 8 の最小インストールを実行しているシステムに自動的にインストールされません。

最小インストールの詳細は、標準的な RHEL インストールの実行 の ソフトウェア選択の設定 を参照してください。

Standard チェックボックスを選択しない場合、RHEL は insights-client パッケージなしでインストールされます。その場合は、後で dnf install を使用して Insights クライアントをインストールできます。

Insights クライアントは、システム上のデータを収集する多数のコマンドを実行します。そのため、CPU 使用率を 30% 以下に制限する設定制限があります。この制限は、設定ファイルで定義します。

この設定により、Insights クライアントがシステムで CPU が急増しないようにします。CPU が急増すると、システムで実行している他のアプリケーションに干渉する可能性があります。具体的には、リアルタイムスケジューリングに依存するアプリケーションが起動しない場合があります。

リアルタイムスケジューリングを有効にする必要がある場合は、CPU クォータの制限を無効にできます。この設定を削除するリスクは最小限です。ただし、Insights クライアントの実行時に CPU 使用率が異常に高くなる可能性があります。この状況が発生し、システムの他のサービスに悪影響を与える場合は、Red Hat サポートにお問い合わせください。

Red Hat Insights for Red Hat Enterprise Linux の使用方法に応じて、以下のいずれかの認証方法を使用する必要があります。

アクティベーションキーは、許可されたユーザーがシステムを登録および設定できるようにする事前共有認証トークンです。個人のユーザー名とパスワードの組み合わせを保存、使用、共有する必要がなくなるため、セキュリティーが向上し、自動化が促進されます。

アクティベーションキーと数値の組織識別子 (組織 ID) を使用して、Red Hat Subscription Manager (RHSM) やリモートホスト設定 (rhc) などの Red Hat ホスト型サービスにシステムを登録できます。組織のアクティベーションキーと組織 ID は、Hybrid Cloud Console の Activation Keys ページに表示されます。

システムのアクティベーションキーを作成および管理する方法の詳細は、Red Hat Hybrid Cloud Console でのアクティベーションキーの作成と管理 を参照してください。

Insights クライアントをインストールしたら、システムを登録する必要があります。これには、次の 2 つの手順が必要です。

Insights クライアントにシステムを登録する方法は、以下を参照してください。

RHEL 9

insights-client コマンドを使用して、システムを Red Hat Insights に登録できます。

システムを登録するときに、コマンドに --display-name オプションを追加して、ホストに別の表示名を割り当てることができます。表示名は、Insights UI でシステムを識別します。システムを登録するときに表示名を割り当てないと、Insights はシステムのデフォルトのホスト名を使用します。

insights-client コマンドオプションの詳細は、関連情報 セクションを参照してください。

Red Hat Insights for Red Hat Enterprise Linux を使用して、システムの登録を取り消すことができます。これを行うと、システム情報は Insights for Red Hat Enterprise Linux にアップロードされなくなります。

Red Hat Enterprise Linux の Red Hat Insights にシステムを再登録する必要がある場合があります。

正しい手順を使用して Insights にシステムを再登録すると、Insights インベントリーサービスでの重複したホストエントリーを防止および修正するのに役立ちます。たとえば、Insights でシステムを再登録する理由の 1 つとして、以前に登録されていたシステムをクリーンインストールで再構築し、エントリーをクリーンアップすることが挙げられます。

Insights にシステムを再登録するには、次の 2 つのオプションを使用して insights-client コマンドを 2 回実行します。

[root@insights]# Successfully uploaded report for <machine name>
View the Red Hat Insights console at https://console.openshiftusgov.com/insights/

GUI に表示されるホスト表示名を変更できます。Red Hat Insights for Red Hat Enterprise Linux にシステムの登録時、または登録後に、この変更を加えます。システムの登録時に表示名を割り当てないと、Red Hat Insights for Red Hat Enterprise Linux は /etc/hostname の値を使用します。

この手順はオプションです。デフォルトの hostname に加えて表示名を使用するかどうかを決定します。

クライアントバージョンとクライアントのコアバージョンを表示できます。

Insights クライアントの難読化機能では、Python データクリーニングプロセスを使用して、Insights アーカイブを処理するときにホスト名と IP アドレスをプリセット値に置き換えます。難読化された値を含む処理済みのアーカイブファイルが、Red Hat Insights for Red Hat Enterprise Linux に送信されます。

難読化を有効にするには、/etc/insights-client/insights-client.conf ファイルで該当するオプションを設定します。システムの IP アドレスを難読化することも、IP アドレスとホスト名の両方を難読化することもできます。ホスト名のみを難読化することはできません。難読化はデフォルトで無効になっています。

Red Hat Insights for Red Hat Enterprise Linux がデータ収集を処理する方法は、Red Hat Insights Data & Application Security を参照してください。

難読化を有効にすると、アーカイブファイル内の IPv4 ホストアドレスを、Red Hat Insights for Red Hat Enterprise Linux に送信する前にマスクできます。

IP アドレスの難読化を選択すると、アーカイブファイル内のホストアドレスが Python データクリーニングファイルで指定された値に変更されます。難読化のために指定された値を設定することはできません。また、ホスト IP アドレスの一部を難読化したり、難読化する部分を選択したりすることもできません。

Insights でシステムのホスト名を難読化すると、/etc/hostname に設定されているホスト名の値が、Red Hat に送信される前に、コンソール GUI とアーカイブファイルでマスクされます。

システムのホスト名を難読化するには、IP アドレスの難読化も有効にする必要があります。ホスト名のみを難読化することはできません。

Insights で難読化が有効になっている場合、/etc/hostname の hostname の値が、Python データクリーニングプロセスによって自動的に生成される 12 文字の UUID に変更されます。

Red Hat Insights でデータを編集するには、Insights クライアント 3.0 と、リダクションアクションを制御するための次の YAML 設定ファイルが必要です。

リダクションするコンテンツに合わせて、1 つまたは両方のファイルを使用できます。

編集する項目を見つけるために、Insights クライアントは、insights-client.conf 設定ファイルのデフォルト設定を使用して、file-redaction.yaml および file-content-redaction.yaml ファイルを呼び出します。次の例は insights-client.conf ファイル内のリダクションのデフォルト設定の例を示しています。

# Location of the redaction file for commands, files, and components
#redaction_file=/etc/insights-client/file-redaction.yaml

# Location of the redaction file for patterns and keywords
#content_redaction_file=/etc/insights-client/file-content-redaction.yaml

insights-client.conf ファイルの設定を変更する必要はありませんが、YAML ファイルを作成する必要があります。

/etc/insights-client/file-content-redaction.yaml は、パターンのリダクションとキーワードの置換を定義します。パターンリダクションの場合、プロセスは、YAML ファイルで指定されたものと一致するパターンまたは正規表現をリダクションします。キーワード置換の場合、プロセスは指定されたキーワードを汎用識別子に置き換えます。

# file-redaction.yaml
---
# Redact the entire output of commands
# Specify commands by either full command or by the "symbolic_name" like “ethtool_i.”
# Refer to the “Datasource Catalog” and “General Datasources” at https://insights-core.readthedocs.io/en/latest/specs_catalog.html#general-datasource for a full list of available symbolic_names, and the commands and files they correspond to.

 commands:
- /bin/rpm -qa
- /bin/ls
- ethtool_i

# Redact the entire output of files
# Specify files either by full filename or
by the "symbolic_name" for example, “cluster_conf.”
# Refer to the “Datasource Catalog” and “General Datasources” at https://insights-core.readthedocs.io/en/latest/specs_catalog.html#general-datasource for a full list of available symbolic_names, and the commands and files they correspond to.

files:
- /etc/audit/auditd.conf
- cluster_conf

アーカイブファイルの内容を確認できます。アーカイブファイルを検証して、Red Hat に送信されるデータを確認できます。

難読化またはリダクションを使用すると、アップロードする前にアーカイブを検査できます。アーカイブファイルを保存する場合は、システムにそのまま保管できます。

2025 年に Linux は SAP ERP ワークロードの必須オペレーティングシステムになるため、Red Hat Enterprise Linux および Red Hat Insights for Red Hat Enterprise Linux では、Insights for Red Hat Enterprise Linux が SAP 管理者に選ばれる管理ツールとなるように取り組んでいます。

この継続的な取り組みの一環として、Insights for Red Hat Enterprise Linux は、管理者によるカスタマイズを必要とせずに、SAP ワークロードを実行しているシステムに SAP ID (SID) によって自動的にタグを付けます。Insights for Red Hat Enterprise Linux アプリケーション全体でこれらのワークロードをフィルター処理するには、グローバルの Filter Results ドロップダウンメニューを使用します。

Satellite ホストグループは Satellite で設定され、Insights for Red Hat Enterprise Linux で自動的に認識されます。

システムにカスタムのグループ化とタグ付けを適用できます。これにより、コンテキストマーカーを個々のシステムに追加したり、Insights for Red Hat Enterprise Linux アプリケーションでこれらのタグでフィルター処理したり、関連するシステムに簡単に注目したりできます。この機能は、数百または数千のシステムを管理している大規模な Insights for Red Hat Enterprise Linux をデプロイする場合に特に役立ちます。

複数の Insights for Red Hat Enterprise Linux サービスにカスタムタグを追加する機能に加えて、定義済みタグを追加できます。advisor サービスは、これらのタグを使用して、より高いレベルのセキュリティーを必要とするシステムなど、より注意が必要なシステムに的を絞った推奨事項を作成できます。

Red Hat Insights advisor サービスの推奨事項は、すべてのシステムを同等に扱います。ただし、システムによっては、他のシステムよりも高いレベルのセキュリティーが必要な場合や、異なるネットワークパフォーマンスレベルが必要な場合があります。カスタムタグを追加する機能に加えて、Red Hat Insights for Red Hat Enterprise Linux は定義済みタグを提供します。advisor サービスはこれを使用して、より注意が必要な可能性のあるシステムに的を絞った推奨事項を作成できます。

定義済みタグによって提供される拡張されたセキュリティー強化と強化された検出および修復機能をオプトインして取得するには、タグを設定する必要があります。設定後、advisor サービスは、調整された重大度レベルと、システムに適用されるネットワークパフォーマンス設定に基づいて推奨事項を提供します。

タグを設定するには、/etc/insights-client/tags.yaml ファイルを使用して、インベントリーサービスでシステムにタグを付ける場合と同様の方法で、定義済みタグを使用してシステムにタグを付けます。定義済みタグは、カスタムタグの作成に使用されるのと同じ key=value 構造を使用して設定されます。Red Hat の定義済みタグの詳細を次の表に示します。

7.4.1. 定義済みタグの設定

Red Hat Insights for Red Hat Enterprise Linux advisor サービスの定義済みタグを使用すると、システムの推奨事項の動作を調整し、拡張されたセキュリティー強化と強化された検出および修復機能を得ることができます。以下の手順に従って、事前定義されたタグを設定できます。

前提条件

• システムへのルートレベルのアクセスがある。
• Insights クライアントがインストールされている。
• Insights クライアント内にシステムが登録されている。
• tags.yaml ファイルを作成している。tags.yaml ファイルの作成については、tags.yaml ファイルの作成とカスタムグループの追加 を参照してください。

手順

1. コマンドラインと任意のエディターを使用して、/etc/insights-client/tags.yaml を開きます。(次の例では Vim を使用しています。)

   [root@server ~]# vi /etc/insights-client/tags.yaml

2. /etc/insights-client/tags.yaml ファイルを編集して、タグの定義済みの key=value ペアを追加します。この例は、security: strict および network_performance: latency タグを追加する方法を示しています。

   # cat /etc/insights-client/tags.yaml
   group: redhat
   location: Brisbane/Australia
   description:
   - RHEL8
   - SAP
   security: strict
   network_performance: latency

3. 変更を保存します。
4. エディターを終了します。

5. オプション: Insights-client コマンドを実行して、Red Hat Insights for Red Hat Enterprise Linux へのアップロードを生成するか、次のスケジュールされた Red Hat Insights アップロードまで待ちます。

   [root@server ~]# insights-client

定義済みタグが実稼働環境にあることの確認

Red Hat Insights へのアップロードを生成した後 (または、次の Insights アップロードのスケジュールを待った後)、Red Hat Insights > RHEL > Inventory にアクセスして、タグが実稼働環境にあるかどうかを確認できます。システムを見つけて、新たに作成されたタグを探します。次のことを示す表が表示されます。

• 名前
• 値
• タグソース (例: insights-client)。

次のイメージは、タグを作成した後にインベントリーに表示される内容の例を示しています。

定義済みタグを適用した後の推奨事項の例

次の図では、advisor サービスは network_performance: latency タグが設定されたシステムを示しています。

システムは、総リスク (重要に分類) が高い推奨事項を表示します。network_performance: latency タグのないシステムの場合、総リスクは中程度に分類されます。総リスクの高さに基づいて、システムの優先順位付けに関する決定を行うことができます。

デフォルトの Insights クライアント設定を変更して新しいスケジュールを作成する前に、クライアントスケジュールを無効にする必要があります。

insights-client スケジュールを無効にするために使用する手順は、Red Hat Enterprise Linux とクライアントのバージョンによって異なります。

クライアントスケジュールを最初に有効にすると、デフォルトの設定を使用して実行します。スケジュールを変更すると、それらの設定が優先されます。

コマンドラインから insights-client を実行すると、Insights クライアントは、そのセッションに対してのみ指定した設定を使用して実行します。次にスケジュールされた実行が行われるときは、デフォルト設定が使用されます。

Insights クライアントがいつ実行するかを変更するには、スケジュールを変更します。使用する方法は、システムが実行している RHEL のリリースとクライアントのバージョンによって異なります。

RHEL のバージョンに合った手順を選択します。

Red Hat Insights for Red Hat Enterprise Linux の自動コレクションルールの更新を無効にできます。これを実行する場合は、古いルール定義ファイルを使用し、最新の検証更新を取得しないリスクがあります。

以前に更新を無効にしている場合は、Red Hat Insights for Red Hat Enterprise Linux のコレクションルールの自動更新を再度有効にできます。デフォルトでは、ルール自動更新は有効になっています。

サポートチームと共有する診断ログを作成できます。