Red Hat SummitFedRAMP 準拠のポリシーを使用した設定変更に対する監視および対応
インベントリー設定の変更を検出してメール通知を送信するポリシーを作成する方法
概要
第1章 Red Hat Lightspeed ポリシーサービスの概要
ポリシーは環境内のシステム設定を評価し、変更が発生したときに通知を送信できます。作成したポリシーは、Red Hat Lightspeed インベントリー内のすべてのシステムに適用されます。Red Hat Hybrid Cloud Console の Red Hat Lightspeed ユーザーインターフェイスを使用して、ポリシーを作成および管理できます。
ポリシーは、以下のようなタスクの管理に役立ちます。
- システム設定で特定の条件が発生した場合にアラートを生成する。
- システムでセキュリティーパッケージが古くなった場合にチームに電子メールを送信する。
ポリシーを使用してインベントリーの設定変更を監視し、電子メールで通知するには、以下が必要です。
- ユーザーの電子メール設定を設定する (まだ設定されていない場合)。
- ポリシーを作成して、設定変更をトリガーとして検出し、トリガーアクションとして電子メールを選択する。
- User Access は、Red Hat Hybrid Cloud Console > Settings アイコン (⚙) > Identity & Access Management > User Access > Users で設定します。
- この機能の詳細と使用例は、FedRAMP を使用したロールベースのアクセス制御 (RBAC) でのユーザーアクセス設定ガイド を参照してください。
1.1. Red Hat Hybrid Cloud Console の User Access 設定
User Access は、ロールベースのアクセス制御 (RBAC) の Red Hat 実装です。Organization Administrator は、User Access を使用して、Red Hat Hybrid Cloud Console (コンソール) でユーザーが表示および実行できる内容を設定します。
- ユーザーに権限を個別に割り当てるのではなく、ロールを編成してユーザーアクセスを制御します。
- ロールとそれに対応する権限を含むグループを作成します。
- これらのグループにユーザーを割り当て、グループのロールに関連付けられた権限を継承できるようにします。
アカウントのすべてのユーザーは、Red Hat Lightspeed のほとんどのデータにアクセスできます。
1.1.1. 定義済みの User Access グループとロール
グループとロールを管理しやすくするために、Red Hat は 2 つの定義済みグループと一連の定義済みロールを提供しています。
定義済みグループ
Default access group には、組織内のすべてのユーザーが含まれます。このグループには、多くの定義済みロールが割り当てられています。Red Hat によって自動的に更新されます。
注記Organization Administrator が Default access グループに変更を加えると、名前が Custom default access グループに変更され、Red Hat による更新の対象外となります。
Default admin access グループには、Organization Administrator 権限を持つユーザーのみが含まれます。このグループは自動的に維持され、このグループ内のユーザーとロールは変更できません。
Hybrid Cloud Console で Red Hat Hybrid Cloud Console > Settings アイコン (⚙) > Identity & Access Management > User Access > Groups に移動し、アカウント内の現在のグループを表示します。このビューは Organization Administrator に限定されています。
グループに割り当てられた定義済みロール
Default access グループには、定義済みロールが多数含まれています。組織内のすべてのユーザーは Default access グループのメンバーであるため、そのグループに割り当てられているすべての権限を継承します。
Default admin access グループには、更新権限や削除権限を付与する多くの (ただしすべてではない) 定義済みロールが含まれています。通常、このグループのロールの名前には administrator が含まれます。
Hybrid Cloud Console で Red Hat Hybrid Cloud Console > Settings アイコン (⚙) > Identity & Access Management > User Access > Roles に移動し、アカウント内の現在のロールを表示します。各ロールが割り当てられているグループの数を確認できます。このビューは Organization Administrator に限定されています。
1.1.2. アクセス権限
各手順の Prerequisites には、必要な権限を提供する定義済みロールがリストされています。ユーザーは、Red Hat Hybrid Cloud Console > Settings アイコン (⚙) > My User Access に移動して、現在継承しているロールとアプリケーションの権限を表示できます。
Red Hat Lightspeed 機能にアクセスしようとしたときに、このアクションを実行する権限がないというメッセージが表示される場合は、追加の権限を取得する必要があります。それらの権限は、組織の Organization Administrator または User Access 管理者が設定します。
関連情報
ユーザーアクセスと権限の詳細は、FedRAMP 対応のロールベースのアクセス制御 (RBAC) でのユーザーアクセス設定ガイド を参照してください。
1.1.3. ポリシーサービスの User Access ロール
Red Hat Hybrid Cloud Console の次の定義済みロールにより、Red Hat Lightspeed のポリシー機能にアクセスできます。
- ポリシー管理者ロール。ポリシー管理者ロールは、ポリシーリソースに対する利用可能な操作の実行をユーザーに許可する、読み取りおよび書き込みアクセスを提供します。この事前定義済みロールは、デフォルトの管理者アクセスグループ に属しています。
- ポリシー閲覧者ロール。ポリシー閲覧者ロールは、読み取り専用アクセスを提供します。ポリシー閲覧者ロールのデフォルト設定が不十分であると判断される場合は、User Access 管理者 が、必要な特定のパーミッションを持つカスタムロールを作成できます。この事前定義済みロールは、デフォルトのアクセスグループ に属しています。
2023 年 4 月より前にグループを設定した場合、組織管理者ではないユーザーのポリシー管理者ロールは、ポリシー閲覧者ロールに置き換えられます。4 月より前にデフォルトのアクセスグループに加えられた変更は、反映されません。
関連情報
- ロールベースのアクセス制御 (RBAC) のユーザーアクセス設定ガイドの ユーザーアクセスの使用方法。
- 事前定義された User Access ロール
第2章 通知およびメール通知の設定
Red Hat Lightspeed は、Red Hat Hybrid Cloud Console で通知とユーザー設定を指定すると、Red Hat Enterprise Linux システムに対するポリシーの変更を通知します。
2.1. ポリシーサービスの通知を有効にする
Red Hat Hybrid Cloud Console で通知サービスを有効にすると、ポリシーサービスが問題を検出してアラートを生成するたびに、通知を送信できます。通知サービスを使用すると、推奨事項を知るために Red Hat Lightspeed のダッシュボードでアラートを繰り返し確認する必要がなくなります。
たとえば、サーバーのセキュリティーソフトウェアが古くなっていることをポリシーサービスが検出したときに自動的に電子メールメッセージを送信するように、またはポリシーサービスが毎日生成するすべてのアラートの電子メールダイジェストを送信するように通知サービスを設定できます。
通知サービスを有効にするには、以下の 3 つの主要なステップが必要です。
- まず、組織管理者が通知管理者ロールを持つ User Access グループを作成し、そのグループにアカウントメンバーを追加します。
- 次に、通知管理者が通知サービス内のイベントの動作グループを設定します。動作グループは、通知ごとに配信方法を指定します。たとえば、動作グループは、電子メール通知をすべてのユーザーに送信するか、組織の管理者にのみ送信するかを指定できます。
- 最後に、イベントから電子メール通知を受信するユーザーは、各イベントの個別電子メールを受け取るようにユーザー設定する必要があります。
2.2. ユーザー設定
メール通知を受け取るには、以下の手順に従ってメール設定を指定したり、更新したりできます。
手順
- Operations > Policies に移動します。
- Open user preferences をクリックします。My Notifications ページが表示されます。
- 左側のメニューから Red Hat Enterprise Linux > Policies を選択します。
- ポリシーの通知設定を定義するには、適切なボックスにチェックを入れます。
電子メール通知の設定によっては、トリガーされたポリシーを含む各システムに関する 即時通知 電子メールや、トリガーされたアプリケーションイベントを 24 時間単位でまとめた 日次ダイジェスト をサブスクライブできます。すべての通知のサブスクライブを解除するには、Unsubscribe from all を選択します。
注記即時通知をサブスクライブすると、大規模なインベントリーで多数のメールを受信する可能性があります。メールの量を減らすには、Daily digest オプションを選択することを検討してください。
- Submit をクリックします。
第3章 ポリシーの作成
以下のワークフローの例では、複数のタイプのポリシーを作成し、システム設定の変更を検出して変更通知の電子メールを送信する方法を説明します。
ポリシーの作成時に、メールのアラートにオプトインしていない旨の警告メッセージが表示される場合は、ポリシーからメールを受信するようにユーザー設定を行います。
3.1. パブリッククラウドプロバイダーがオーバープロビジョニングされないようにするポリシーの作成
以下の手順を使用してポリシーを作成します。
手順
- Red Hat Hybrid Cloud Console で、Operations > Policies に移動します。
- Create policy をクリックします。
- 必要に応じて、Create a policy ページで From scratch または As a copy of existing Policy をクリックします。As a copy of existing Policy オプションでは、開始点として使用する既存のポリシーリストからポリシーを選択するように求められます。
- Next をクリックします。
Condition を入力します。この場合は、['alibaba', 'aws', 'azure', 'google'] and(facts.number_of_cpus >= 8 or facts.number_of_sockets >=2) と入力します。この条件では、指定のパブリッククラウドプロバイダーで実行中のインスタンスが許容範囲を超える CPU ハードウェアで実行されているかどうかを検出します。
注記What condition can I define? または Review available system facts をデプロイメントして、使用可能な条件の説明を表示し、利用可能なシステムファクトをそれぞれ表示できます。このセクションでは、使用できる構文の例を示します。
- Validate condition をクリックします。
- 条件を検証したら、Next をクリックします。
- Trigger actions ページで Add trigger actions をクリックします。通知がグレーアウトされたら、通知ボックスの Notification settings を選択します。ここでは、通知とその動作をカスタマイズできます。
Next をクリックします。
注記Trigger actions ページでは、メールアラートを有効にしたり、その他の利用可能なメール設定を指定したりすることもできます。
- Review and enable ページで、切り替えスイッチをクリックしてポリシーを有効にし、詳細を確認します。
- Finish をクリックします。
新しいポリシーが作成されました。システムのチェックインでポリシーが評価されたときに、ポリシーの条件が満たされている場合、ポリシーは、ユーザーの電子メール設定に応じて、ポリシーにアクセスできるアカウントのすべてのユーザーに電子メールを自動的に送信します。
3.2. システムが RHEL の古いバージョンを実行しているかどうかを検出するポリシーの作成
システムが古いバージョンの RHEL を実行しているかどうかを検出し、検出内容について電子メールで通知を送信するポリシーを作成できます。
手順
- Red Hat Hybrid Cloud Console で、Operations > Policies に移動します。
- Create policy をクリックします。
- Create Policy ページで、必要に応じて From scratch または As a copy of existing Policy をクリックします。As a copy of existing Policy オプションでは、開始点として使用する既存のポリシーリストからポリシーを選択するように求められます。
- Next をクリックします。
- ポリシーの Name および Description を入力します。
- Next をクリックします。
- Condition を入力します。この場合は、facts.os_release <8.1 と入力します。この条件は、システムが、RHEL 8.1 をベースとした以前のバージョンのオペレーティングシステムを実行しているかどうかを検出します。
- Validate condition をクリックして、Next をクリックします。
- Trigger actions ページで Add trigger actions をクリックし、Email を選択します。
- Next をクリックします。
- Review and activate ページで、切り替えスイッチをクリックしてポリシーを有効にし、詳細を確認します。
- Finish をクリックします。
新しいポリシーが作成されました。システムのチェックインでポリシーが評価されたときに、ポリシーの条件がトリガーされると、ポリシーサービスは、ユーザーの電子メール設定に応じて、ポリシーにアクセスできるアカウントのすべてのユーザーに電子メールを自動的に送信します。
3.3. 最新の CVE をもとに脆弱なパッケージバージョンを検出するポリシーの作成
最新の CVE をもとに脆弱なパッケージバージョンを検出し、検出内容を電子メールで通知するポリシーを作成できます。
手順
- Red Hat Hybrid Cloud Console で、Operations > Policies に移動します。
- Create policy をクリックします。
- Create Policy ページで、必要に応じて From scratch または As a copy of existing Policy をクリックします。As a copy of existing Policy オプションでは、開始点として使用する既存のポリシーリストからポリシーを選択するように求められます。
- Next をクリックします。
- ポリシーの Name および Description を入力します。
- Next をクリックします。
-
Condition を入力します。この場合は、facts.installed_packages contains ['openssh-4.5'] と入力します。この条件は、システムが、最新の CVE に基づいて
opensshパッケージの脆弱なバージョンを実行しているかどうかを検出します。 - Validate condition をクリックして、Next をクリックします。
- Trigger actions ページで Add trigger actions をクリックし、Email を選択します。
- Next をクリックします。
- Review and activate ページで、切り替えスイッチをクリックしてポリシーを有効にし、詳細を確認します。
- Finish をクリックします。
新しいポリシーが作成されました。システムのチェックインでポリシーが評価されたときに、ポリシーの条件が満たされている場合、ポリシーは、ユーザーの電子メール設定に応じて、ポリシーにアクセスできるアカウントのすべてのユーザーに電子メールを自動的に送信します。
第4章 ポリシーの確認および管理
Operations > Policies に移動すると、作成されたすべての (有効化および無効化された) ポリシーを確認および管理できます。
ポリシーのリストは、名前別およびアクティブ状態でフィルタリングできます。ポリシーの横にあるオプションメニューをクリックして、以下の操作を実行できます。
- 有効化および無効化
- 編集
- 複製
- 削除
また、ポリシーリストから複数のポリシーを選択し、上部の Create policy ボタンの横にあるオプションメニュー
をクリックすると、以下の操作を一括で実行できます。
- ポリシーの削除
- ポリシーの有効化
- ポリシーの無効化
オプトインされていないメールアラートに関する警告メッセージが表示された場合は、ポリシーからメールを受信するようにユーザー設定を指定してください。
第5章 付録
この付録には、以下の参考資料が含まれています。
- システムファクト
- 演算子
5.1. システムファクト
次の表は、システム比較で使用するシステムファクトを定義します。
| ファクト名 | 説明 | 値の例 |
|---|---|---|
|
| Ansible 関連のファクトのリストを含むカテゴリー |
|
|
| システムアーキテクチャー |
|
|
|
BIOS リリース日: 通常は | 01/01/2011 |
|
| BIOS ベンダー名 | LENOVO |
|
| BIOS バージョン | 1.17.0 |
|
|
クラウドベンダー。値は |
|
|
| ソケットあたりの CPU コア数 | 2 |
|
|
CPU フラグのリストが含まれるカテゴリー。それぞれの名前は CPU フラグ ( |
値が |
|
|
有効なサービスのリストが含まれるカテゴリー。各カテゴリーの名前はサービス名 ( |
値が |
|
| システムの完全修飾ドメイン名 (FQDN) |
|
|
|
システムインフラストラクチャー。一般的な値は |
|
|
|
インフラストラクチャーベンダー。一般的な値は |
|
|
| インストールされている RPM パッケージのリスト。これはカテゴリーです。 |
値が |
|
|
インストールされているサービスのリストが含まれるカテゴリー。各カテゴリーの名前はサービス名 ( |
値が |
|
|
カーネルモジュールのリスト。カテゴリーの各名前はカーネルモジュール (例: |
値が |
|
|
|
|
|
| Microsoft SQL Server 関連のファクトのリストを含むカテゴリー |
値が 15.0.4153.1 の |
|
| ネットワークインターフェイスに関連するファクトの一覧 | |
|
各インターフェイスには、 | ||
|
各インターフェイスにはファクト名の先頭に接頭辞が付きます。たとえば、インターフェイス | ||
|
多くのネットワークインターフェイスのファクトは、システム全体で等しいことを確認するために比較されます。ただし、 | ||
|
| CPU の合計数 |
|
|
| ソケットの合計数 |
|
|
| カーネルバージョン |
|
|
| カーネルリリース |
|
|
| 実行中のプロセスのリスト。ファクト名はプロセスの名前で、値はインスタンス数です。 |
値が |
|
| SAP インスタンス番号 |
|
|
| SAP システム ID (SID) |
|
|
| SAP がシステムにインストールされているかどうかを示すブール値フィールド |
|
|
| SAP バージョン番号 |
|
|
| システムが Satellite Server に登録されているかどうかを示すブールフィールド |
|
|
| 現在の SELinux モード |
|
|
| 設定ファイルに設定されている SELinux モード |
|
|
|
失敗の数、現在キューに入っているジョブの数、 |
値が |
|
| 合計システムメモリー (バイト単位) |
|
|
|
|
|
|
|
yum リポジトリーの一覧。リポジトリー名がファクトの最初に追加されます。各リポジトリーには、関連付けられたファクト |
|
5.2. Operators
| 演算子 | 値 |
|---|---|
| 論理演算子 | AND |
| OR | |
| ブール演算子 | NOT |
| ! | |
| = | |
| != | |
| 数値比較演算子 | > |
| >= | |
| < | |
| <= | |
| 文字列比較演算子 | CONTAINS |
| MATCHES | |
| 配列演算子 | IN |
| CONTAINS |
Red Hat ドキュメントへのフィードバック (英語のみ)
Red Hat ドキュメントに関するフィードバックをお寄せください。いただいたご要望に迅速に対応できるよう、できるだけ詳細にご記入ください。
前提条件
- Red Hat カスタマーポータルにログインしている。
手順
フィードバックを送信するには、以下の手順を実施します。
- Create Issue にアクセスします。
- Summary テキストボックスに、問題または機能拡張に関する説明を入力します。
- Description テキストボックスに、問題または機能拡張のご要望に関する詳細を入力します。
- Reporter テキストボックスに、お客様のお名前を入力します。
- Create ボタンをクリックします。
これによりドキュメントに関するチケットが作成され、適切なドキュメントチームに転送されます。フィードバックをご提供いただきありがとうございました。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}