ロードバランサーを使用した Capsule の設定

手順

1. Satellite Web UI で、Hosts > Register Host に移動します。
2. Capsule ドロップダウンリストから、負荷分散用に設定された Capsule Server を選択します。
3. 以前に Capsule Server に登録されていたホストを登録するには、Force を選択します。
4. Activation Keys リストから、ホストに割り当てるアクティベーションキーを選択します。
5. Generate をクリックして登録コマンドを作成します。
6. ファイル アイコンをクリックして、コマンドをクリップボードにコピーします。
7. SSH を使用してホストに接続し、登録コマンドを実行します。
8. /etc/yum.repos.d/redhat.repo ファイルをチェックして、適切なリポジトリーが有効であることを確認します。

CLI 手順

1. Hammer CLI を使用してホスト登録コマンドを生成します。

   # hammer host-registration generate-command \
   --activation-keys "My_Activation_Key"

   Copy to Clipboard Toggle word wrap

   ホストが Satellite Server の SSL 証明書を信頼しない場合は、登録コマンドに --insecure フラグを追加して SSL 検証を無効にすることができます。

   # hammer host-registration generate-command \
   --activation-keys "My_Activation_Key" \
   --insecure true

   Copy to Clipboard Toggle word wrap

   --smart-proxy-id My_Capsule_ID オプションを含めます。ホスト登録のロードバランシング用に設定した任意の Capsule Server の ID を使用できます。Satellite はロードバランサーを登録コマンドに自動的に適用します。

   以前に Capsule Server に登録されていたホストを登録するには、--force オプションを追加します。

2. SSH を使用してホストに接続し、登録コマンドを実行します。
3. /etc/yum.repos.d/redhat.repo ファイルをチェックして、適切なリポジトリーが有効であることを確認します。

API の手順

1. Satellite API を使用してホスト登録コマンドを生成します。

   # curl -X POST https://satellite.example.com/api/registration_commands \
   --user "My_User_Name" \
   -H 'Content-Type: application/json' \
   -d '{ "registration_command": { "activation_keys": ["My_Activation_Key_1, My_Activation_Key_2"] }}'

   Copy to Clipboard Toggle word wrap

   ホストが Satellite Server の SSL 証明書を信頼しない場合は、登録コマンドに --insecure フラグを追加して SSL 検証を無効にすることができます。

   # curl -X POST https://satellite.example.com/api/registration_commands \
   --user "My_User_Name" \
   -H 'Content-Type: application/json' \
   -d '{ "registration_command": { "activation_keys": ["My_Activation_Key_1, My_Activation_Key_2"], "insecure": true }}'

   Copy to Clipboard Toggle word wrap

   アクティベーションキーを使用すると、その環境を簡単に指定できます。詳細は、コンテンツの管理 の アクティベーションキーの管理 を参照してください。

   { "smart_proxy_id": My_Capsule_ID } を含めます。ホスト登録のロードバランシング用に設定した任意の Capsule Server の ID を使用できます。Satellite はロードバランサーを登録コマンドに自動的に適用します。

   以前に Capsule Server に登録されていたホストを登録するには、{ "force": true } を追加します。

   コマンドライン引数としてパスワードを入力するには、username:password 構文を使用します。これにより、パスワードがシェル履歴に保存される可能性があることに注意してください。または、パスワードの代わりに一時的なパーソナルアクセストークンを使用することもできます。Satellite Web UI でトークンを生成するには、My Account > Personal Access Tokens に移動します。

2. SSH を使用してホストに接続し、登録コマンドを実行します。
3. /etc/yum.repos.d/redhat.repo ファイルをチェックして、適切なリポジトリーが有効であることを確認します。

1. すべてのパッケージを更新します。

   # dnf upgrade

   Copy to Clipboard Toggle word wrap

2. Capsule Server パッケージをインストールします。

   # dnf install satellite-capsule

   Copy to Clipboard Toggle word wrap

手順

1. Satellite Server で、Capsule Server の Katello 証明書を生成します。

   # capsule-certs-generate \
   --certs-tar "/root/capsule.example.com-certs.tar" \
   --foreman-proxy-cname loadbalancer.example.com \
   --foreman-proxy-fqdn capsule.example.com

   Copy to Clipboard Toggle word wrap

   capsule-certs-generate コマンドの出力である satellite-installer コマンド例のコピーを保持し、Capsule Server 証明書をインストールします。

2. 証明書アーカイブファイルを Satellite Server から Capsule Server にコピーします。

   # scp /root/capsule.example.com-certs.tar root@capsule.example.com:/root/capsule.example.com-certs.tar

   Copy to Clipboard Toggle word wrap

3. capsule-certs-generate コマンドの出力から取得する satellite-installer コマンドに次のオプションを追加します。

   --certs-cname "loadbalancer.example.com" \
   --enable-foreman-proxy-plugin-remote-execution-script

   Copy to Clipboard Toggle word wrap

4. Capsule Server で、satellite-installer コマンドを入力します。

   # satellite-installer --scenario capsule \
   --certs-cname "loadbalancer.example.com" \
   --certs-tar-file "capsule.example.com-certs.tar" \
   --enable-foreman-proxy-plugin-remote-execution-script \
   --foreman-proxy-foreman-base-url "https://satellite.example.com" \
   --foreman-proxy-oauth-consumer-key "oauth key" \
   --foreman-proxy-oauth-consumer-secret "oauth secret" \
   --foreman-proxy-register-in-foreman "true" \
   --foreman-proxy-trusted-hosts "satellite.example.com" \
   --foreman-proxy-trusted-hosts "capsule.example.com"

   Copy to Clipboard Toggle word wrap

手順

1. ソースの証明書ファイルすべてを保存するには、root ユーザーだけがアクセスできるディレクトリーを作成します。

   # mkdir /root/capsule_cert

   Copy to Clipboard Toggle word wrap

2. 証明書署名要求 (CSR) に署名する秘密鍵を作成します。

   秘密鍵は暗号化する必要がないことに注意してください。パスワードで保護された秘密鍵を使用する場合は、秘密鍵のパスワードを削除します。

   この Capsule Server の秘密鍵がすでにある場合は、この手順を省略します。

   # openssl genrsa -out /root/capsule_cert/capsule_cert_key.pem 4096

   Copy to Clipboard Toggle word wrap

3. CSR 用の /root/capsule_cert/openssl.cnf 設定ファイルを作成して、以下のコンテンツを追加します。

   [ req ]
   req_extensions = v3_req
   distinguished_name = req_distinguished_name
   x509_extensions = usr_cert
   prompt = no
   
   [ req_distinguished_name ]
   commonName = capsule.example.com 

   1

   
   
   [ v3_req ]
   basicConstraints = CA:FALSE
   keyUsage = digitalSignature, keyEncipherment
   extendedKeyUsage = serverAuth, clientAuth
   subjectAltName = @alt_names
   
   [alt_names] 

   2

   
   DNS.1 = loadbalancer.example.com
   DNS.2 = capsule.example.com

   Copy to Clipboard Toggle word wrap

   1

   証明書の共通名は、Capsule Server の FQDN と一致する必要があります。ロードバランシング用に設定する各 Capsule Server でコマンドを実行するたびに、必ず変更します。ワイルドカードの値 * を設定することもできます。ワイルドカードの値を設定しており、katello-certs-check コマンドを使用する場合には、-t capsule オプションを追加する必要があります。

   2

   [alt_names] で、ロードバランサーの FQDN は DNS.1、Capsule Server の FQDN は DNS.2 として追加します。

   [ v3_req ] パラメーターとその目的の詳細は、RFC 5280: Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile を参照してください。

4. オプション: CSR に識別名 (DN) の詳細を追加する場合は、[ req_distinguished_name ] セクションに次の情報を追加します。

   [req_distinguished_name]
   CN = capsule.example.com
   countryName = My_Country_Name 

   1

   
   stateOrProvinceName = My_State_Or_Province_Name 

   2

   
   localityName = My_Locality_Name 

   3

   
   organizationName = My_Organization_Or_Company_Name
   organizationalUnitName = My_Organizational_Unit_Name 

   4

   Copy to Clipboard Toggle word wrap

   1

   2 文字コード

   2

   Full name

   3

   フルネーム (例: ニューヨーク)

   4

   証明書を担当する部門 (例:IT 部門)

5. CSR を生成します。

   # openssl req -new \
   -key /root/capsule_cert/capsule_cert_key.pem \ 

   1

   
   -config /root/capsule_cert/openssl.cnf \ 

   2

   
   -out /root/capsule_cert/capsule_cert_csr.pem 

   3

   Copy to Clipboard Toggle word wrap

   1

   秘密鍵へのパス

   2

   設定ファイルへのパス

   3

   生成する CSR へのパス

6. 認証局 (CA) に証明書署名要求を送信します。Satellite Server と Capsule Server の証明書には同じ CA が署名する必要があります。

   要求を送信する場合は、証明書の有効期限を指定してください。証明書要求の送信方法にはさまざまなものがあるため、推奨される方法を CA にお問い合わせください。要求すると、CA バンドルと署名済み証明書を別々のファイルで受け取ることになります。

7. 認証局バンドル、認証局から受け取る Capsule Server の証明書ファイル、Capsule Server の秘密鍵を、Satellite Server にコピーします。

8. Satellite Server で、Capsule Server 証明書入力ファイルを検証します。

   # katello-certs-check \
   -c /root/capsule_cert/capsule_cert.pem \ 

   1

   
   -k /root/capsule_cert/capsule_cert_key.pem \ 

   2

   
   -b /root/capsule_cert/ca_cert_bundle.pem 

   3

   Copy to Clipboard Toggle word wrap

   1

   認証局により提供された Capsule Server 証明書ファイル

   2

   証明書の署名に使用した Capsule Server の秘密鍵

   3

   認証局により提供された認証局バンドル

   commonName= をワイルドカードの値 * に設定する場合には、-t capsule オプションを katello-certs-check コマンドに追加する必要があります。

   katello-certs-check コマンドの出力である capsule-certs-generate コマンドの例をメモして、この Capsule Server の認証アーカイブファイルを作成します。

手順

1. katello-certs-check コマンドの出力から取得する capsule-certs-generate コマンドに次のオプションを追加します。

   --foreman-proxy-cname loadbalancer.example.com

   Copy to Clipboard Toggle word wrap

2. Satellite Server で、capsule-certs-generate コマンドを入力して Capsule 証明書を生成します。

   # capsule-certs-generate \
   --certs-tar /root/capsule_cert/capsule.tar \
   --foreman-proxy-cname loadbalancer.example.com \
   --foreman-proxy-fqdn capsule.example.com \
   --server-ca-cert /root/capsule_cert/ca_cert_bundle.pem \
   --server-cert /root/capsule_cert/capsule.pem \
   --server-key /root/capsule_cert/capsule.pem

   Copy to Clipboard Toggle word wrap

   出力からの satellite-installer コマンド例のコピーを保持し、Capsule Server 証明書をインストールします。

3. 証明書アーカイブファイルを Satellite Server から Capsule Server にコピーします。

   # scp /root/capsule.example.com-certs.tar root@capsule.example.com:capsule.example.com-certs.tar

   Copy to Clipboard Toggle word wrap

4. capsule-certs-generate コマンドの出力から取得する satellite-installer コマンドに次のオプションを追加します。

   --certs-cname "loadbalancer.example.com" \
   --enable-foreman-proxy-plugin-remote-execution-script

   Copy to Clipboard Toggle word wrap

5. Capsule Server で、satellite-installer コマンドを入力します。

   # satellite-installer --scenario capsule \
   --certs-cname "loadbalancer.example.com" \
   --certs-tar-file "capsule.example.com-certs.tar" \
   --enable-foreman-proxy-plugin-remote-execution-script \
   --foreman-proxy-foreman-base-url "https://satellite.example.com" \
   --foreman-proxy-oauth-consumer-key "oauth key" \
   --foreman-proxy-oauth-consumer-secret "oauth secret" \
   --foreman-proxy-register-in-foreman "true" \
   --foreman-proxy-trusted-hosts "satellite.example.com" \
   --foreman-proxy-trusted-hosts "capsule.example.com"

   Copy to Clipboard Toggle word wrap

手順

1. Satellite Server で、Puppet 証明書を生成し、署名するように Capsule Server を設定するシステムの Katello 証明書を生成します。

   # capsule-certs-generate \
   --certs-tar "/root/capsule-ca.example.com-certs.tar" \
   --foreman-proxy-cname loadbalancer.example.com \
   --foreman-proxy-fqdn capsule-ca.example.com

   Copy to Clipboard Toggle word wrap

   capsule-certs-generate コマンドの出力である satellite-installer コマンド例のコピーを保持し、Capsule Server 証明書をインストールします。

2. 証明書アーカイブファイルを Satellite Server から Capsule Server にコピーします。

   # scp /root/capsule-ca.example.com-certs.tar root@capsule-ca.example.com:capsule-ca.example.com-certs.tar

   Copy to Clipboard Toggle word wrap

3. capsule-certs-generate コマンドの出力から取得する satellite-installer コマンドに次のオプションを追加します。

   --certs-cname "loadbalancer.example.com" \
   --enable-foreman-proxy-plugin-remote-execution-script \
   --foreman-proxy-puppetca "true" \
   --puppet-ca-server "capsule-ca.example.com" \
   --puppet-dns-alt-names "loadbalancer.example.com" \
   --puppet-server-ca "true"

   Copy to Clipboard Toggle word wrap

4. Capsule Server で、satellite-installer コマンドを入力します。

   # satellite-installer --scenario capsule \
   --certs-cname "loadbalancer.example.com" \
   --certs-tar-file "capsule-ca.example.com-certs.tar" \
   --enable-foreman-proxy-plugin-remote-execution-script \
   --enable-puppet \
   --foreman-proxy-foreman-base-url "https://satellite.example.com" \
   --foreman-proxy-oauth-consumer-key "oauth key" \
   --foreman-proxy-oauth-consumer-secret "oauth secret" \
   --foreman-proxy-puppetca "true" \
   --foreman-proxy-register-in-foreman "true" \
   --foreman-proxy-trusted-hosts "satellite.example.com" \
   --foreman-proxy-trusted-hosts "capsule-ca.example.com" \
   --puppet-ca-server "capsule-ca.example.com" \
   --puppet-dns-alt-names "loadbalancer.example.com" \
   --puppet-server true \
   --puppet-server-ca "true"

   Copy to Clipboard Toggle word wrap

5. Puppetserver 認証局である Capsule Server で、Puppet サーバーを停止します。

   # systemctl stop puppetserver

   Copy to Clipboard Toggle word wrap

6. ロードバランシングを設定する他のすべての Capsule Server に対して Puppet 証明書を生成します。ただし、Puppet 証明書署名を最初に設定したシステムを除きます。

   # puppetserver ca generate \
   --ca-client \
   --certname capsule.example.com \
   --subject-alt-names loadbalancer.example.com

   Copy to Clipboard Toggle word wrap

   このコマンドは、以下のファイルを作成します。

   • /etc/puppetlabs/puppet/ssl/certs/capsule.example.com.pem
   • /etc/puppetlabs/puppet/ssl/private_keys/capsule.example.com.pem
   • /etc/puppetlabs/puppet/ssl/public_keys/capsule.example.com.pem
   • /etc/puppetlabs/puppetserver/ca/signed/capsule.example.com.pem

7. Puppet サーバーを起動します。

   # systemctl start puppetserver

   Copy to Clipboard Toggle word wrap

手順

1. Satellite Server で、Capsule Server の Katello 証明書を生成します。

   # capsule-certs-generate \
   --certs-tar "/root/capsule.example.com-certs.tar" \
   --foreman-proxy-cname loadbalancer.example.com \
   --foreman-proxy-fqdn capsule.example.com

   Copy to Clipboard Toggle word wrap

   capsule-certs-generate コマンドの出力である satellite-installer コマンド例のコピーを保持し、Capsule Server 証明書をインストールします。

2. 証明書アーカイブファイルを Satellite Server から Capsule Server にコピーします。

   # scp /root/capsule.example.com-certs.tar root@capsule.example.com:/root/capsule.example.com-certs.tar

   Copy to Clipboard Toggle word wrap

3. Capsule Server で、puppetserver パッケージをインストールします。

   # satellite-maintain packages install puppetserver

   Copy to Clipboard Toggle word wrap

4. Capsule Server で、Puppet 証明書用のディレクトリーを作成します。

   # mkdir -p /etc/puppetlabs/puppet/ssl/certs/ \
   /etc/puppetlabs/puppet/ssl/private_keys/ \
   /etc/puppetlabs/puppet/ssl/public_keys/

   Copy to Clipboard Toggle word wrap

5. Capsule Server で、Capsule Server を設定するシステムから、対象の Capsule Server の Puppet 証明書をコピーして、Puppet 証明書を署名します。

   # scp root@capsule-ca.example.com:/etc/puppetlabs/puppet/ssl/certs/capsule.example.com.pem /etc/puppetlabs/puppet/ssl/certs/capsule.example.com.pem
   # scp root@capsule-ca.example.com:/etc/puppetlabs/puppet/ssl/certs/ca.pem /etc/puppetlabs/puppet/ssl/certs/ca.pem
   # scp root@capsule-ca.example.com:/etc/puppetlabs/puppet/ssl/private_keys/capsule.example.com.pem /etc/puppetlabs/puppet/ssl/private_keys/capsule.example.com.pem
   # scp root@capsule-ca.example.com:/etc/puppetlabs/puppet/ssl/public_keys/capsule.example.com.pem /etc/puppetlabs/puppet/ssl/public_keys/capsule.example.com.pem

   Copy to Clipboard Toggle word wrap

6. Capsule Server で、/etc/puppetlabs/puppet/ssl/ ディレクトリーの所有権をユーザー puppet およびグループ puppet に変更します。

   # chown -R puppet:puppet /etc/puppetlabs/puppet/ssl/

   Copy to Clipboard Toggle word wrap

7. Capsule Server で、/etc/puppetlabs/puppet/ssl/ ディレクトリーの SELinux コンテキストを設定します。

   # restorecon -Rv /etc/puppetlabs/puppet/ssl/

   Copy to Clipboard Toggle word wrap

8. capsule-certs-generate コマンドの出力から取得する satellite-installer コマンドに次のオプションを追加します。

   --certs-cname "loadbalancer.example.com" \
   --enable-foreman-proxy-plugin-remote-execution-script \
   --foreman-proxy-puppetca "false" \
   --puppet-ca-server "capsule-ca.example.com" \
   --puppet-dns-alt-names "loadbalancer.example.com" \
   --puppet-server-ca "false"

   Copy to Clipboard Toggle word wrap

9. Capsule Server で、satellite-installer コマンドを入力します。

   # satellite-installer --scenario capsule \
   --certs-cname "loadbalancer.example.com" \
   --certs-tar-file "capsule.example.com-certs.tar" \
   --enable-foreman-proxy-plugin-remote-execution-script \
   --foreman-proxy-foreman-base-url "https://satellite.example.com" \
   --foreman-proxy-oauth-consumer-key "oauth key" \
   --foreman-proxy-oauth-consumer-secret "oauth secret" \
   --foreman-proxy-puppetca "false" \
   --foreman-proxy-register-in-foreman "true" \
   --foreman-proxy-trusted-hosts "satellite.example.com" \
   --foreman-proxy-trusted-hosts "capsule.example.com" \
   --puppet-ca-server "capsule-ca.example.com" \
   --puppet-dns-alt-names "loadbalancer.example.com" \
   --puppet-server-ca "false"

   Copy to Clipboard Toggle word wrap

1. Capsule Server 1 台 (通常、ロードバランシング用に Capsule Server を設定する最初のシステム) に Puppet 証明書署名を設定します。
2. ロードバランサー上のポート 8141 に CA 要求を送信するようにクライアントを設定します。
3. Puppet 証明書に署名するために Capsule Server を設定したシステムで、ポート 8141 からポート 8140 に CA 要求をリダイレクトするようにロードバランサーを設定します。

手順

1. ソースの証明書ファイルすべてを保存するには、root ユーザーだけがアクセスできるディレクトリーを作成します。

   # mkdir /root/capsule_cert

   Copy to Clipboard Toggle word wrap

2. 証明書署名要求 (CSR) に署名する秘密鍵を作成します。

   秘密鍵は暗号化する必要がないことに注意してください。パスワードで保護された秘密鍵を使用する場合は、秘密鍵のパスワードを削除します。

   この Capsule Server の秘密鍵がすでにある場合は、この手順を省略します。

   # openssl genrsa -out /root/capsule_cert/capsule_cert_key.pem 4096

   Copy to Clipboard Toggle word wrap

3. CSR 用の /root/capsule_cert/openssl.cnf 設定ファイルを作成して、以下のコンテンツを追加します。

   [ req ]
   req_extensions = v3_req
   distinguished_name = req_distinguished_name
   x509_extensions = usr_cert
   prompt = no
   
   [ req_distinguished_name ]
   commonName = capsule.example.com 

   1

   
   
   [ v3_req ]
   basicConstraints = CA:FALSE
   keyUsage = digitalSignature, keyEncipherment
   extendedKeyUsage = serverAuth, clientAuth
   subjectAltName = @alt_names
   
   [alt_names] 

   2

   
   DNS.1 = loadbalancer.example.com
   DNS.2 = capsule.example.com

   Copy to Clipboard Toggle word wrap

   1

   証明書の共通名は、Capsule Server の FQDN と一致する必要があります。ロードバランシング用に設定する各 Capsule Server でコマンドを実行するたびに、必ず変更します。ワイルドカードの値 * を設定することもできます。ワイルドカードの値を設定しており、katello-certs-check コマンドを使用する場合には、-t capsule オプションを追加する必要があります。

   2

   [alt_names] で、ロードバランサーの FQDN は DNS.1、Capsule Server の FQDN は DNS.2 として追加します。

   [ v3_req ] パラメーターとその目的の詳細は、RFC 5280: Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile を参照してください。

4. オプション: CSR に識別名 (DN) の詳細を追加する場合は、[ req_distinguished_name ] セクションに次の情報を追加します。

   [req_distinguished_name]
   CN = capsule.example.com
   countryName = My_Country_Name 

   1

   
   stateOrProvinceName = My_State_Or_Province_Name 

   2

   
   localityName = My_Locality_Name 

   3

   
   organizationName = My_Organization_Or_Company_Name
   organizationalUnitName = My_Organizational_Unit_Name 

   4

   Copy to Clipboard Toggle word wrap

   1

   2 文字コード

   2

   Full name

   3

   フルネーム (例: ニューヨーク)

   4

   証明書を担当する部門 (例:IT 部門)

5. CSR を生成します。

   # openssl req -new \
   -key /root/capsule_cert/capsule_cert_key.pem \ 

   1

   
   -config /root/capsule_cert/openssl.cnf \ 

   2

   
   -out /root/capsule_cert/capsule_cert_csr.pem 

   3

   Copy to Clipboard Toggle word wrap

   1

   秘密鍵へのパス

   2

   設定ファイルへのパス

   3

   生成する CSR へのパス

6. 認証局 (CA) に証明書署名要求を送信します。Satellite Server と Capsule Server の証明書には同じ CA が署名する必要があります。

   要求を送信する場合は、証明書の有効期限を指定してください。証明書要求の送信方法にはさまざまなものがあるため、推奨される方法を CA にお問い合わせください。要求すると、CA バンドルと署名済み証明書を別々のファイルで受け取ることになります。

7. 認証局バンドル、認証局から受け取る Capsule Server の証明書ファイル、Capsule Server の秘密鍵を、Satellite Server にコピーします。

8. Satellite Server で、Capsule Server 証明書入力ファイルを検証します。

   # katello-certs-check \
   -c /root/capsule_cert/capsule_cert.pem \ 

   1

   
   -k /root/capsule_cert/capsule_cert_key.pem \ 

   2

   
   -b /root/capsule_cert/ca_cert_bundle.pem 

   3

   Copy to Clipboard Toggle word wrap

   1

   認証局により提供された Capsule Server 証明書ファイル

   2

   証明書の署名に使用した Capsule Server の秘密鍵

   3

   認証局により提供された認証局バンドル

   commonName= をワイルドカードの値 * に設定する場合には、-t capsule オプションを katello-certs-check コマンドに追加する必要があります。

   katello-certs-check コマンドの出力である capsule-certs-generate コマンドの例をメモして、この Capsule Server の認証アーカイブファイルを作成します。

手順

1. katello-certs-check コマンドの出力から取得する capsule-certs-generate コマンドに次のオプションを追加します。

   --foreman-proxy-cname loadbalancer.example.com

   Copy to Clipboard Toggle word wrap

2. Satellite Server で、capsule-certs-generate コマンドを入力して Capsule 証明書を生成します。

   # capsule-certs-generate \
   --certs-tar /root/capsule_cert/capsule-ca.tar \
   --foreman-proxy-cname loadbalancer.example.com \
   --foreman-proxy-fqdn capsule-ca.example.com \
   --server-ca-cert /root/capsule_cert/ca_cert_bundle.pem \
   --server-cert /root/capsule_cert/capsule-ca.pem \
   --server-key /root/capsule_cert/capsule-ca.pem

   Copy to Clipboard Toggle word wrap

   出力からの satellite-installer コマンド例のコピーを保持し、Capsule Server 証明書をインストールします。

3. 証明書アーカイブファイルを Satellite Server から Capsule Server にコピーします。

4. capsule-certs-generate コマンドの出力から取得する satellite-installer コマンドに次のオプションを追加します。

   --enable-foreman-proxy-plugin-remote-execution-script \
   --foreman-proxy-puppetca "true" \
   --puppet-ca-server "capsule-ca.example.com" \
   --puppet-dns-alt-names "loadbalancer.example.com" \
   --puppet-server-ca "true"

   Copy to Clipboard Toggle word wrap

5. Capsule Server で、satellite-installer コマンドを入力します。

   # satellite-installer --scenario capsule \
   --certs-cname "loadbalancer.example.com" \
   --certs-tar-file "certs.tgz" \
   --enable-foreman-proxy-plugin-remote-execution-script \
   --enable-puppet \
   --foreman-proxy-foreman-base-url "https://satellite.example.com" \
   --foreman-proxy-oauth-consumer-key "oauth key" \
   --foreman-proxy-oauth-consumer-secret "oauth secret" \
   --foreman-proxy-puppetca "true" \
   --foreman-proxy-register-in-foreman "true" \
   --foreman-proxy-trusted-hosts "satellite.example.com" \
   --foreman-proxy-trusted-hosts "capsule-ca.example.com" \
   --puppet-ca-server "capsule-ca.example.com" \
   --puppet-dns-alt-names "loadbalancer.example.com" \
   --puppet-server true \
   --puppet-server-ca "true"

   Copy to Clipboard Toggle word wrap

6. Puppetserver 認証局である Capsule Server で、Puppet サーバーを停止します。

   # systemctl stop puppetserver

   Copy to Clipboard Toggle word wrap

7. ロードバランシングを設定する他のすべての Capsule Server に対して Puppet 証明書を生成します。ただし、Puppet 証明書署名を最初に設定したシステムを除きます。

   # puppetserver ca generate \
   --ca-client \
   --certname capsule.example.com \
   --subject-alt-names loadbalancer.example.com

   Copy to Clipboard Toggle word wrap

   このコマンドは、以下のファイルを作成します。

   • /etc/puppetlabs/puppet/ssl/certs/capsule.example.com.pem
   • /etc/puppetlabs/puppet/ssl/private_keys/capsule.example.com.pem
   • /etc/puppetlabs/puppet/ssl/public_keys/capsule.example.com.pem
   • /etc/puppetlabs/puppetserver/ca/signed/capsule.example.com.pem

8. Puppet サーバーを起動します。

   # systemctl start puppetserver

   Copy to Clipboard Toggle word wrap

手順

1. katello-certs-check コマンドの出力から取得する capsule-certs-generate コマンドに次のオプションを追加します。

   --foreman-proxy-cname loadbalancer.example.com

   Copy to Clipboard Toggle word wrap

2. Satellite Server で、capsule-certs-generate コマンドを入力して Capsule 証明書を生成します。

   # capsule-certs-generate \
   --certs-tar /root/capsule_cert/capsule.tar \
   --foreman-proxy-cname loadbalancer.example.com \
   --foreman-proxy-fqdn capsule.example.com \
   --server-ca-cert /root/capsule_cert/ca_cert_bundle.pem \
   --server-cert /root/capsule_cert/capsule.pem \
   --server-key /root/capsule_cert/capsule.pem

   Copy to Clipboard Toggle word wrap

   出力からの satellite-installer コマンド例のコピーを保持し、Capsule Server 証明書をインストールします。

3. 証明書アーカイブファイルを Satellite Server から Capsule Server にコピーします。

   # scp /root/capsule.example.com-certs.tar root@capsule.example.com:capsule.example.com-certs.tar

   Copy to Clipboard Toggle word wrap

4. Capsule Server で、puppetserver パッケージをインストールします。

   # satellite-maintain packages install puppetserver

   Copy to Clipboard Toggle word wrap

5. Capsule Server で、Puppet 証明書用のディレクトリーを作成します。

   # mkdir -p /etc/puppetlabs/puppet/ssl/certs/ \
   /etc/puppetlabs/puppet/ssl/private_keys/ \
   /etc/puppetlabs/puppet/ssl/public_keys/

   Copy to Clipboard Toggle word wrap

6. Capsule Server で、Capsule Server を設定するシステムから、対象の Capsule Server の Puppet 証明書をコピーして、Puppet 証明書を署名します。

   # scp root@capsule-ca.example.com:/etc/puppetlabs/puppet/ssl/certs/capsule.example.com.pem /etc/puppetlabs/puppet/ssl/certs/capsule.example.com.pem
   # scp root@capsule-ca.example.com:/etc/puppetlabs/puppet/ssl/certs/ca.pem /etc/puppetlabs/puppet/ssl/certs/ca.pem
   # scp root@capsule-ca.example.com:/etc/puppetlabs/puppet/ssl/private_keys/capsule.example.com.pem /etc/puppetlabs/puppet/ssl/private_keys/capsule.example.com.pem
   # scp root@capsule-ca.example.com:/etc/puppetlabs/puppet/ssl/public_keys/capsule.example.com.pem /etc/puppetlabs/puppet/ssl/public_keys/capsule.example.com.pem

   Copy to Clipboard Toggle word wrap

7. Capsule Server で、/etc/puppetlabs/puppet/ssl/ ディレクトリーの所有権をユーザー puppet およびグループ puppet に変更します。

   # chown -R puppet:puppet /etc/puppetlabs/puppet/ssl/

   Copy to Clipboard Toggle word wrap

8. Capsule Server で、/etc/puppetlabs/puppet/ssl/ ディレクトリーの SELinux コンテキストを設定します。

   # restorecon -Rv /etc/puppetlabs/puppet/ssl/

   Copy to Clipboard Toggle word wrap

9. capsule-certs-generate コマンドの出力から取得する satellite-installer コマンドに次のオプションを追加します。

   --certs-cname "loadbalancer.example.com" \
   --enable-foreman-proxy-plugin-remote-execution-script \
   --foreman-proxy-puppetca "false" \
   --puppet-ca-server "capsule-ca.example.com" \
   --puppet-dns-alt-names "loadbalancer.example.com" \
   --puppet-server-ca "false"

   Copy to Clipboard Toggle word wrap

10. Capsule Server で、satellite-installer コマンドを入力します。

    # satellite-installer --scenario capsule \
    --certs-cname "loadbalancer.example.com" \
    --certs-tar-file "capsule.example.com-certs.tar" \
    --enable-foreman-proxy-plugin-remote-execution-script \
    --foreman-proxy-foreman-base-url "https://satellite.example.com" \
    --foreman-proxy-oauth-consumer-key "oauth key" \
    --foreman-proxy-oauth-consumer-secret "oauth secret" \
    --foreman-proxy-puppetca "false" \
    --foreman-proxy-register-in-foreman "true" \
    --foreman-proxy-trusted-hosts "satellite.example.com" \
    --foreman-proxy-trusted-hosts "capsule.example.com" \
    --puppet-ca-server "capsule-ca.example.com" \
    --puppet-dns-alt-names "loadbalancer.example.com" \
    --puppet-server-ca "false"

    Copy to Clipboard Toggle word wrap

1. Capsule Server 1 台 (通常、ロードバランシング用に Capsule Server を設定する最初のシステム) に Puppet 証明書署名を設定します。
2. ロードバランサー上のポート 8141 に CA 要求を送信するようにクライアントを設定します。
3. Puppet 証明書に署名するために Capsule Server を設定したシステムで、ポート 8141 からポート 8140 に CA 要求をリダイレクトするようにロードバランサーを設定します。

手順

1. Satellite Web UI で、Hosts > Register Host に移動します。
2. Capsule ドロップダウンリストから、負荷分散用に設定された Capsule Server を選択します。
3. 以前に Capsule Server に登録されていたホストを登録するには、Force を選択します。
4. Activation Keys リストから、ホストに割り当てるアクティベーションキーを選択します。
5. Generate をクリックして登録コマンドを作成します。
6. ファイル アイコンをクリックして、コマンドをクリップボードにコピーします。
7. SSH を使用してホストに接続し、登録コマンドを実行します。
8. /etc/yum.repos.d/redhat.repo ファイルをチェックして、適切なリポジトリーが有効であることを確認します。

CLI 手順

1. Hammer CLI を使用してホスト登録コマンドを生成します。

   # hammer host-registration generate-command \
   --activation-keys "My_Activation_Key"

   Copy to Clipboard Toggle word wrap

   ホストが Satellite Server の SSL 証明書を信頼しない場合は、登録コマンドに --insecure フラグを追加して SSL 検証を無効にすることができます。

   # hammer host-registration generate-command \
   --activation-keys "My_Activation_Key" \
   --insecure true

   Copy to Clipboard Toggle word wrap

   --smart-proxy-id My_Capsule_ID オプションを含めます。ホスト登録のロードバランシング用に設定した任意の Capsule Server の ID を使用できます。Satellite はロードバランサーを登録コマンドに自動的に適用します。

   以前に Capsule Server に登録されていたホストを登録するには、--force オプションを追加します。

2. SSH を使用してホストに接続し、登録コマンドを実行します。
3. /etc/yum.repos.d/redhat.repo ファイルをチェックして、適切なリポジトリーが有効であることを確認します。

API の手順

1. Satellite API を使用してホスト登録コマンドを生成します。

   # curl -X POST https://satellite.example.com/api/registration_commands \
   --user "My_User_Name" \
   -H 'Content-Type: application/json' \
   -d '{ "registration_command": { "activation_keys": ["My_Activation_Key_1, My_Activation_Key_2"] }}'

   Copy to Clipboard Toggle word wrap

   ホストが Satellite Server の SSL 証明書を信頼しない場合は、登録コマンドに --insecure フラグを追加して SSL 検証を無効にすることができます。

   # curl -X POST https://satellite.example.com/api/registration_commands \
   --user "My_User_Name" \
   -H 'Content-Type: application/json' \
   -d '{ "registration_command": { "activation_keys": ["My_Activation_Key_1, My_Activation_Key_2"], "insecure": true }}'

   Copy to Clipboard Toggle word wrap

   アクティベーションキーを使用すると、その環境を簡単に指定できます。詳細は、コンテンツの管理 の アクティベーションキーの管理 を参照してください。

   { "smart_proxy_id": My_Capsule_ID } を含めます。ホスト登録のロードバランシング用に設定した任意の Capsule Server の ID を使用できます。Satellite はロードバランサーを登録コマンドに自動的に適用します。

   以前に Capsule Server に登録されていたホストを登録するには、{ "force": true } を追加します。

   コマンドライン引数としてパスワードを入力するには、username:password 構文を使用します。これにより、パスワードがシェル履歴に保存される可能性があることに注意してください。または、パスワードの代わりに一時的なパーソナルアクセストークンを使用することもできます。Satellite Web UI でトークンを生成するには、My Account > Personal Access Tokens に移動します。

2. SSH を使用してホストに接続し、登録コマンドを実行します。
3. /etc/yum.repos.d/redhat.repo ファイルをチェックして、適切なリポジトリーが有効であることを確認します。

手順

1. Satellite Web UI で、Configure > Ansible > Variables に移動します。
2. foreman_scap_client_port 変数を検索し、その名前をクリックします。
3. Default Behavior エリアで、Override チェックボックスを選択します。
4. Parameter Type リストで、integer を選択します。
5. Default Value フィールドに、9090 と入力します。
6. Specify Matchers エリアで、デフォルト値をオーバーライドするすべてのマッチャーを削除します。
7. Submit をクリックします。
8. foreman_scap_client_server 変数を検索し、その名前をクリックします。
9. Default Behavior エリアで、Override チェックボックスを選択します。
10. Parameter Type リストで、string を選択します。
11. Default Value フィールドに、ロードバランサーの FQDN (loadbalancer.example.com など) を入力します。
12. Specify Matchers エリアで、デフォルト値をオーバーライドするすべてのマッチャーを削除します。
13. Submit をクリックします。

14. Ansible を使用したコンプライアンスポリシーのデプロイに進みます。詳細は以下を参照してください。

    • セキュリティーコンプライアンスの管理 の Ansible を使用したホストグループへのポリシーのデプロイ
    • セキュリティーコンプライアンスの管理 の Ansible を使用したホストへのポリシーのデプロイ

手順

1. Satellite Web UI で、Configure > Puppet ENC > Classes に移動します。
2. foreman_scap_client をクリックします。
3. Smart Class Parameter タブをクリックします。
4. Smart Class Parameter ウィンドウの左側のペインで、port をクリックします。
5. Default Behavior エリアで、Override チェックボックスを選択します。
6. Key Type の一覧から integer を選択します。
7. Default Value フィールドに、9090 と入力します。
8. Smart Class Parameter ウィンドウの左側のペインで、server をクリックします。
9. Default Behavior エリアで、Override チェックボックスを選択します。
10. Key Type の一覧から string を選択します。
11. Default Value フィールドに、ロードバランサーの FQDN (loadbalancer.example.com など) を入力します。
12. Smart Class Parameter ウィンドウの左下のペインで、Submit をクリックします。

13. Puppet を使用したコンプライアンスポリシーのデプロイに進みます。詳細は以下を参照してください。

    • セキュリティーコンプライアンスの管理 の Puppet を使用したホストグループへのポリシーのデプロイ
    • セキュリティーコンプライアンスの管理 の Puppet を使用したホストへのポリシーのデプロイ