第4章 Capsule Server のインストール
Capsule Server をインストールする前に、ご使用の環境がインストールの要件を満たしていることを確認する必要があります。Capsule Server のインストール要件は Satellite Server と同じですが、Red Hat CDN への接続にはプロキシーを使用しない設定になっている必要があります。詳細は「システム要件」を参照してください。
4.1. Satellite Server への Capsule Server の登録
作業開始前の準備
- Satellite Server には、サブスクライブする組織の適切なリポジトリーを使用してマニフェストがインストールされている必要があります。マニフェストには Capsule のベースシステムと Capsule に接続されたすべてのクライアント向けのリポジトリーが含まれる必要があります。リポジトリーは同期する必要があります。マニフェストとリポジトリーの詳細は、『Red Hat Satellite コンテンツ管理ガイド』の「サブスクリプションの管理」を参照してください。
- Satellite Server のベースシステムは、Capsule Server のベースシステムのホスト名を解決できる必要があり、Capsule Server のベースシステムは Satellite Server のベースシステムのホスト名を解決できる必要があります。
- Red Hat Satellite へのアクセスを妨げるプロキシーの使用に関連した変更を元に戻す必要があります。
- ホストとネットワークベースのファイアウォールが設定済みである必要があります。詳細は「ポートとファイアウォールの要件」を参照してください。
- Satellite Server のユーザー名とパスワードが必要です。詳細は『Red Hat Satellite の管理』の「外部認証の設定」 を参照してください。
Satellite Server への Capsule Server の登録
Capsule Server に Satellite Server の CA 証明書をインストールします。
# rpm -Uvh http://satellite.example.com/pub/katello-ca-consumer-latest.noarch.rpm
Capsule Server を組織に登録します。
# subscription-manager register --org organization_name
4.2. Capsule Server サブスクリプションの識別と割り当て
Capsule Server の登録後は、Capsule Server のサブスクリプションプール ID を識別する必要があります。プール ID を使用すると、必要なサブスクリプションを Capsule Server に割り当てることができます。Capsule Server のサブスクリプションがあると、Capsule Server のコンテンツ、Red Hat Enterprise Linux、Red Hat Software Collections (RHSCL)、および Red Hat Satellite にアクセスできます。その他のサブスクリプションは必要ありません。
Capsule Server のサブスクリプションを識別します。
# subscription-manager list --all --available
このコマンドを実行すると、以下のような出力が表示されます。
+-------------------------------------------+ Available Subscriptions +-------------------------------------------+ Subscription Name: Red Hat Satellite Capsule Server Provides: Red Hat Satellite Proxy Red Hat Satellite Capsule Red Hat Software Collections (for RHEL Server) Red Hat Satellite Capsule Red Hat Enterprise Linux Server Red Hat Enterprise Linux High Availability (for RHEL Server) Red Hat Software Collections (for RHEL Server) Red Hat Enterprise Linux Load Balancer (for RHEL Server) SKU: MCT0369 Pool ID: 9e4cc4e9b9fb407583035861bb6be501 Available: 3 Suggested: 1 Service Level: Premium Service Type: L1-L3 Multi-Entitlement: No Ends: 10/07/2022 System Type: Physical
- 後で Satellite ホストに割り当てるために、プール ID をメモします。実際に使用するプール ID は、この例で使用されているものとは異なります。
プール ID を使用してサブスクリプションを Capsule Server に割り当てます。
# subscription-manager attach --pool=Red_Hat_Satellite_Capsule_Pool_Id
この出力では、以下のような内容が表示されます。
Successfully attached a subscription for: Red Hat Capsule Server
サブスクリプションが正しく割り当てられたことを確認するには、以下のコマンドを入力します。
# subscription-manager list --consumed
4.3. リポジトリーの設定
すべての既存のリポジトリーを無効にします。
# subscription-manager repos --disable "*"
Red Hat Satellite Capsule、Red Hat Enterprise Linux、および Red Hat Software Collections リポジトリーを有効にします。
Red Hat Software Collections リポジトリーは、リモート実行機能を含む一部の Red Hat Satellite Capsule 機能で必要な、新しいバージョンの Ruby を提供します。
# subscription-manager repos --enable rhel-7-server-rpms \ --enable rhel-7-server-satellite-capsule-6.3-rpms \ --enable rhel-server-rhscl-7-rpms
お使いの Puppet モジュールが Puppet 4 にアップグレードされている場合は、インストールプロセスの一部としてデフォルトの Puppet 3 を Puppet 4 に変更できます。Puppet 4 リポジトリーを有効にするには、以下を実行します。
# subscription-manager repos \ --enable=rhel-7-server-satellite-capsule-6.3-puppet4-rpms
Red Hat 以外のすべての
yum
リポジトリーのメタデータをすべて削除します。# yum clean all
リポジトリーが有効になっていることを確認します。
# yum repolist enabled
以下のような出力が表示されます。
Loaded plugins: langpacks, product-id, subscription-manager repo id repo name status !rhel-7-server-rpms/7Server/x86_64 Red Hat Enterprise Linux 7 Server (RPMs) 7,617 !rhel-7-server-satellite-capsule-6.3-rpms/x86_64 Red Hat Satellite Capsule 6.3(for RHEL 7 Server) (RPMs) 176 repolist: 7,793
4.4. 時間の同期
時刻の誤差を最小化するには、ホストオペレーティングシステムで時刻シンクロナイザーを起動し、有効にする必要があります。システムの時刻が正しくないと、証明書の検証に失敗することがあります。
NTP
と chronyd
の 2 つの時刻シンクロナイザーが利用できます。両シンクロナイザーにはそれぞれ利点があります。chronyd
は、頻繁に一時停止するシステムと、ネットワークから断続的に切断され、接続が再確立されるシステム (モバイルシステムや仮想システムなど) に推奨されます。NTP
は、実行状態を維持し、中断せずにネットワークに接続することが期待されるシステムに推奨されます。
NTP
と chronyd
の違いについては、『システム管理者のガイド』の「ntpd と chronyd の違い」を参照してください。
NTP を使用した時間の同期
ntp をインストールします。
# yum install ntp
NTP サーバーが利用可能であることを確認します。
# ntpdate -q ntp_server_address
システム時刻を設定します。
# ntpdate ntp_server_address
chronyd を使用した時間の同期
chronyd をインストールします。
# yum install chrony
chronyd サービスを起動して、有効にします。
# systemctl start chronyd # systemctl enable chronyd
4.5. Capsule Server のインストール
インストールパッケージをインストールします。
# yum install satellite-capsule
4.6. Capsule Server の初期設定の実行
このセクションでは、デフォルトの証明書、DNS、および DHCP の使用を含む Capsule サーバーのデフォルトのインストールのデモを行います。他の高度な設定オプションの詳細は「Capsule Server での追加設定の実行」を参照してください。
4.6.1. デフォルトのサーバー証明書を使用した Capsule Server の設定
Capsule Server で使用されているデフォルトの認証局 (CA) を使用できます (この認証局は、サブサービスを認証するためのサーバーおよびクライアントの SSL 証明書両方で使用されます)。
作業開始前の準備
- ホストとネットワークベースのファイアウォールが設定済みである必要があります。詳細は「ポートとファイアウォールの要件」を参照してください。
-
katello-ca-consumer-latest
パッケージがインストール済みである必要があります。詳細は、「Satellite Server への Capsule Server の登録」 を参照してください。 - Capsule Server が Satellite Server に登録されている必要があります。
- 必要なサブスクリプションが Capsule Server に割り当てられている必要があります。
デフォルトのサーバー証明書を使用した Capsule Server の設定
Satellite Server で証明書アーカイブを作成します。
# capsule-certs-generate \ --foreman-proxy-fqdn mycapsule.example.com \ --certs-tar mycapsule.example.com-certs.tar
-
satellite-installer
パッケージが Capsule Server で利用可能であることを確認します。 -
生成されたアーカイブ
.tar
ファイルを Satellite Server から Capsule Server にコピーします。 ご使用の環境のニーズに基づいて証明書を有効にします。詳細については、
satellite-installer --scenario capsule --help
を参照してください。# satellite-installer --scenario capsule \ --foreman-proxy-content-parent-fqdn satellite.example.com \ --foreman-proxy-register-in-foreman true \ --foreman-proxy-foreman-base-url https://satellite.example.com \ --foreman-proxy-trusted-hosts satellite.example.com \ --foreman-proxy-trusted-hosts mycapsule.example.com \ --foreman-proxy-oauth-consumer-key UVrAZfMaCfBiiWejoUVLYCZHT2xhzuFV \ --foreman-proxy-oauth-consumer-secret \ ZhH8p7M577ttNU3WmUGWASag3JeXKgUX \ --foreman-proxy-content-pulp-oauth-secret TPk42MYZ42nAE3rZvyLBh7Lxob3nEUi8 \ --foreman-proxy-content-certs-tar mycapsule.example.com-certs.tar
Satellite へのネットワーク接続やポートをまだ開いていない場合は、--foreman-proxy-register-in-foreman
オプションを false
に設定すると、Capsule が Satellite へ接続を試行しなくなり、エラー報告がなくなります。ネットワークとファイアウォールを適切に設定したら、このオプションを true
にして再度インストーラーを実行します。
4.7. Capsule Server での追加設定の実行
4.7.1. katello エージェントのインストール
クライアントのリモートアップデートを許可するために、katello エージェントをインストールすることが推奨されます。Capsule Server のベースシステムは Satellite Server のクライアントであるため、katello エージェントがインストールされている必要があります。
作業開始前の準備
- Satellite Server で Satellite Tools リポジトリーが有効にされている必要があります。
- Satellite Server で Satellite Tools リポジトリーが同期されている必要があります。
katello-agent のインストール手順:
- システムにログインします。
このバージョンの Satellite 向け Satellite Tools リポジトリーを有効にします。
# subscription-manager repos \ --enable=rhel-7-server-satellite-tools-6.3-rpms
パッケージをインストールします。
# yum install katello-agent
4.7.2. Capsule Server でリモート実行の有効化
Capsule Server のホストでコマンドを実行する場合は、リモート実行が有効である必要があります。
デフォルトでは、外部の Capsule はリモート実行機能が無効になっています。Capsule Server でリモート実行を使用するには、以下のコマンドを実行して、これを有効にする必要があります。
# satellite-installer --scenario capsule \ --enable-foreman-proxy-plugin-remote-execution-ssh
4.7.3. Capsule Server へのライフサイクル環境の追加
Capsule Server でコンテンツ機能が有効な場合は、1 つ以上のライフサイクル環境を追加する必要があります。環境を追加すると、Capsule Server で Satellite Server のコンテンツを同期し、コンテンツをホストシステムに提供できます。
Red Hat では、1 つ以上のライフサイクル環境を作成して、Capsule Server に割り当てることを推奨しています。こうすることで、Capsule は各ライフサイクル環境にプロモートされたコンテンツビューに含まれているリポジトリーのみから受け取ることになり、システムリソースの使用が最適化されます。
ライブラリーライフサイクル環境を Capsule Server に割り当てると、リポジトリーが CDN から更新されるたびに自動で Capsule が同期されるようになるので、これは避けてください。自動同期では、Capsule 上の複数のシステムリソースや Satellite と Capsule 間のネットワーク帯域幅、および Capsule 上の利用可能なディスク領域が消費されます。
Capsule Server は、Satellite Server 上で Hammer CLI を使用するか、Web UI で設定できます。
Hammer CLI を使用して Capsule Server にライフサイクル環境の追加
- root として Satellite Server CLI にログインします。
すべての Capsule Server のリストを表示し、ID をメモします。
# hammer capsule list
ID を使用して、Capsule Server の詳細を確認します。
# hammer capsule info --id capsule_id_number
利用可能なライフサイクル環境を確認し、環境 ID をメモします。
# hammer capsule content available-lifecycle-environments \ --id capsule_id_number
利用可能なライフサイクル環境は Capsule Server に対して利用可能ですが、現在接続されていません。
ライフサイクル環境を Capsule Server に追加します。
# hammer capsule content add-lifecycle-environment \ --id capsule_id_number --environment-id environment_id_number
- Capsule Server に追加する各ライフサイクル環境に対して手順を繰り返します。
Satellite Server 環境のすべてのコンテンツを Capsule Server と同期するには、以下のコマンドを実行します。
# hammer capsule content synchronize --id capsule_id_number
Satellite Server 環境の特定のライフサイクル環境を Capsule Server と同期するには、以下のコマンドを実行します。
# hammer capsule content synchronize --id external_capsule_id_number \ --environment-id environment_id_number
ライフサイクル環境での作業に関する詳細は、『Red Hat Satellite コンテンツ管理ガイド』の 「アプリケーションライフサイクルの作成」 を参照してください。
Web UI を使用して Capsule Server にライフサイクル環境の追加
- Satellite Web UI で、インフラストラクチャー > カプセル に移動し、カプセルを選択します。
- 編集 をクリックします。
- ライフサイクル環境タブで Env を選択します。
- カプセルのコンテンツを同期するには、概要タブの 同期 ボタンをクリックします。
以下のオプションのいずれかを選択します。
- Optimized Sync
- Complete Sync
4.7.4. 管理対象ホスト上での電源管理の有効化
Capsule Server でベースボード管理コントローラー (BMC) を有効にすると、IPMI (Intelligent Platform Management Interface) または類似したプロトコルを使用して管理対象ホストで電源管理コマンドを使用できます。
Satellite Capsule サーバー上の BMC サービスを使用すると、さまざまな電源管理タスクを実行できます。この機能の基礎となるプロトコルは IPMI です (BMC 機能とも呼ばれます)。IPMI は、ホストの CPU から独立して実行する専用プロセッサーに接続された管理対象ハードウェア上で、特別なネットワークインターフェースを使用します。多くのインスタンスでは、BMC 機能はシャーシ管理の一部としてシャーシベースのシステムに組み込まれます (シャーシの専用モジュール)。
BMC サービスの詳細は『ホストの管理』の「追加のネットワークインターフェースの設定」 を参照してください。
作業開始前の準備
- すべての管理対象ホストに BMC タイプのネットワークインターフェースが搭載されている必要があります。Satellite はこの NIC を使用して適切な認証情報をホストに渡します。
管理対象ホスト上での電源管理の有効化
オプションを使用してインストーラーを実行し、BMC を有効にします。
# satellite-installer --scenario capsule \ --foreman-proxy-bmc "true" \ --foreman-proxy-bmc-default-provider "freeipmi"
4.7.5. Capsule Server での DNS と DHCP の設定
Capsule Server で DNS、DHCP、および TFTP を設定できます。
Capsule Server が外部 DNS および DHCP サービスを使用するよう設定することもできます。詳細は「5章外部サービスの設定」を参照してください。
設定可能な全オプションを表示するには、satellite-installer --scenario capsule --help
コマンドを実行します。
作業開始前の準備
-
DNS サーバーの適切なネットワーク名 (
dns-interface
) が用意されている必要があります。 -
DHCP サーバーの適切なインターフェース名 (
dhcp-interface
) が用意されている必要があります。
Capsule Server での DNS、DHCP、および TFTP の設定
ご使用の環境に該当するオプションを使用して Capsule インストーラーを実行します。
以下の例は、完全なプロビジョニングサービスを示してます。
# satellite-installer --scenario capsule \ --foreman-proxy-tftp=true \ --foreman-proxy-foreman-oauth-key _your_organization_key_ \ --foreman-proxy-foreman-oauth-secret _your_organization_secret_ \ --foreman-proxy-content-certs-tar capsule.example.com-certs.tar \ --foreman-proxy-templates=true \ --foreman-proxy-dhcp=true \ --foreman-proxy-dhcp-gateway=192.168.122.1 \ --foreman-proxy-dhcp-nameservers=192.168.122.1 \ --foreman-proxy-dhcp-range="192.168.122.100 192.168.122.200" \ --foreman-proxy-dhcp-interface=eth0 \ --foreman-proxy-dns=true \ --foreman-proxy-dns-forwarders=8.8.8.8 \ --foreman-proxy-dns-interface=eth0 \ --foreman-proxy-dns-zone=example.com # satellite-installer --scenario capsule \ --foreman-proxy-dns true \ --foreman-proxy-dns-interface eth0 \ --foreman-proxy-dns-zone example.com \ --foreman-proxy-dns-forwarders 172.17.13.1 \ --foreman-proxy-dns-reverse 13.17.172.in-addr.arpa \ --foreman-proxy-dhcp true \ --foreman-proxy-dhcp-interface eth0 \ --foreman-proxy-dhcp-range "172.17.13.100 172.17.13.150" \ --foreman-proxy-dhcp-gateway 172.17.13.1 \ --foreman-proxy-dhcp-nameservers 172.17.13.2 \ --foreman-proxy-tftp true \ --foreman-proxy-tftp-servername $(hostname) \ --foreman-proxy-puppetca true
4.7.6. カスタムサーバー証明書を使用した Capsule Server の設定
Red Hat Satellite 6 には、Satellite Server、Capsule Server、およびすべてのホスト間で暗号化された通信を可能にするデフォルトの SSL 証明書が含まれます。必要な場合は、デフォルト証明書をカスタム証明書に置き換えることができます。たとえば、会社のセキュリティーポリシーで、SSL 証明書を特定の認証局から取得することが規定されていることがあります。
前提条件
- カスタム証明書が設定された Satellite サーバー。詳細は「カスタムサーバー証明書を使用した Satellite Server の設定」を参照してください。
- インストールされ Satellite Server に登録された Capsule サーバー。詳細は「4章Capsule Server のインストール」を参照してください。
各 Capsule サーバー上のカスタム証明書を使用するには、以下の手順を実行します。
4.7.6.1. Capsule Server 向けの SSL 証明書の取得
この手順では、PEM エンコードの証明書が生成されます。SSL 証明書には、PEM エンコードのみを使用してください。
- 各サーバーの証明書は一意であるため、Satellite Server の証明書は Capsule Server で使用しないでください。
root
ユーザーのみがアクセスできる、すべてのソース証明書ファイルを含むディレクトリーを作成します。# mkdir
/root/capsule_cert
# cd/root/capsule_cert
これらの例では、ディレクトリーは
/root/capsule_cert
です。複数の Capsule Server がある場合は、一致するディレクトリーを指定します。たとえば、capsule_apac
とcapsule_emea
という名前の Capsule Server がある場合は、それぞれ capsule_apac と capsule_emea という名前のディレクトリーを作成できます。これは必須ではありませんが、ある Capsule Server のファイルを別の Capsule Server で使用する危険が減少します。Certificate Signing Request (CSR) を署名する秘密鍵を作成します。
注記Capsule Server 向けの秘密鍵がすでにある場合は、この手順を省略します。
# openssl genrsa -out
/root/capsule_cert/capsule_cert_key.pem
4096Certificate Signing Request (CSR) を作成します。
Certificate Signing Request は、証明書を要求しているサーバーの詳細を含むテキストファイルです。このコマンドを使用する場合は、(前の手順で出力された) 秘密鍵を提供し、Capsule Server に関するいくつかの質問に答えます。その結果、Certificate Signing Request がファイルに保管されます。
注記証明書の Common Name (CN) は、証明書が使用されるサーバーの完全修飾ドメイン名 (FQDN) に一致する必要があります。
サーバーの FQDN を確認するために、サーバーでコマンド
hostname -f
を実行します。# openssl req -new \ -key /root/capsule_cert/capsule_cert_key.pem \ 1 -out /root/capsule_cert/capsule_cert_csr.pem 2
Certificate Signing Request セッションの例
You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. Country Name (2 letter code) [XX]:AU State or Province Name (full name) []:Queensland Locality Name (eg, city) [Default City]:Brisbane Organization Name (eg, company) [Default Company Ltd]:Example Organizational Unit Name (eg, section) []:Sales Common Name (eg, your name or your server's hostname) []:capsule.example.com Email Address []:example@example.com Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []:password An optional company name []:Example
証明書署名要求を認証局に送信します。
要求を送信する場合は、証明書のライフスパンを指定する必要があります。証明書署名要求を送信する方法は異なるため、推奨される方法について認証局にお問い合わせください。要求に対する応答で、認証局バンドルと署名済み証明書を別々のファイルで受け取ることになります。
4.7.6.2. Capsule Server の SSL 証明書の検証
Satellite サーバーで、katello-certs-check
コマンドを使用して Capsule サーバーの証明書入力ファイルを検証します。このプロセスでは、Capsule Server の鍵、CSR、および SSL 証明書が Capsule Server から Satellite Server にコピーされている必要があります。
# katello-certs-check \ -c /root/capsule_cert/capsule_cert.pem \ 1 -k /root/capsule_cert/capsule_cert_key.pem \ 2 -r /root/capsule_cert/capsule_cert_csr.pem \ 3 -b /root/capsule_cert/ca_cert_bundle.pem 4
証明書が正常に検証された場合、出力には以下の情報が含まれます。
Check private key matches the certificate: [OK] Check ca bundle verifies the cert file: [OK]
katello-certs-check
コマンドの出力である capsule-certs-generate
コマンドをメモして、以下の手順で使用します。
4.7.6.3. Capsule サーバーの証明書アーカイブファイルの作成
Capsule サーバーのインストーラーでは、サーバーの証明書がアーカイブファイルで必要になります。このファイルを作成するには、Satellite Server で capsule-certs-generate
コマンドを使用します。
capsule-certs-generate
コマンドは、各外部 Capsule Server に対して 1 回だけ実行する必要があります。これらの例では、capsule.example.com
が FQDN の例であり、capsule_certs.tar
がアーカイブファイル名の例です。これらを、ご使用の環境に適切な値に置き換えます。既存の証明書アーカイブファイルを上書きしないように注意してください。たとえば、capsule1
と capsule2
という名前の Capsule Server がある場合は、証明書アーカイブファイルの名前として capsule1_certs.tar
と capsule2_certs.tar
を指定できます。
capsule-certs-generate
コマンドに使用するパラメーターは、「Satellite Server の SSL 証明書の検証」で得たkatello-certs-check
コマンドの出力を使用します。
-
エディターで
capsule-certs-generate
コマンドのコピーを準備します。 -
Capsule Server の FQDN に一致するよう
--foreman-proxy-fqdn
の値を編集し、証明書アーカイブファイルのファイルパスおよび名前に一致するよう--certs-tar
の値を編集します。 -
Capsule Server をインストールしていない場合は、
--certs-update-server
パラメーターを削除します。これは、既存の Capsule Server の証明書を更新するためにのみ使用されます。 -
編集した
capsule-certs-generate
コマンドをテキストエディターから端末にコピーします。 編集した
capsule-certs-generate
コマンドを実行します。capsule-certs-generate
コマンドの例# capsule-certs-generate --foreman-proxy-fqdn capsule.example.com \ --certs-tar /root/capsule_cert/capsule_certs.tar \ --server-cert /root/capsule_cert/capsule_cert.pem \ --server-cert-req /root/capsule_cert/capsule_cert_csr.pem \ --server-key /root/capsule_cert/capsule_cert_key.pem \ --server-ca-cert /root/sat_cert/ca_cert_bundle.pem \ --certs-update-server
Satellite サーバーで、証明書アーカイブファイルを Capsule サーバーにコピーします。要求された場合は
root
ユーザーのパスワードを提供します。この例では、アーカイブファイルを
root
ユーザーのホームディレクトリーにコピーしていますが、別の場所にコピーすることもできます。# scp /root/capsule_cert/capsule_certs.tar root@capsule.example.com:
capsule-certs-generate
コマンドの出力である satellite-installer
コマンドをメモして、以下の手順で使用します。
4.7.6.4. Capsule Server のカスタム証明書のインストール
この手順は、Capsule サーバーで完了してください。
Capsule サーバーのカスタム証明書をインストールするには、satellite-installer
スクリプトをカスタムパラメーターで実行します。コマンドとパラメーターは、「Capsule サーバーの証明書アーカイブファイルの作成」のcapsule-certs-generate
コマンドで得た出力を使用します。
-
エディターで
satellite-installer
コマンドのコピーを準備をします。 -
--foreman-proxy-content-certs-tar
の値を、証明書アーカイブファイルの場所に変更します。 -
Capsule サーバーで追加機能を有効にする場合は、それらのパラメーターを
satellite-installer
コマンドに追加します。インストーラーの全パラメーターを確認するには、satellite-installer --scenario capsule --help
コマンドを実行してください。 -
編集した
satellite-installer
コマンドをテキストエディターから端末にコピーします。 編集した
satellite-installer
コマンドを実行します。カスタム
satellite-installer
コマンドの例# satellite-installer --scenario capsule \ --foreman-proxy-content-parent-fqdn "satellite.example.com" \ --foreman-proxy-register-in-foreman "true" \ --foreman-proxy-foreman-base-url "https://satellite.example.com" \ --foreman-proxy-trusted-hosts "satellite.example.com" \ --foreman-proxy-trusted-hosts "capsule.example.com" \ --foreman-proxy-oauth-consumer-key "FeQsbASvCjvvaqE6duKH6SoYZWg4jwjg" \ --foreman-proxy-oauth-consumer-secret "7UhPXFPDBongvdTbNixbsWR5WFZsKEgF" \ --foreman-proxy-content-pulp-oauth-secret "VpQ9587tVmYeuY4Du6VitmZpZE5vy9ac" \ --foreman-proxy-content-certs-tar "/root/capsule_certs.tar"
satellite-installer
コマンドの値は、capsule-certs-generate
コマンドの出力からも分かるように、各 Capsule Server に対して一意です。したがって、複数の Capsule Server で同じコマンドを使用しないでください。
証明書が関連するすべてのホストにデプロイされた後であっても、証明書アーカイブファイル (.tar ファイル) は削除しないでください。このファイルは、たとえば、Capsule サーバーをアップグレードする際に必要になります。証明書アーカイブファイルがインストーラーによって検出されない場合は、以下のようなメッセージが出て失敗します。
[ERROR YYYY-MM-DD hh:mm:ss main] tar -xzf /var/tmp/srvcapsule01.tar returned 2 instead of one of [0]
4.7.6.5. すべてのホストへの Capsule Server の新しい証明書のインストール
外部の Capsule サーバーに接続するホストにはサーバーのカスタム証明書が必要です。すべての Capsule サーバーのホストで以下のコマンドを実行します。
Satellite Server のホスト名ではなく、Capsule サーバーのホスト名を使用します。
# yum -y localinstall \
http://capsule.example.com/pub/katello-ca-consumer-latest.noarch.rpm
4.7.7. mongod へのアクセスの制限
データ損失の危険を減らすために、MongoDB データベースデーモン mongod
へのアクセスは apache
ユーザーと root
ユーザーにだけ許可する必要があります。
Satellite Server と Capsule Server で mongod
へのアクセスを制限するには、以下のコマンドを使用します。
ファイヤーウォールを設定します。
# firewall-cmd --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 27017 -m owner --uid-owner apache -j ACCEPT \ && firewall-cmd --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 27017 -m owner --uid-owner apache -j ACCEPT \ && firewall-cmd --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 27017 -m owner --uid-owner root -j ACCEPT \ && firewall-cmd --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 27017 -m owner --uid-owner root -j ACCEPT \ && firewall-cmd --direct --add-rule ipv4 filter OUTPUT 1 -o lo -p \ tcp -m tcp --dport 27017 -j DROP \ && firewall-cmd --direct --add-rule ipv6 filter OUTPUT 1 -o lo -p \ tcp -m tcp --dport 27017 -j DROP \ && firewall-cmd --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 28017 -m owner --uid-owner apache -j ACCEPT \ && firewall-cmd --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 28017 -m owner --uid-owner apache -j ACCEPT \ && firewall-cmd --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 28017 -m owner --uid-owner root -j ACCEPT \ && firewall-cmd --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 28017 -m owner --uid-owner root -j ACCEPT \ && firewall-cmd --direct --add-rule ipv4 filter OUTPUT 1 -o lo -p \ tcp -m tcp --dport 28017 -j DROP \ && firewall-cmd --direct --add-rule ipv6 filter OUTPUT 1 -o lo -p \ tcp -m tcp --dport 28017 -j DROP
--permanent
オプションを追加してコマンドを繰り返し、設定を永続化します。# firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \ -o lo -p tcp -m tcp --dport 27017 -m owner \ --uid-owner apache -j ACCEPT \ && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \ -o lo -p tcp -m tcp --dport 27017 -m owner \ --uid-owner apache -j ACCEPT \ && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \ -o lo -p tcp -m tcp --dport 27017 -m owner \ --uid-owner root -j ACCEPT \ && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \ -o lo -p tcp -m tcp --dport 27017 -m owner \ --uid-owner root -j ACCEPT \ && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 1 \ -o lo -p tcp -m tcp --dport 27017 -j DROP \ && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 1 \ -o lo -p tcp -m tcp --dport 27017 -j DROP \ && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \ -o lo -p tcp -m tcp --dport 28017 -m owner \ --uid-owner apache -j ACCEPT \ && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \ -o lo -p tcp -m tcp --dport 28017 -m owner \ --uid-owner apache -j ACCEPT \ && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \ -o lo -p tcp -m tcp --dport 28017 -m owner \ --uid-owner root -j ACCEPT \ && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \ -o lo -p tcp -m tcp --dport 28017 -m owner \ --uid-owner root -j ACCEPT \ && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 1 \ -o lo -p tcp -m tcp --dport 28017 -j DROP \ && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 1 \ -o lo -p tcp -m tcp --dport 28017 -j DROP