第3章 Satellite Server のインストール

1. Satellite サブスクリプションの特定

   # subscription-manager list --available --matches 'Red Hat Satellite'

   このコマンドは、利用可能なすべてのサブスクリプションのフィールドに対して小文字と大文字を区別しない検索を実行します (Subscription Name と Provides を含み、Red Hat Satellite のすべてのインスタンスに一致)。システムにすでに割り当てられていないサブスクリプションが、利用可能として分類されます。検索文字列には、1 つ文字、またはゼロ個以上の文字にそれぞれ一致するワイルドカード ? または * を含めることもできます。ワイルドカード文字はバックスラッシュでエスケープして、リテラルの疑問符またはアスタリスクを表すことができます。

   利用可能な Satellite サブスクリプションを見つけることができない場合は、Red Hat ナレッジベースソリューション 「How do I figure out which subscriptions have been consumed by clients registered under Red Hat Subscription Manager?」 を参照して、スクリプトを実行し、サブスクリプションが別のシステムで使用されているかどうかを確認できます。

   出力が長すぎる場合は、less や more などのページャーユーティリティーにパイプして、一度に 1 画面ずつ出力を確認できるようにします。

   1. 実行する subscription-manager コマンドの形式に関係なく、出力は以下のようになります。

      Subscription Name: Red Hat Satellite
      Provides:          Red Hat Satellite 6
                         Red Hat Enterprise Linux Server
                         Red Hat Satellite
                         Red Hat Enterprise Linux Load Balancer (for RHEL Server)
      SKU:               MCT0370
      Pool ID:           8a85f9874152663c0541943739717d11
      Available:         3
      Suggested:         1
      Service Level:     Premium
      Service Type:      L1-L3
      Multi-Entitlement: No
      Ends:              10/07/2014
      System Type:       Physical

2. 後で Satellite ホストに割り当てるために、プール ID をメモします。実際に使用するプール ID は、この例で使用されているものとは異なります。

3. Satellite サーバーにサブスクリプションを割り当てるには、実際のプール ID を指定して以下のコマンドを実行します。

   # subscription-manager attach --pool=pool_id

   出力は以下のようになります。

   Successfully attached a subscription for: Red Hat Satellite

4. サブスクリプションが正しく割り当てられたことを確認するには、以下のコマンドを入力します。

   # subscription-manager list --consumed

   この出力では、以下のような内容が表示されます。

   +-------------------------------------------+
      Consumed Subscriptions
   +-------------------------------------------+
   Subscription Name: Red Hat Satellite
   Provides:          Red Hat Satellite
                      Red Hat Enterprise Linux Server
                      Red Hat Software Collections (for RHEL Server)
                      Red Hat Satellite
                      Red Hat Satellite 6
                      Red Hat Software Collections  (for RHEL Server)
                      Red Hat Satellite Capsule
                      Red Hat Enterprise Linux Load Balancer (for RHEL Server)
                      Red Hat Satellite with Embedded Oracle
                      Red Hat Satellite Capsule
                      Red Hat Enterprise Linux High Availability (for RHEL Server)
   SKU:               MCT0370
   Contract:          10293569
   Account:           5361051
   Serial:            1653856191250699363
   Pool ID:           8a85f9874152663c0541943739717d11
   Active:            True
   Quantity Used:     1
   Service Level:     Premium
   Service Type:      L1-L3
   Status Details:
   Starts:            10/08/2013
   Ends:              10/07/2014
   System Type:       Physical

1. すべての既存のリポジトリーを無効にします。

   # subscription-manager repos --disable "*"

2. 必要なリポジトリーを有効にします。

   • Red Hat Satellite、Red Hat Enterprise Linux、Red Hat Software Collections、および Puppet 4 のリポジトリーを有効にするには、以下のコマンドを使用します。

     # subscription-manager repos \
     --enable=rhel-7-server-rpms \
     --enable=rhel-server-rhscl-7-rpms \
     --enable=rhel-7-server-satellite-6.3-rpms \
     --enable=rhel-7-server-satellite-6.3-puppet4-rpms

   • もしくは、以下のコマンドを使用して、Red Hat Satellite、Red Hat Enterprise Linux、Red Hat Software Collections、および Puppet 3 のリポジトリーを有効にします。

     # subscription-manager repos \
     --enable=rhel-7-server-rpms \
     --enable=rhel-server-rhscl-7-rpms \
     --enable=rhel-7-server-satellite-6.3-rpms

     注記

     Satellite 6.3 は、Puppet 3 でサポートされる最後のリリースです。Puppet 3 から Puppet 4 へのアップグレードは、Satellite 6.3 以前を Satellite 6.4 にアップグレードする前に行う必要があります。Satellite 6.4 は Puppet 5 だけをサポートしますが、Puppet 5 へのアップグレードは、Satellite のアップグレード時に行われます。

     注記

     Red Hat Satellite を Red Hat Virtualization (RHV) でホストされる仮想マシンとしてインストールする場合は、Red Hat Common リポジトリーを有効にして、RHV ゲストエージェントとドライバーもインストールする必要があります。詳細は『仮想マシン管理ガイド』の「ゲストエージェントおよびドライバーのインストール」を参照してください。

3. Red Hat Subscription Manager が特定のオペレーティングシステムリリースを使用しないようにします。

   # subscription-manager release --unset

4. Red Hat 以外の yum リポジトリーからのすべてのメタデータを消去します。

   # yum clean all

5. リポジトリーが有効になっていることを確認します。

   # yum repolist enabled

   以下のような出力が表示されます。

   Loaded plugins: product-id, subscription-manager
   repo id                                    repo name                                                                status
   !rhel-7-server-rpms/x86_64                 Red Hat Enterprise Linux 7 Server (RPMs)                                 9,889
   !rhel-7-server-satellite-6.3-rpms/x86_64   Red Hat Satellite 6.3 (for RHEL 7 Server) (RPMs)                           545
   !rhel-server-rhscl-7-rpms/x86_64           Red Hat Software Collections RPMs for Red Hat Enterprise Linux 7 Server  4,279
   repolist: 14,713

1. すべてのパッケージを更新します。

   # yum update

2. インストールパッケージをインストールします。

   # yum install satellite

3. 「初期設定の実行」 に移動して、インストーラースクリプトを実行し、Satellite Server の初期設定を行います。

1. Red Hat カスタマーポータル に移動し、ログインします。
2. ダウンロード をクリックします。
3. Red Hat Enterprise Linux を選択します。

4. 製品とバージョンがご使用の環境に適切であることを確認します。

   • Product Variant (製品のバリアント) は Red Hat Enterprise Linux Server に設定されます。
   • Version (バージョン) は、ベースシステムとして使用する予定の製品の最新マイナーバージョンに設定されます。
   • Architecture (アーキテクチャー) は 64 ビットバージョンに設定されます。
5. Product Software (製品ソフトウェア) タブで、最新の Red Hat Enterprise Linux Server バージョン向けのバイナリー DVD イメージをダウンロードします。
6. DOWNLOADS (ダウンロード) をクリックし、Red Hat Satellite を選択します。

7. 製品とバージョンがご使用の環境に適切であることを確認します。

   • Product Variant (製品のバリアント) は Red Hat Satellite に設定されます。
   • Version (バージョン) は、ベースシステムとして使用する予定の製品の最新マイナーバージョンに設定されます。
   • Architecture (アーキテクチャー) は 64 ビットバージョンに設定されます。
8. Product Software (製品ソフトウェア) タブで、最新の Red Hat Satellite バージョン向けのバイナリー DVD イメージをダウンロードします。

9. ISO ファイルを Satellite ベースシステムまたは他のアクセス可能なストレージデバイスにコピーします。

   # scp localfile username@hostname:remotefile

1. ベースシステムのバージョンに対応する ISO ファイルのマウントポイントとして使用するディレクトリーを作成します。

   # mkdir /media/rhel7-server

2. Red Hat Enterprise Linux の ISO イメージをマウントポイントにマウントします。

   # mount -o loop rhel7-Server-DVD.iso /media/rhel7-server

   以下の例は、Red Hat Enterprise Linux 7.2 のマウントを示しています。

   # mount -o loop RHEL-7.2-20151030.0-Server-x86_64-dvd1.iso \
   /media/rhel7-server
   mount: /dev/loop0 is write-protected, mounting read-only

3. ISO ファイルのリポジトリーデータファイルをコピーします。

   # cp /media/rhel7-server/media.repo /etc/yum.repos.d/rhel7-server.repo

4. リポジトリーデータファイルを編集し、baseurl ディレクティブを追加します。

   baseurl=file:///media/rhel7-server/

   以下の例は、Red Hat Enterprise Linux 7.2 を使用した場合のリポジトリーデータファイルを示しています。

   # vi /etc/yum.repos.d/rhel7-server.repo
   [InstallMedia]
   name=Red Hat Enterprise Linux 7.2
   mediaid=1446216863.790260
   metadata_expire=-1
   gpgcheck=0
   cost=500
   baseurl=file:///media/rhel7-server/
   enabled=1

5. リポジトリーが設定されたことを確認します。

   # yum repolist
   Loaded plugins: product-id, search-disabled-repos, subscription-manager
   This system is not registered to Red Hat Subscription Management. You can use subscription-manager to register.
   repo id          repo name                       status
   InstallMedia     Red Hat Enterprise Linux 7.2    4,620

6. ベースシステムのバージョンに対応する ISO ファイルのマウントポイントとして使用するディレクトリーを作成します。

   # mkdir /media/sat6

7. Red Hat Satellite Server の ISO イメージをマウントポイントにマウントします。

   # mount -o loop sat6-DVD.iso /media/sat6

   以下の例では、Red Hat Enterprise Linux 7 向け Red Hat Satellite 6.3.0 を使用した ISO のマウントを示しています。

   # mount -o loop satellite-6.3.0-rhel-7-x86_64-dvd.iso /media/sat6
   mount: /dev/loop1 is write-protected, mounting read-only

8. Red Hat Satellite 6.3 はデフォルトで Puppet 3 を使用しますが、Puppet 4 を使用することも可能で、その場合は必要なパッケージにアクセスするためのローカルリポジトリーを作成し、そこに以下のコンテンツを追加します。

   # vi /etc/yum.repos.d/satellite-puppet4.repo
   [satellite-puppet4]
   name=satellite-puppet4
   baseurl=file:///media/sat6/addons/Puppet4
   enabled=1
   gpgcheck=1

1. Red Hat Enterprise Linux Server と Red Hat Satellite の ISO イメージがマウントされていることを確認します。

   # findmnt -t iso9660

2. Red Hat GPG キーをインポートします。

   # rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-release

3. バイナリー DVD イメージを使用してベースシステムを最新の状態にします。

   # yum update

4. Satellite ISO がマウントされたディレクトリーに移動します。

   # cd /media/sat6/

5. マウントされたディレクトリーでインストールスクリプトを実行します。

   # ./install_packages
   	This script will install the foreman packages on the current machine.
      - Ensuring we are in an expected directory.
      - Copying installation files.
      - Creating a Repository File
      - Creating RHSCL Repository File
      - Checking to see if Foreman is already installed.
      - Importing the gpg key.
      - Foreman is not yet installed, installing it.
      - Installation repository will remain configured for future package installs.
      - Installation media can now be safely unmounted.
   
   Install is complete. Please run satellite-installer --scenario satellite.

   パッケージが見つからない、または古いためにスクリプトが失敗する場合は、これらをダウンロードして個別にインストールする必要があります。手順は「パッケージの手動ダウンロード」を参照してください。

   インストール済みパッケージが必要なものよりも新しいためにスクリプトが失敗する場合は、yum distribution-synchronization を実行してインストール済みパッケージを Red Hat Enterprise Linux ISO からのバージョンにダウングレードしてから、インストールスクリプトを再度実行します。リポジトリーのソースが Red Hat Enterprise Linux ISO 以外のものに設定されている場合にのみ、これが発生します。このようなリポジトリーの使用はサポート対象外になります。

1. Red Hat カスタマーポータル に移動し、ログインします。
2. ダウンロード をクリックします。
3. Red Hat Satellite を選択します。

4. 製品とバージョンがご使用の環境に適切であることを確認します。

   • Product Variant (製品のバリアント) は Red Hat Satellite に設定されます。
   • Version (バージョン) は、ベースシステムとして使用する製品の最新マイナーバージョンに設定されます。
   • Architecture (アーキテクチャー) は 64 ビットバージョンに設定されます。
5. Packages (パッケージ) タブで、Search (検索) ボックスに必要なパッケージの名前を入力します。
6. 必要なパッケージの横にある Download Latest (最新版のダウンロード) をクリックします。

NTP を使用した時間の同期

1. ntp をインストールします。

   # yum install ntp

2. NTP サーバーが利用可能であることを確認します。

   # ntpdate -q ntp_server_address

3. システム時刻を設定します。

   # ntpdate ntp_server_address

chronyd を使用した時間の同期

1. chronyd をインストールします。

   # yum install chrony

2. chronyd サービスを起動して、有効にします。

   # systemctl start chronyd
   # systemctl enable chronyd

1. ブラウザーで https://access.redhat.com/ を開き、Red Hat アカウントでログインします。
2. カスタマーポータルの左上にある サブスクリプション に移動します。
3. サブスクリプション割り当て に移動します。
4. 新規サブスクリプションの割り当てを作成 をクリックします。
5. 名前 フィールドに名前を入力します。
6. タイプ の一覧からお使いの Satellite Server に一致するタイプとバージョンを選択します。
7. 作成 をクリックします。

1. サブスクリプション割り当て に移動します。
2. 変更するサブスクリプションの名前を選択します。
3. サブスクリプション タブをクリックします。
4. サブスクリプションの追加 をクリックします。
5. Red Hat 製品サブスクリプションの一覧が表示されます。各製品に対するエンタイトルメントの数量 を入力します。
6. 送信 をクリックして割り当てを完了します。

Satellite Tools リポジトリーのインストール手順:

1. Satellite Web UI で、コンテンツ > Red Hat リポジトリー に移動し、RPM タブを選択します。
2. Red Hat Enterprise Linux Server 項目を見つけ、展開します。

3. Red Hat Satellite Tools 6.3 (Red Hat Enterprise Linux 7 Server 用) (RPM) 項目を見つけ、展開します。

   Red Hat Satellite Tools 6.3 項目が非表示の場合は、その項目がカスタマーポータルから取得したサブスクリプションマニフェストに含まれないことが原因である場合があります。この問題を修正するには、カスタマーポータルにログインし、これらのリポジトリーを追加し、サブスクリプションマニフェストをダウンロードして、Satellite にインポートします。

4. Satellite 6.3 Tools リポジトリーの名前の横にある Enabled チェックボックスをオンにします。

Satellite Tools リポジトリーの同期方法:

1. Content (コンテンツ) > Sync Status (同期ステータス) に移動します。

   同期可能な製品リポジトリーのリストが表示されます。

2. 製品コンテンツの横にある矢印をクリックして利用可能なコンテンツを表示します。
3. 同期するコンテンツを選択します。
4. Synchronize Now (今すぐ同期) をクリックします。

1. http_proxy、https_proxy、および no_proxy の変数が設定されていないことを確認します。

   # export http_proxy=""
   # export https_proxy=$http_proxy
   # export no_proxy=$http_proxy

2. HTTP プロキシーオプションを使用して satellite-installer を実行します。

   # satellite-installer --scenario satellite \
   --katello-proxy-url=http://myproxy.example.com \
   --katello-proxy-port=8080 \
   --katello-proxy-username=proxy_username \
   --katello-proxy-password=proxy_password

3. Satellite Server が Red Hat Content Delivery Network (CDN) に接続し、リポジトリーを同期できることを確認します。

   1. ネットワークゲートウェイと HTTP プロキシーで、以下のホスト名に対して TCP を有効にします。

      ホスト名	ポート	プロトコル
      subscription.rhsm.redhat.com	443	HTTPS
      cdn.redhat.com	443	HTTPS
      *.akamaiedge.net	443	HTTPS
      cert-api.access.redhat.com (Red Hat Insights を使用している場合)	443	HTTPS
      api.access.redhat.com (Red Hat Insights を使用している場合)	443	HTTPS

      Satellite Server は、SSL で安全に Red Hat CDN と通信します。SSL インターセプトプロキシーを使用すると、この通信が妨害されます。これらのホストは、プロキシーでホワイトリスト化されている必要があります。

      Red Hat CDN (cdn.redhat.com) で使用されている IP アドレスの一覧は、Red Hat カスタマーポータルのナレッジベース記事「Red Hat が公開している CIDR の一覧」を参照してください。

   2. Satellite Server の /etc/rhsm/rhsm.conf ファイルで、以下の詳細を記入します。

      # an http proxy server to use (enter server FQDN)
      proxy_hostname = http_proxy.example.com
      
      # port for http proxy server
      proxy_port = 8080
      
      # user name for authenticating to an http proxy, if needed
      proxy_user =
      
      # password for basic http proxy auth, if needed
      proxy_password =

4. SELinux を使用すると、Red Hat Satellite 6 と Red Hat Subscription Manager のアクセスが、特定ポートに限定されます。HTTP キャッシュの TCP ポートは、8080、8118、8123、および 10001 ~ 10010 になります。SELinux のタイプ http_cache_port_t がないポートを使用する場合は、以下のステップを行います。

   1. 以下のコマンドを実行して、SELinux で HTTP キャッシュに許可されているポートを確認します。

      # semanage port -l | grep http_cache
      http_cache_port_t       tcp    8080, 8118, 8123, 10001-10010
      [出力を省略]

   2. 以下のコマンドを実行して、SELinux が HTTP キャッシュにポート (たとえば、8088) を許可するよう設定します。

      # semanage port -a -t http_cache_port_t -p tcp 8088

管理対象ホスト上での電源管理の有効化

1. オプションを使用してインストーラーを実行し、BMC を有効にします。

   # satellite-installer --foreman-proxy-bmc "true" \
   --foreman-proxy-bmc-default-provider "freeipmi"

Satellite Server での DNS、DHCP、および TFTP の設定

1. 使用している環境に適切なオプションを使用して satellite-installer を実行します。

   # satellite-installer --scenario satellite \
   --foreman-proxy-dns true \
   --foreman-proxy-dns-interface eth0 \
   --foreman-proxy-dns-zone example.com \
   --foreman-proxy-dns-forwarders 172.17.13.1 \
   --foreman-proxy-dns-reverse 13.17.172.in-addr.arpa \
   --foreman-proxy-dhcp true \
   --foreman-proxy-dhcp-interface eth0 \
   --foreman-proxy-dhcp-range "172.17.13.100 172.17.13.150" \
   --foreman-proxy-dhcp-gateway 172.17.13.1 \
   --foreman-proxy-dhcp-nameservers 172.17.13.2 \
   --foreman-proxy-tftp true \
   --foreman-proxy-tftp-servername $(hostname)

   インストールのステータスが表示されます。ユーザー名とパスワードはコマンド出力で参照できます。また、これらの情報は /etc/foreman-installer/scenarios.d/satellite-answers.yaml ファイルの admin_password パラメーターからも取得できます。

   Success!
     * Satellite is running at https://satellite.example.com
         Default credentials are 'admin:*******'
     * Capsule is running at https://satellite.example.com:9090
     * To install additional capsule on separate machine continue by running:
   
         capsule-certs-generate --foreman-proxy-fqdn "$CAPSULE" --certs-tar "~/$CAPSULE-certs.tar"
   
     The full log is at /var/log/foreman-installer/satellite.log

1. Web UI で、インフラストラクチャー > サブネット に移動し、サブネットを選択します。
2. Capsules (カプセル) タブで、ドロップダウンリストを None (なし) に設定して、関連付けられている DHCP Capsule または TFTP Capsule がないことを確認します。

3. 正引きレコードオーケストレーションを無効にします。

   1. インフラストラクチャー > ドメイン に移動し、ドメインを選択します。
   2. Domain (ドメイン) タブで、DNS Capsule (DNS カプセル) ドロップダウンリストを None (なし) に設定します。

4. 逆引き (PTR) レコードオーケストレーションを無効にします。

   1. インフラストラクチャー > Subnets (サブネット) に移動し、サブネットを選択します。
   2. Capsules (カプセル) タブで、Reverse DNS Capsule (逆引き DNS カプセル) ドロップダウンリストを None (なし) に設定します。

5. オプション: サードパーティーが提供する DHCP サービスを使用する場合は、以下のオプションを渡すように DHCP サーバーを設定します。

   Option 66: IP_address_of_Satellite_or_Capsule
   Option 67: /pxelinux.0

   DHCP オプションの詳細は「RFC 2132」を参照してください。

Satellite Server で送信メールの設定

1. Satellite web UI で、管理 設定 に移動します。

2. Email タブをクリックして、希望する配信方法に一致する設定オプションを設定します。変更は即座に反映されます。

   1. 以下の例は、SMTP サーバーを使用する場合の設定オプションの例を示しています。

      表3.1 配信方法に SMTP サーバーを使用する例

      名前	値の例
      配信方法	SMTP
      SMTP アドレス	smtp.example.com
      SMTP 認証	ログイン
      SMTP HELO/EHLO ドメイン	example.com
      SMTP パスワード	パスワード
      SMTP ポート	25
      SMTP ユーザー名	satellite@example.com

      SMTP ユーザー名 と SMTP パスワード では、SMTP サーバーのログイン認証情報を指定します。

   2. 以下の例では、gmail.com が SMTP サーバーとして使用されています。

      表3.2 gmail.com を SMTP サーバーとして使用する例

      名前	値の例
      配信方法	SMTP
      SMTP アドレス	smtp.gmail.com
      SMTP 認証	plain
      SMTP HELO/EHLO ドメイン	smtp.gmail.com
      SMTP enable StartTLS auto	あり
      SMTP パスワード	パスワード
      SMTP ポート	587
      SMTP ユーザー名	user@gmail.com

   3. 以下の例では、sendmail コマンドが配信方法として使用されています。

      表3.3 配信方法に sendmail を使用する例

      名前	値の例
      配信方法	Sendmail
      Sendmail の引数	-i -t -G

      Sendmail の引数 では、sendmail コマンドに渡すオプションを指定します。デフォルト値は、-i -t です。詳細は、sendmail 1 の man ページを参照してください。

3. TLS 認証を使用する SMTP サーバーで電子メールを送信する場合は、以下のいずれかの手順を実行してください。

   • SMTP サーバーの CA 証明書を信頼済みとしてマークします。このようにマークするには、Satellite Server で以下のコマンドを実行します。

     # cp mailca.crt /etc/pki/ca-trust/source/anchors/
     # update-ca-trust enable
     # update-ca-trust

     ここで、mailca.crt は SMTP サーバーの CA 証明書です。

   • 別の方法では、web UI の SMTP enable StartTLS auto オプションを No に設定します。
4. Test email をクリックしてユーザーのメールアドレスにテストメッセージを送信し、設定が機能していることを確認します。メッセージの送信に失敗する場合は、web UI でエラーが表示されます。詳細については、/var/log/foreman/production.log のログを確認してください。

1. 「Satellite Server 向けの SSL 証明書を取得」
2. 「Satellite Server の SSL 証明書の検証」
3. 「カスタム証明書パラメーターを使用した Satellite インストーラーの実行」
4. 「Satellite Server に接続されたすべてのホストへの新しい証明書のインストール」

1. ファイヤーウォールを設定します。

   # firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 27017 -j DROP \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 27017 -j DROP \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 28017 -j DROP \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 28017 -j DROP

2. --permanent オプションを追加してコマンドを繰り返し、設定を永続化します。

   # firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 27017 -m owner \
   --uid-owner apache -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 27017 -m owner \
   --uid-owner apache -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 27017 -m owner \
   --uid-owner root -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 27017 -m owner \
   --uid-owner root -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 1 \
   -o lo -p tcp -m tcp --dport 27017 -j DROP \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 1 \
   -o lo -p tcp -m tcp --dport 27017 -j DROP \
   && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 28017 -m owner \
   --uid-owner apache -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 28017 -m owner \
   --uid-owner apache -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 28017 -m owner \
   --uid-owner root -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 28017 -m owner \
   --uid-owner root -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 1 \
   -o lo -p tcp -m tcp --dport 28017 -j DROP \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 1 \
   -o lo -p tcp -m tcp --dport 28017 -j DROP