第3章 Capsule Server での追加設定の実行
以下の章を使用して、Capsule Server の追加設定を行います。
3.1. Katello エージェントのインストール
Satellite クライアントをリモートで更新するには、Katello エージェントをインストールする必要があります。
katello-agent
パッケージは、goferd
サービスを提供する gofer
パッケージに依存します。Satellite Server または Capsule Server が、コンテンツホストに適用可能なエラータの情報を提供できるようにするには、このサービスを有効化する必要があります。
前提条件
Katello エージェントのインストール前に、以下の条件が満たされていることを確認してください。
- Satellite Server で、Satellite Tools リポジトリーを有効化しておく。詳細は、『オンラインネットワークからの Satellite Server のインストール』の「Satellite Tools リポジトリーのインストール」を参照してください。
- Satellite Server で Satellite Tools リポジトリーを同期しておく。詳細は、『オンラインネットワークからの Satellite Server のインストール』の「Satellite Tools リポジトリーの同期」を参照してください。
クライアントで Satellite Tools リポジトリーを有効化しておく。たとえば、Red Hat Enterprise Linux 7 クライアントでリポジトリーが有効化されているかを確認するには、以下のコマンドをクライアントで実行してください:
# subscription-manager repos --enable rhel-7-server-satellite-tools-6.6-rpms
手順
Katello エージェントをインストールするには、以下の手順を実行します。
libvirt-client
パッケージをインストールします。# yum install katello-agent
goferd
サービスを開始します。# systemctl start goferd
3.2. Capsule Server でリモート実行の有効化
Capsule Server に登録されているホストでコマンドを実行するには、Capsule でリモート実行機能を有効にする必要があります。
外部 Capsule でのリモート実行は、デフォルトで無効になっています。
手順
Capsule Server でリモート実行を有効化するには、以下のコマンドを入力します。
# satellite-installer --scenario capsule \ --enable-foreman-proxy-plugin-remote-execution-ssh
3.3. 外部 Capsule での OpenSCAP の有効化
Satellite Server および Satellite Server に統合された Capsule では、デフォルトで OpenSCAP は有効になっています。
外部 Capsule で OpenSCAP プラグインとコンテンツを使用する場合には、各 Capsule で OpenSCAP を有効にする必要があります。
手順
OpenSCAP を有効にするには、次のコマンドを入力します。
# satellite-installer --scenario capsule \ --enable-foreman-proxy-plugin-openscap
3.4. Capsule Server へのライフサイクル環境の追加
Capsule Server でコンテンツ機能が有効な場合は、環境を追加して、Capsule が Satellite Server のコンテンツを同期し、コンテンツをホストシステムに提供できるようにする必要があります。
リポジトリーが CDN から更新されるたびに自動で Capsule が同期されるようになるので、ライブラリーライフサイクル環境を Capsule Server に割り当てないでください。自動的に同期されると、Capsule 上の複数のシステムリソースや Satellite と Capsule 間のネットワーク帯域幅、および Capsule 上の利用可能なディスク領域が消費される可能性があります。
Satellite Server の Hammer CLI または Satellite Web UI を使用できます。
手順
ライフサイクル環境を Capsule Server に追加するには、以下の手順を実行します。
- Satellite Web UI で、インフラストラクチャー > Capsule に移動し、ライフサイクルを追加する Capsule を選択します。
- 編集 をクリックしてから、ライフサイクル環境 タブをクリックします。
- 左のメニューから、Capsule に追加するライフサイクル環境を選択し、送信 をクリックします。
- Capsule のコンテンツを同期するには、概要 タブをクリックしてから 同期 をクリックします。
最適化された同期または 完全な同期を選択します。
各同期の定義については、『コンテンツ管理ガイド』の「リポジトリーの復元」を参照してください。
CLI をご利用の場合
Satellite Server で、Capsule Server の全一覧を表示するには、以下のコマンドを入力します。
# hammer capsule list
ライフサイクルを追加する Capsule の Capsule ID を書き留めます。
その ID を使用して、Capsule の詳細を確認します。
# hammer capsule info --id capsule_id
利用可能なライフサイクル環境を確認し、環境 ID を書き留めます。
# hammer capsule content available-lifecycle-environments \ --id capsule_id
Capsule Server で利用可能なライフサイクル環境を表示するには、以下のコマンドを入力して、組織名と ID をメモします。
# hammer capsule content available-lifecycle-environments --id capsule_id
ライフサイクル環境を Capsule Server に追加します。
# hammer capsule content add-lifecycle-environment \ --id capsule_id --organization "My_Organization" \ --environment-id environment_id
Capsule Server に追加する各ライフサイクル環境に対して手順を繰り返します。
Satellite から Capsule にコンテンツを同期します。
Satellite Server 環境のすべてのコンテンツを Capsule Server に同期するには、以下のコマンドを実行します。
# hammer capsule content synchronize --id capsule_id
Satellite Server 環境の特定のライフサイクル環境を Capsule Server と同期するには、以下のコマンドを実行します。
# hammer capsule content synchronize --id external_capsule_id \ --environment-id environment_id
3.5. 管理対象ホスト上での電源管理の有効化
Intelligent Platform Management Interface (IPMI) または類似するプロトコルを使用して管理対象ホストで電源管理タスクを実行するには、Capsule Server でベースボード管理コントローラー (BMC) モジュールを有効にする必要があります。
前提条件
- すべての管理対象ホストには、BMC タイプのネットワークインターフェースが必要。Capsule Server はこの NIC を使用して、適切な認証情報をホストに渡します。詳細は、『ホストの管理』ガイドの「ベースボード管理コントローラー (BMC) インターフェースの追加」を参照してください。
手順
BMC を有効にするには、以下のコマンドを入力します。
# satellite-installer --scenario capsule \ --foreman-proxy-bmc "true" \ --foreman-proxy-bmc-default-provider "freeipmi"
3.6. Capsule Server で DNS、DHCP、および TFTP の設定
Capsule Server で DNS、DHCP、および TFTP サービスを設定するには、お使いの環境に適したオプションで satellite-installer
コマンドを使用します。
設定可能な全オプションを表示するには、satellite-installer --scenario satellite --help
コマンドを実行します。
設定を変更するには、satellite-installer
コマンドを再び実行する必要があります。コマンドは複数回実行でき、実行するたびにすべての設定ファイルが変更された値で更新されます。
前提条件
DNS、DHCP および TFTP サービスを設定する前に、以下の条件を満たしていることを確認してください。
-
DNS サーバーの適切なネットワーク名 (
dns-interface
) が用意されている必要がある。 -
DHCP サーバーの適切なインターフェース名 (
dhcp-interface
) が用意されている必要がある。 - ネットワーク管理者に連絡して正しい設定が行われていることを確認する。
手順
お使いの環境に適したオプションで、
satellite-installer
コマンドを入力してください。以下の例では、完全なプロビジョニングサービスの設定を示しています。# satellite-installer --scenario capsule \ --foreman-proxy-dns true \ --foreman-proxy-dns-managed true \ --foreman-proxy-dns-interface eth0 \ --foreman-proxy-dns-zone example.com \ --foreman-proxy-dns-reverse 2.0.192.in-addr.arpa \ --foreman-proxy-dhcp true \ --foreman-proxy-dhcp-managed true \ --foreman-proxy-dhcp-interface eth0 \ --foreman-proxy-dhcp-range "192.0.2.100 192.0.2.150" \ --foreman-proxy-dhcp-gateway 192.0.2.1 \ --foreman-proxy-dhcp-nameservers 192.0.2.2 \ --foreman-proxy-tftp true \ --foreman-proxy-tftp-managed true \ --foreman-proxy-tftp-servername 192.0.2.3
DHCP、DNS および TFTP サービスの情報は、『プロビジョニングガイド』の「ネットワークサービスの設定」セクションを参照してください。
3.7. mongod へのアクセスの制限
データ損失の危険を減らすために、MongoDB データベースデーモン mongod
へのアクセスは apache
ユーザーと root
ユーザーにだけ設定する必要があります。
ご使用の Capsule Server の mongod
へのアクセスを制限するには、ファイアウォール構成を更新する必要があります。
手順
以下のコマンドを入力して、ファイアウォール構成を更新します。
# firewall-cmd --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 27017 -m owner --uid-owner apache -j ACCEPT \ && firewall-cmd --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 27017 -m owner --uid-owner apache -j ACCEPT \ && firewall-cmd --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 27017 -m owner --uid-owner root -j ACCEPT \ && firewall-cmd --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 27017 -m owner --uid-owner root -j ACCEPT \ && firewall-cmd --direct --add-rule ipv4 filter OUTPUT 1 -o lo -p \ tcp -m tcp --dport 27017 -j DROP \ && firewall-cmd --direct --add-rule ipv6 filter OUTPUT 1 -o lo -p \ tcp -m tcp --dport 27017 -j DROP \ && firewall-cmd --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 28017 -m owner --uid-owner apache -j ACCEPT \ && firewall-cmd --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 28017 -m owner --uid-owner apache -j ACCEPT \ && firewall-cmd --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 28017 -m owner --uid-owner root -j ACCEPT \ && firewall-cmd --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \ tcp -m tcp --dport 28017 -m owner --uid-owner root -j ACCEPT \ && firewall-cmd --direct --add-rule ipv4 filter OUTPUT 1 -o lo -p \ tcp -m tcp --dport 28017 -j DROP \ && firewall-cmd --direct --add-rule ipv6 filter OUTPUT 1 -o lo -p \ tcp -m tcp --dport 28017 -j DROP
変更を永続化します。
# firewall-cmd --runtime-to-permanent