Red Hat Satellite の管理

1. 管理 > ユーザー に移動します。
2. ユーザーの作成 をクリックします。
3. ログイン フィールドにユーザーのユーザー名を入力します。
4. 名 および 姓 フィールドに、ユーザーの実名を入力します。
5. Email アドレス フィールドにメールアドレスを入力します。
6. 説明 フィールドには、新規ユーザーの説明を加えます。
7. 言語 一覧からユーザー用の言語を選択します。

8. タイムゾーン 一覧からタイムゾーンを選択します。

   デフォルトでは、Satellite Server はユーザーのブラウザーの言語とタイムゾーンを使用します。

9. ユーザーのパスワードを設定します。

   1. 認証先 一覧から、ユーザー認証に使用するソースを選択します。

      • 内部: Satellite Server 内でのユーザー管理を有効にします。
      • 外部: 13章外部認証の設定 の説明にある外部認証を設定します。
   2. パスワード フィールドに初回パスワードを入力して、確認 フィールドで再入力します。
10. 送信 をクリックしてユーザーを作成します。

手順

1. 管理 > ユーザー に移動します。

2. ロールを割り当てるユーザーの ユーザー名 をクリックします。

   注記

   ユーザーアカウントが表示されない場合は、現在適切な組織を表示しているかどうかを確認します。Satellite の全ユーザーを一覧表示するには、デフォルトの組織 をクリックしてから 任意の組織 をクリックします。

3. ロケーション タブをクリックして、ロケーションが割り当てられていない場合は選択します。
4. 組織 タブをクリックして、組織が割り当てられていることを確認します。
5. ロール タブをクリックして利用可能なロールのリストを表示します。

6. ロール リストから割り当てるロールを選択します。

   利用可能な全パーミッションを付与するには、管理 チェックボックスを選択します。

7. 送信 をクリックします。

1. Satellite Web UI で、Administer > Users に移動します。
2. 切り替えるユーザーの右側の アクション コラムの一覧から、ユーザー切り替え を選択します。

手順

1. 管理 > ユーザー に移動します。
2. ユーザー名 コラムから必要となるユーザーのユーザー名をクリックします。

3. SSH キー タブをクリックします。

   • SSH キーの追加

     1. 公開 SSH キーのコンテンツをクリップボードに用意します。
     2. SSH キーの追加 をクリックします。
     3. キー フィールドに公開 SSH キーのコンテンツをクリップボードから貼り付けます。
     4. 名前 フィールドに SSH キーの名前を入力します。
     5. 送信 をクリックします。

   • SSH キーの削除

     1. 削除する SSH キーの列にある 削除 をクリックします。
     2. 確認プロンプトで OK をクリックします。

手順

1. 管理 > ユーザー に移動します。
2. 編集する ユーザー名 をクリックします。
3. ユーザー タブで、メール フィールドの値を確認します。メール通知は、このフィールドのアドレスに送信されます。
4. メール設定 タブで メールの有効化 を選択します。

5. 通知タイプの横にあるドロップダウンメニューから、ユーザーが受信する通知を選択します。

   注記

   メールクエリー テキストボックスに必要なクエリーを記入すると、監査サマリー 通知をフィルターすることができます。

6. 送信 をクリックします。

   通知メールのユーザーへの送信が開始されます。

手順

1. Satellite Web UI で、Administer > Users に移動します。
2. ユーザー名をクリックします。

3. メール設定 タブで テストメール をクリックします。

   ユーザーのメールアドレスにすぐにテストメッセージが送信されます。

1. ユーザーのメールアドレスを確認します。
2. Satellite Server のメール設定を確認します。
3. ファイアウォールおよびメールサーバーのログを調べます。

手順

1. 管理 > ユーザーグループ に移動します。
2. ユーザーグループの作成 をクリックします。

3. ユーザーグループ タブで、新規ユーザーグループの名前を指定し、グループメンバーを選択します。

   • ユーザーグループ のリストから、以前に作成したユーザーグループを選択します。
   • ユーザー のリストからユーザーを選択します。
4. ロール タブで、ユーザーグループに割り当てるロールを選択します。または、管理者 チェックボックスを選択して利用可能なすべてのパーミッションを割り当てます。
5. 送信 をクリックします。

手順

1. 管理 > ユーザーグループ に移動します。
2. 削除するユーザーグループの右側にある 削除 をクリックします。
3. 警告ボックスで、OK をクリックしてユーザーグループを削除します。

手順

1. 管理 > ロール に移動します。
2. ロールの作成 をクリックします。
3. ロールの 名前 を記入します。
4. 送信 をクリックして、新しいロールを保存します。

手順

1. 管理 > ロール に移動して、必要なロールの右側にあるドロップダウンメニューから クローン を選択します。
2. ロールの 名前 を記入します。
3. 送信 をクリックしてロールのクローンを作成します。
4. クローンされたロールの名前をクリックし、フィルター に移動します。
5. 必要に応じて、パーミッションを編集します。
6. 送信 をクリックして、新しいロールを保存します。

手順

1. 管理 > ロール に移動します。
2. 必要なロールの右側にあるドロップダウンリストから フィルターの追加 を選択します。
3. ドロップダウンリストから リソースタイプ を選択します。(その他) グループには、どのリソースグループにも関連付けられていないパーミッションが含まれます。
4. 選択するパーミションを パーミッション リストからクリックします。
5. リソースタイプ での選択により、無制限 と 上書き のチェックボックスが表示されます。無制限 チェックボックスはデフォルトで選択され、選択されたタイプの全リソースにパーミッションが適用されます。無制限 チェックボックスを無効にすると、検索 フィールドが有効になります。このフィールドで、Red Hat Satellite 6 の検索構文を使用して詳細なフィルターリングを指定できます。詳細は、「詳細なパーミッションフィルターリング」 を参照してください。上書き チェックボックスを有効にすると、新たなロケーションと組織を追加して、それらのロケーションや組織のリソースタイプにこのロールがアクセスできるようになります。また、すでに関連付けられたロケーションや組織をリソースタイプから削除して、アクセスを制限することもできます。
6. 次へ をクリックします。
7. 送信 をクリックして変更を保存します。

1. 利用可能な全パーミッションを表示します。

   # hammer filter available-permissions

2. ロールにパーミッションを追加します。

   # hammer filter create \
   --role role_name \
   --permission-ids perm_ID1,perm_ID2...

手順

1. 管理 > ロール に移動します。
2. 必要なロールの右側にある フィルター をクリックして、フィルター ページを開きます。

手順

1. 必要なパッケージがインストールされていることを確認します。Satellite Server で以下のコマンドを実行します。

   # satellite-maintain packages install foreman-console

2. 以下のコマンドで Satellite コンソールを起動します。

   # foreman-rake console

   コンソールに以下のコードを挿入します。

   f = File.open('/tmp/table.html', 'w')
   
   result = Foreman::AccessControl.permissions {|a,b| a.security_block <=> b.security_block}.collect do |p|
         actions = p.actions.collect { |a| "<li>#{a}</li>" }
         "<tr><td>#{p.name}</td><td><ul>#{actions.join('')}</ul></td><td>#{p.resource_type}</td></tr>"
   end.join("\n")
   
   f.write(result)

   上記の構文により、パーミッションの表が作成され、/tmp/table.html ファイルに保存されます。

3. Ctrl + D を押して、Satellite コンソールを終了します。/tmp/table.html の最初の行に以下のテキストを挿入します。

   <table border="1"><tr><td>Permission name</td><td>Actions</td><td>Resource type</td></tr>

   /tmp/table.html の最後に以下のテキストを追加します。

   </table>

4. Web ブラウザーで /tmp/table.html を開いて、表を確認します。

手順

1. 管理 > ロール に移動します。
2. 削除するロールの右側にあるドロップダウンリストから 削除 を選択します。
3. 警告ボックスで、OK をクリックしてロールを削除します。

手順

1. Satellite Web UI で、設定 > 環境 に移動します。
2. satellite.example.com からの環境のインポート をクリックします。

3. 監査するホストに関連付けられた Puppet 環境のチェックボックスを選択します。

   Puppet 環境が存在しない場合には、実稼働 環境のチェックボックスを選択します。OpenSCAP に必要な Puppet クラスは、デフォルトで 実稼働 環境に含まれます。

4. 更新 をクリックします。

手順

1. ホスト > ポリシー に移動して、手動、Ansible または Puppet のいずれかのデプロイメントを選択します。
2. ポリシーの名前、説明 (オプション) を入力してから 次へ をクリックします。

3. 適用する SCAP コンテンツおよび XCCDF プロファイルを選択してから 次へ をクリックします。

   BZ#1704582 が解決されるまで、Default XCCDF Profile は空のレポートを返す可能性がある点に注意してください。

4. ポリシーを適用する時間を指定してから 次へ をクリックします。

   期間 のリストから、毎週、毎月、または カスタム を選択します。

   • 毎週 を選択したら 平日 リストから曜日を選択します。
   • 毎月 を選択したら 日付 フィールドで日付を指定します。

   • カスタム を選択したら Cron 行 フィールドに有効な Cron 式を入力します。

     Custom オプションでは、毎週 もしくは 毎月 オプションよりもスケジュールに柔軟性を持たせることができます。

5. ポリシーを適用するロケーションを選択してから 次へ をクリックします。
6. ポリシーを適用する組織を選択してから 次へ をクリックします。
7. ポリシーを適用するホストグループを選択してから 送信 をクリックします。

手順

1. ホスト > ポリシー に移動します。
2. ガイドの表示 をクリックします。

手順

1. ホスト > ポリシー に移動します。
2. ポリシーの名前の右側にあるドロップダウンリストから、編集 を選択します。
3. 必要な属性を編集します。
4. 送信 をクリックします。

1. ホスト > ポリシー に移動します。
2. ポリシーの名前の右側にあるドロップダウンリストから、削除 を選択します。
3. 確認メッセージで OK をクリックします。

手順

1. ホスト > コンプライアンス - テーラリングファイル に移動して、新規 テーラリングファイル をクリックします。
2. 名前 テキストボックスに、名前を入力します。
3. ファイルの選択 をクリックしてから、SCAP DataStream テーラリングファイルが含まれるロケーションに移動し、開く を選択します。
4. 送信 をクリックして、選択したテーラリングファイルをアップロードします。

手順

1. ホスト > コンプライアンス - ポリシー に移動します。
2. 新規ポリシー、または既存のコンプライアンスポリシーがある場合は、新規コンプライアンスポリシー をクリックします。
3. 名前 テキストボックスに名前を入力して 次へ をクリックします。
4. ドロップダウンメニューから Scap コンテンツ を選択します。
5. ドロップダウンメニューから XCCDF プロファイル を選択します。
6. ドロップダウンメニューから テーラリングファイル を選択します。

7. ドロップダウンメニューから テーラリングファイル内の XCCDF プロファイル を選択します。

   テーラリングファイルは複数の XCCDF プロファイルを含めることが可能なため、XCCDF プロファイルの選択が重要になります。

8. 次へ をクリックします。
9. ドロップダウンメニューから 期間 を選択します。
10. ドロップダウンメニューから 平日 を選択して、次へ をクリックします。
11. 選択したアイテム ウィンドウに移動させる ロケーション を選択して、次へ をクリックします。
12. 選択したアイテム ウィンドウに移動させる 組織 を選択して、次へ をクリックします。
13. 選択したアイテム ウィンドウに移動させる ホストグループ を選択して、送信 をクリックします。

手順

1. Satellite Web UI で、ホスト > ポリシー に移動します。

2. 必要なポリシー名をクリックします。ダッシュボードに次の情報が提供されます。

   • ホストのポリシーコンプライアンスの状況を概要ビューで表示するリングチャート。
   • ホストのポリシーに関するコンプライアンス状況についての統計の内訳 (表形式)。
   • 各ホストの最新ポリシーレポートへのリンク。

手順

1. Satellite Web UI で、ホスト > レポート に移動して、すべてのコンプライアンスレポートを一覧表示します。
2. 個々のレポートの詳細を表示するには、特定のホストの行で レポートの表示 をクリックします。

3. 詳細を確認するには、ルールのタイトルをクリックします。

   • ルールの説明。可能な場合は、ホストがコンプライアンスを満たすための指示を含みます。
   • ルールの根拠。
   • 場合により、修復スクリプト。

1. Satellite Web UI で、ホスト > レポート に移動します。
2. コンプライアンスレポートウィンドウで、削除するポリシーを特定し、ポリシーの名前の右側にある 削除 を選択します。
3. OK をクリックします。

1. Satellite Web UI で、ホスト > レポート に移動します。
2. コンプライアンスレポートウィンドウで、削除するコンプライアンスレポートを選択します。
3. リストの右上の レポートの削除 を選択します。
4. 削除するページ数だけ、この手順を繰り返します。

手順

1. 外部 Capsule から同期 するには、Web UI で関連する組織とロケーションを選択するか、任意の組織 と 任意のロケーション を選択します。
2. インフラストラクチャー > Capsules (スマートプロキシー) に移動し、同期する Capsule 名をクリックします。
3. 概要 タブで 同期 を選択します。

手順

1. LDAP サーバーから証明書を取得します。

   1. Active Directory 証明書サービスを使用する場合は、ベース 64 エンコード X.509 形式を使用してエンタープライズ PKI CA 証明書をエクスポートします。Active Directory サーバーでの CA 証明書の作成およびエクスポートについては、How to configure Active Directory authentication with TLS on Red Hat Satellite 6? を参照してください。

   2. LDAP サーバー証明書は、Satellite Server がインストールされている Red Hat Enterprise Linux システムの一時的な場所にダウンロードし、終了時に削除します。

      たとえば、/tmp/example.crt です。ファイル名の拡張子を .cer と .crt にすることが唯一の規則であり、この拡張子は、DER バイナリーまたは PEM ASCII の形式の証明書を参照できます。

2. LDAP サーバーからの証明書を信頼します。

   Red Hat Satellite Server では、LDAP 認証用の CA 証明書は /etc/pki/tls/certs/ ディレクトリー内の個別ファイルである必要があります。

   1. install コマンドを使用して適切なパーミッションでインポート済みの証明書を /etc/pki/tls/certs/ ディレクトリーにインストールします。

      # install /tmp/example.crt /etc/pki/tls/certs/

   2. root で以下のコマンドを実行して、LDAP サーバーから取得した example.crt 証明書を信頼します。

      # ln -s example.crt /etc/pki/tls/certs/$(openssl \
      x509 -noout -hash -in \
      /etc/pki/tls/certs/example.crt).0

   3. httpd サービスを再起動します。

      # systemctl restart httpd

手順

1. Network Information System (NIS) サービスのブール値を true に設定して SELinux により LDAP の送信接続がブロックされないようにします。

   # setsebool -P nis_enabled on

2. 管理 > LDAP 認証 に移動します。
3. 認証ソースの作成 をクリックします。
4. LDAP サーバータブで LDAP サーバーの名前、ホスト名、ポート、およびサーバータイプを入力します。デフォルトポートは 389、デフォルトサーバータイプは POSIX です (認証サーバーのタイプに応じて FreeIPA または Active Directory を選択することもできます)。TLS 暗号化接続に対しては、LDAPS チェックボックスを選択して暗号化を有効にします。ポートは LDAPS のデフォルト値である 636 に変更されるはずです。
5. アカウント タブで、アカウント情報とドメイン名の詳細を入力します。説明と例については、「LDAP 設定の説明」 を参照してください。
6. 属性マッピング タブで、LDAP 属性を Satellite 属性にマッピングします。ログイン名、名、姓、メールアドレス、および写真の属性をマッピングできます。サンプルについては、「LDAP 接続の設定例」 を参照してください。
7. ロケーション タブで、左側の表からロケーションを選択します。選択したロケーションは、LDAP 認証ソースから作成されたユーザーに割り当てられ、初回ログイン以降、利用可能となります。
8. 組織 タブで、左側の表から組織を選択します。選択した組織は、LDAP 認証ソースから作成されたユーザーに割り当てられ、初回ログイン以降、利用可能となります。
9. 送信 をクリックします。

10. LDAP ユーザーの新しいアカウントを設定します。

    • Automatically Create Accounts In Satellite のチェックボックスを選択していない場合は、「ユーザーの作成」 を参照してユーザーアカウントを手動で作成してください。
    • Satellite でアカウントを自動作成する のチェックボックスを選択した場合は、LDAP ユーザーは LDAP アカウントおよびパスワードを使用して Satellite にログインできます。初回ログイン後に、Satellite 管理者はロールを手動で割り当てる必要があります。Satellite でユーザーアカウントに適切なロールを割り当てる方法は、「ユーザーへのロールの割り当て」 を参照してください。

手順

1. Red Hat Identity Management サーバーで、次のコマンドを入力し、プロンプトが表示されたら、パスワードを入力して、認証します。

   # kinit admin

2. 認証されたことを確認するには、次のコマンドを入力します。

   # klist

3. 以下のように、Red Hat Identity Management サーバー上で Satellite Server のホストエントリーを作成し、ワンタイムパスワードを生成します。

   # ipa host-add --random hostname

   注記

   Red Hat Identity Management 登録を完了するには、生成されたワンタイムパスワードをクライアントで使用する必要があります。

   ホスト設定プロパティーの詳細は、Red Hat Enterprise Linux 7 Linux ドメイン ID、認証、およびポリシーガイドの ホストエントリー設定のプロパティー を参照してください。

4. 以下のように、Satellite Server 向けの HTTP サービスを作成します。

   # ipa service-add HTTP/hostname

   サービス管理の詳細については、Red Hat Enterprise Linux 7 Linux ドメイン ID、認証、およびポリシーガイドの サービスの管理 を参照してください。

5. Satellite Server で、IPA クライアントをインストールします。

   警告

   このコマンドは、パッケージのインストール中に Satellite サービスを再起動する可能性があります。Satellite でのパッケージのインストールと更新に関する詳細は、「Satellite または Capsule のベースオペレーティングシステムでのパッケージの管理」 を参照してください。

   # satellite-maintain packages install ipa-client

6. Satellite Server で、以下のコマンドを root として入力し、Red Hat Identity Management 登録を設定します。

   # ipa-client-install --password OTP

   OTP を、Red Hat Identity Management 管理者により提供されたワンタイムパスワードに置き換えます。

7. Satellite Server が Red Hat Enterprise Linux 7 で実行されている場合は、以下のコマンドを実行します。

   # subscription-manager repos --enable rhel-7-server-optional-rpms

   インストーラーは、オプションのリポジトリー rhel-7-server-optional-rpms (Red Hat Enterprise Linux 7 の場合) に含まれるパッケージに依存します。

8. 以下のコマンドを使用して、foreman-ipa-authentication を true に設定します。

   # satellite-installer --foreman-ipa-authentication=true

9. satellite-maintain サービスを再起動します。

   # satellite-maintain service restart

手順

1. Red Hat Identity Management サーバーで、次のコマンドを入力し、プロンプトが表示されたら、パスワードを入力して、認証します。

   # kinit admin

2. 認証されたことを確認するには、次のコマンドを入力します。

   # klist

3. HBAC サービスおよびルールを Red Hat Identity Management サーバーで作成し、リンクします。以下の例では、satellite-prod という PAM サービス名を使用しています。Red Hat Identity Management サーバー上で以下のコマンドを実行してください。

   # ipa hbacsvc-add satellite-prod
   # ipa hbacrule-add allow_satellite_prod
   # ipa hbacrule-add-service allow_satellite_prod --hbacsvcs=satellite-prod

4. satellite-prod サービスへのアクセス権があるユーザーと Satellite Server のホスト名を追加します。

   # ipa hbacrule-add-user allow_satellite_prod --user=username
   # ipa hbacrule-add-host allow_satellite_prod --hosts=satellite.example.com

   または、allow_satellite_prod ルールにホストグループとユーザーグループを追加できます。

5. ルールのステータスを確認するために、以下のコマンドを実行します。

   # ipa hbacrule-find satellite-prod
   # ipa hbactest --user=username --host=satellite.example.com --service=satellite-prod

6. Red Hat Identity Management サーバーで allow_all ルールが無効であることを確認します。他のサービスに影響を与えずにこのルールを無効にする方法については、Red Hat カスタマーポータルのアーティクル How to configure HBAC rules in IdM to allow specific users to login to clients via ssh を参照してください。

7. 「Satellite Server での Red Hat Identity Management 認証の設定」 で説明されているように、Satellite Server で Red Hat Identity Management 統合を設定します。Satellite Server で、root として PAM サービスを定義します。

   # satellite-installer --foreman-pam-service=satellite-prod

手順

1. 必要なパッケージをインストールします。

   # satellite-maintain packages install sssd adcli realmd ipa-python-compat krb5-workstation samba-common-tools

2. Satellite Server を AD サーバーに登録します。以下のコマンドを実行するには、管理者パーミッションが必要な場合があります。

   # realm join -v EXAMPLE.ORG

手順

1. /etc/ipa/ ディレクトリーと default.conf ファイルを作成します。

   # mkdir /etc/ipa
   # touch /etc/ipa/default.conf

2. default.conf ファイルに以下のコンテンツを追加します。

   [global]
   server = unused
   realm = EXAMPLE.ORG

3. 以下の内容で /etc/net-keytab.conf ファイルを作成します。

   [global]
   workgroup = EXAMPLE
   realm = EXAMPLE.ORG
   kerberos method = system keytab
   security = ads

4. Apache ユーザーの有効なユーザー ID を特定します。

   # id apache

   Apache ユーザーには keytab ファイルへのアクセス権を割り当てないでください。

5. 以下の内容で /etc/gssproxy/00-http.conf ファイルを作成します。

   [service/HTTP]
   mechs = krb5
   cred_store = keytab:/etc/krb5.keytab
   cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
   euid = ID_of_Apache_User

6. keytab エントリーを作成します。

   # KRB5_KTNAME=FILE:/etc/httpd/conf/http.keytab net ads keytab add HTTP -U administrator -d3 -s /etc/net-keytab.conf
   # chown root.apache /etc/httpd/conf/http.keytab
   # chmod 640 /etc/httpd/conf/http.keytab

7. Satellite の IPA 認証を有効にします。

   # satellite-installer --foreman-ipa-authentication=true

8. gssproxy サービスを起動して、有効にします。

   # systemctl restart gssproxy.service
   # systemctl enable gssproxy.service

9. Apache サーバーが gssproxy サービスを使用するように設定します。

   1. 以下の内容で /etc/systemd/system/httpd.service ファイルを作成します。

      .include /lib/systemd/system/httpd.service
      [Service]
      Environment=GSS_USE_PROXY=1

   2. 変更をサービスに適用します。

      # systemctl daemon-reload

10. httpd サービスを起動して、有効にします。

    # systemctl restart httpd.service

11. SSO が想定どおりに動作していることを確認します。

    Apache サーバーが実行中であり、クライアントに有効な Kerberos チケットがある場合、サーバーに対して HTTP 要求を行うユーザーは認証されます。

    1. 次のコマンドを使用して、LDAP ユーザーの Kerberos チケットを取得します。

       # kinit ldapuser

    2. 以下のコマンドを使用して、Kerberos チケットを表示します。

       # klist

    3. 以下のコマンドを使用して、SSO 認証に成功時の出力を表示します。

       # curl -k -u : --negotiate https://satellite.example.com/users/extlogin

       これにより、以下の応答が返されます。

       <html><body>You are being <a href="https://satellite.example.com/users/4-ldapuserexample-com/edit">redirected</a>.</body></html>

手順

1. HBAC を有効にします。

   1. 外部グループを作成して、この外部グループに AD グループを追加します。
   2. 新しい外部グループを POSIX グループに追加します。
   3. HBAC ルールで POSIX グループを使用します。

2. AD ユーザーの追加属性を転送するよう sssd を設定します。

   • この AD ユーザー属性を /etc/sssd/sssd.conf の nss セクションと domain セクションに追加します。

     以下に例を示します。

     [nss]
     user_attributes=+mail, +sn, +givenname
     
     [domain/EXAMPLE]
     ldap_user_extra_attrs=mail, sn, givenname

1. Satellite Web UI を使用した Satellite への認証。
2. Satellite CLI を使用した Satellite への認証。

手順

1. Satellite Server で、以下のパッケージをインストールします。

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install

2. Satellite をクライアントとして Red Hat Single Sign-On に登録します。Web UI と CLI とでログインの登録プロセスが異なる点に注意してください。Red Hat Single Sign-On に 2 つの Satellite クライアントを登録すると、Web UI と CLI から Satellite にログインできます。

   • Web UI で Satellite への認証を行う場合は、以下のようにクライアントを作成します。

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     プロンプトが表示されたら、管理アカウントのパスワードを入力します。このコマンドは、Red Hat Single Sign On で Satellite のクライアントを作成します。

     次に、認証ソースとして Red Hat Single Sign On を使用するように Satellite を設定します。

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • CLI で Satellite への認証を行う場合は、以下のようにクライアントを作成します。

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     プロンプトが表示されたら、管理アカウントのパスワードを入力します。このコマンドは、Red Hat Single Sign On で Satellite のクライアントを作成します。

3. httpd サービスを再起動します。

   # systemctl restart httpd

手順

1. Red Hat Single Sign-On Web UI で、クライアント に移動し、Satellite クライアントをクリックします。

2. アクセスタイプを設定します。

   • Web UI を使用して Satellite への認証を行うには、アクセスタイプ 一覧から 機密 を選択します。
   • CLI を使用して Satellite への認証を行うには、アクセスタイプ 一覧から 公開 を選択します。

3. 有効なリダイレクト URI フィールドに有効なリダイレクト URI を追加します。

   • Web UI を使用して Satellite への認証を行うには、https://satellite.example.com/users/extlogin の形式で URI を入力します。Satellite FQDN の後に /users/extlogin の文字列を追加する必要があります。

     この手順の完了後に、Satellite クライアントが Web UI を使用してログインするには以下の 有効なリダイレクト URI が必要です。

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • CLI を使用してユーザーが Satellite への認証を行うには、既存の URI の下の空白フィールドに urn:ietf:wg:wg:oauth:2.0:oob を入力します。

     この手順の完了後に、Satellite クライアントが CLI を使用してログインするには以下の 有効なリダイレクト URI が必要です。

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. 保存 をクリックします。
5. マッパー タブ、作成 の順にクリックし、オーディエンスマッパーを追加します。
6. 名前 フィールドに、オーディエンスマッパーの名前を入力します。
7. マッパータイプ リストから、オーディエンス を選択します。
8. 組み込み済みクライアントオーディエンス リストから、Satellite クライアントを選択します。
9. 保存 をクリックします。
10. 作成 をクリックして、グループメンバーシップをもとに Satellite の認証を指定できるようにグループマッパーを追加します。
11. 名前 フィールドにグループマッパーの名前を入力します。
12. マッパータイプ リストから、グループメンバーシップ を選択します。
13. トークンクレーム名 に groups と入力します。
14. フルグループパス のトグルを OFF に設定します。
15. 保存 をクリックします。

手順

1. コード付与タイプを使用して Satellite CLI への認証を行うには、以下のコマンドを入力します。

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   このコマンドは、サクセスコードの入力を要求します。

2. サクセスコードを取得するには、コマンドが返す URL に移動し、必要な情報を提供します。
3. Web UI が返すサクセスコードをコピーします。
4. hammer auth login oauth のコマンドプロンプトに、サクセスコードを入力して Satellite CLI に対して認証を行います。

手順

1. Satellite Web UI で、管理 > ユーザーグループ に移動して、ユーザーグループの作成 ボタンをクリックします。
2. 名前 フィールドにユーザーグループの名前を入力します。名前は Active Directory と同じにしないでください。
3. 右側の列には、ユーザーおよびユーザーグループを追加しないでください。ロール タブをクリックします。
4. 管理 チェックボックスを選択します。
5. 外部グループ タブをクリックします。
6. 外部ユーザーグループの追加 をクリックします。
7. 名前 フィールドに、Active Directory の名前を入力します。
8. 一覧から 外部 を選択します。

1. Satellite Web UI を使用した Satellite への認証。
2. Satellite CLI を使用した Satellite への認証。

手順

1. Satellite Server で、以下のパッケージをインストールします。

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install

2. Satellite をクライアントとして Red Hat Single Sign-On に登録します。Web UI と CLI とでログインの登録プロセスが異なる点に注意してください。Red Hat Single Sign-On に 2 つの Satellite クライアントを登録すると、Web UI と CLI から Satellite にログインできます。

   • Web UI で Satellite への認証を行う場合は、以下のようにクライアントを作成します。

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     プロンプトが表示されたら、管理アカウントのパスワードを入力します。このコマンドは、Red Hat Single Sign On で Satellite のクライアントを作成します。

     次に、認証ソースとして Red Hat Single Sign On を使用するように Satellite を設定します。

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • CLI で Satellite への認証を行う場合は、以下のようにクライアントを作成します。

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     プロンプトが表示されたら、管理アカウントのパスワードを入力します。このコマンドは、Red Hat Single Sign On で Satellite のクライアントを作成します。

3. httpd サービスを再起動します。

   # systemctl restart httpd

手順

1. Red Hat Single Sign-On Web UI で、クライアント に移動し、Satellite クライアントをクリックします。

2. アクセスタイプを設定します。

   • Web UI を使用して Satellite への認証を行うには、アクセスタイプ 一覧から 機密 を選択します。
   • CLI を使用して Satellite への認証を行うには、アクセスタイプ 一覧から 公開 を選択します。

3. 有効なリダイレクト URI フィールドに有効なリダイレクト URI を追加します。

   • Web UI を使用して Satellite への認証を行うには、https://satellite.example.com/users/extlogin の形式で URI を入力します。Satellite FQDN の後に /users/extlogin の文字列を追加する必要があります。

     この手順の完了後に、Satellite クライアントが Web UI を使用してログインするには以下の 有効なリダイレクト URI が必要です。

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • CLI を使用してユーザーが Satellite への認証を行うには、既存の URI の下の空白フィールドに urn:ietf:wg:wg:oauth:2.0:oob を入力します。

     この手順の完了後に、Satellite クライアントが CLI を使用してログインするには以下の 有効なリダイレクト URI が必要です。

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. 保存 をクリックします。
5. マッパー タブ、作成 の順にクリックし、オーディエンスマッパーを追加します。
6. 名前 フィールドに、オーディエンスマッパーの名前を入力します。
7. マッパータイプ リストから、オーディエンス を選択します。
8. 組み込み済みクライアントオーディエンス リストから、Satellite クライアントを選択します。
9. 保存 をクリックします。
10. 作成 をクリックして、グループメンバーシップをもとに Satellite の認証を指定できるようにグループマッパーを追加します。
11. 名前 フィールドにグループマッパーの名前を入力します。
12. マッパータイプ リストから、グループメンバーシップ を選択します。
13. トークンクレーム名 に groups と入力します。
14. フルグループパス のトグルを OFF に設定します。
15. 保存 をクリックします。

手順

1. Red Hat Single Sign-On Web UI で、Satellite レルムに移動します。
2. Authentication に移動し、OTP Policy タブをクリックします。
3. サポートされるアプリケーション フィールドに FreeOTP または Google Authenticator が含まれていることを確認します。
4. 要件に合わせて OTP を設定します。
5. 必要に応じて、すべてのユーザーのデフォルト認証方法として TOTP 認証を使用する場合は、Flows タブをクリックして OTP Form 設定の右側にある REQUIRED を選択します。
6. Required Actions タブをクリックします。
7. Configure OTP 行の右側にある Default Action チェックボックスを選択します。

手順

1. Satellite にログインすると、Satellite は Red Hat Single Sign-On のログイン画面にリダイレクトします。
2. ユーザー名とパスワードを入力し、ログイン をクリックします。
3. 初回ログインの場合には、Red Hat Single Sign-On により、バーコードをスキャンし、表示された暗証番号を入力してクライアントを設定するように求められます。
4. クライアントを設定して有効な暗証番号を入力すると、Red Hat Single Sign-On で Satellite にリダイレクト後にログインされます。

手順

1. コード付与タイプを使用して Satellite CLI への認証を行うには、以下のコマンドを入力します。

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   このコマンドは、サクセスコードの入力を要求します。

2. サクセスコードを取得するには、コマンドが返す URL に移動し、必要な情報を提供します。
3. Web UI が返すサクセスコードをコピーします。
4. hammer auth login oauth のコマンドプロンプトに、サクセスコードを入力して Satellite CLI に対して認証を行います。

手順

1. Satellite Web UI で、管理 > ユーザーグループ に移動して、ユーザーグループの作成 ボタンをクリックします。
2. 名前 フィールドにユーザーグループの名前を入力します。名前は Active Directory と同じにしないでください。
3. 右側の列には、ユーザーおよびユーザーグループを追加しないでください。ロール タブをクリックします。
4. 管理 チェックボックスを選択します。
5. 外部グループ タブをクリックします。
6. 外部ユーザーグループの追加 をクリックします。
7. 名前 フィールドに、Active Directory の名前を入力します。
8. 一覧から 外部 を選択します。

タイムアウト設定を調整するには、以下を実行します。

1. 管理 > 設定 に移動します。
2. 検索ボックスに %_timeout を入力し、検索 をクリックします。検索では、説明を含む 4 つの設定が返されます。
3. 値 のコラムで、数字の横にあるアイコンをクリックして編集します。
4. 希望する秒数を入力したら、保存 をクリックします。

サービスのチェックを無効にするには、以下を実行します。

1. 管理 > 設定 に移動します。
2. 検索ボックスに check_services_before_actions を入力し、検索 をクリックします。
3. 値 コラムでアイコンをクリックして値を編集します。
4. ドロップダウンメニューから false を選択します。
5. 保存 をクリックします。

ブックマークを作成するには、以下の手順に従います。

1. ブックマークを作成するページに移動します。
2. 検索 フィールドに保存する検索クエリーを入力します。
3. 検索 ボタンの右側にある矢印を選択し、この検索をブックマーク を選択します。
4. 名前 フィールドに 新規ブックマークの名前を入力します。
5. 検索クエリー フィールドに正しい検索クエリーがあることを確認します。

6. 公開 チェックボックスの設定を確認します。

   • 公開 にチェックを入れると、ブックマークが公開されて全ユーザーに見えるようになります。
   • 公開 のチェックを外すと、ブックマークが非公開となり、作成したユーザーのみに見えるようになります。
7. 送信 をクリックします。

ブックマークの削除手順

1. 管理 > ブックマーク に移動します。
2. ブックマークページで、削除するブックマークの 削除 をクリックします。
3. 確認ウィンドウが表示されたら、OK をクリックして削除を確認します。