위험 감소 및 복구 작업

프로세스

1. ReaR 유틸리티를 설치합니다.

   # dnf install rear

2. 선택한 편집기에서 ReaR 구성 파일을 수정합니다. 예를 들면 다음과 같습니다.

   # vi /etc/rear/local.conf

3. /etc/rear/local.conf 에 백업 설정 세부 정보를 추가합니다. 예를 들어 NETFS 백업 방법의 경우 다음 행을 추가합니다.

   BACKUP=NETFS
   BACKUP_URL=backup.location

   backup.location 을 백업 위치의 URL로 바꿉니다.

4. 새 파일이 생성될 때 이전 백업 아카이브를 유지하도록 ReaR을 구성하려면 구성 파일에 다음 행도 추가합니다.

   NETFS_KEEP_OLD_BACKUP_COPY=y

5. 백업을 늘리려면 각 실행 시 변경된 파일만 백업됩니다.

   BACKUP_TYPE=incremental

6. 복구 시스템을 생성합니다.

   # rear mkrescue

7. 복원 계획에 따라 백업을 생성합니다. 예를 들어 NETFS 백업 방법의 경우 다음을 입력합니다.

   # rear mkbackuponly

   또는 다음 명령을 실행하여 복구 시스템 및 백업을 단일 단계로 생성할 수 있습니다.

   # rear mkbackup

   이 명령은 rear mkrescue 의 기능을 결합하고 mkbackuponly 명령을 다시 수행합니다.

프로세스

1. 64비트 IBM Z 아키텍처에서 복구 이미지를 생성하도록 ReaR을 구성하려면 /etc/rear/local.conf 에 다음 변수를 추가합니다.

   1. IPL 출력 방법을 구성하려면 OUTPUT=IPL 을 추가합니다.

   2. 백업 방법과 대상을 구성하려면 Cryostat 및 Cryo stat _URL 변수를 추가합니다. 예를 들면 다음과 같습니다.

      BACKUP=NETFS
      
      BACKUP_URL=nfs://<nfsserver_name>/<share_path>

      중요

      로컬 백업 스토리지는 현재 64비트 IBM Z 아키텍처에서 지원되지 않습니다.

   3. 선택 사항: OUTPUT_URL 변수를 구성하여 커널 및 initrd 파일을 저장할 수도 있습니다. 기본적으로 OUTPUT_URL 은 Cryostat_URL 과 정렬됩니다.

2. 백업 및 복구 이미지 생성을 수행하려면 다음을 수행합니다.

   # rear mkbackup

3. 이렇게 하면 Cryostat _URL 또는 OUTPUT_URL (설정된 경우) 변수에서 지정한 위치에 kernel 및 initrd 파일과 지정된 백업 방법을 사용하여 백업이 생성됩니다.

   주의

   복구 프로세스는 시스템에 연결된 모든 DASD(Direct Attached Storage Devices)를 다시 포맷합니다. 시스템 스토리지 장치에 중요한 데이터가 있는 경우 시스템 복구를 시도하지 마십시오. 여기에는 복구 환경으로 부팅하는 데 사용된 zipl 부트 로더, ReaR 커널 및 initrd로 준비된 장치도 포함됩니다. 사본을 보관해야 합니다.

4. 시스템을 복구하려면 이전에 생성된 ReaR 커널 및 initrd 파일을 사용하고 Direct Attached Storage Device(DASD) 또는 zipl 부트 로더, kernel 및 initrd 와 함께 준비된 파이버 채널 프로토콜(FCP) 연결 SCSI 장치에서 부팅합니다.
5. rescue 커널 및 initrd 가 부팅되면 ReaR 복구 환경이 시작됩니다. 시스템 복구를 진행합니다.

프로세스

1. RHEL 10 웹 콘솔에 로그인합니다.

2. 로그를 클릭합니다.

   

3. 목록에서 선택한 로그 항목을 클릭하여 로그 항목 세부 정보를 엽니다.

프로세스

1. RHEL 10 웹 콘솔에 로그인합니다.
2. 로그를 클릭합니다.

3. 기본적으로 웹 콘솔은 최신 로그 항목을 표시합니다. 특정 시간 범위별로 필터링하려면 시간 드롭다운 메뉴를 클릭하고 선호하는 옵션을 선택합니다.

   

4. 오류 및 심각도 로그 목록이 기본적으로 표시됩니다. 다른 우선 순위로 필터링하려면 Error and above 드롭다운 메뉴를 클릭하고 선호하는 우선 순위를 선택합니다.

   

5. 기본적으로 웹 콘솔은 모든 식별자에 대한 로그를 표시합니다. 특정 식별자에 대한 로그를 필터링하려면 모두 드롭다운 메뉴를 클릭하고 식별자를 선택합니다.

   

6. 로그 항목을 열려면 선택한 로그를 클릭합니다.

1. type identifier:systemd since:2020-10-22 JOB_TYPE=start,restart to search field.

2. 결과를 확인하십시오.

   

1. service:cockpit boot:-1 error|fail to the search field를 입력합니다.

2. 결과를 확인하십시오.

   

프로세스

1. RHEL 10 웹 콘솔에 로그인합니다.
2. 로그를 클릭합니다.

3. 드롭다운 메뉴를 사용하여 필터링하려는 세 가지 기본 한정자(시간 범위, 우선 순위 및 식별자)를 지정합니다.

   우선 순위 한정자는 항상 값이 있어야 합니다. 이를 지정하지 않으면 Error 및 above 우선 순위를 자동으로 필터링합니다. 설정한 옵션은 텍스트 검색 상자에 반영됩니다.

4. 필터링할 로그 필드를 지정합니다.

   여러 로그 필드를 추가할 수 있습니다.

5. 자유 형식 문자열을 사용하여 다른 항목을 검색할 수 있습니다. 검색 상자에는 정규식도 사용할 수 있습니다.

프로세스

1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

   ---
   - name: Configure journald
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure persistent logging
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.journald
         vars:
           journald_persistent: true
           journald_max_disk_size: <size>
           journald_per_user: true
           journald_sync_interval: <interval>

   예제 플레이북에 지정된 설정은 다음과 같습니다.

   journald_persistent: true

   영구 로깅을 활성화합니다.

   journald_max_disk_size: <size>

   저널 파일의 최대 디스크 크기를 MB(예: 2048 )로 지정합니다.

   journald_per_user: true

   로그 데이터를 각 사용자에 대해 별도로 유지하도록 journald 를 구성합니다.

   journald_sync_interval: <interval>

   동기화 간격을 분 단위로 설정합니다(예: 1 ).

   플레이북에 사용되는 모든 변수에 대한 자세한 내용은 제어 노드의 /usr/share/ansible/roles/rhel-system-roles.journald/README.md 파일을 참조하십시오.

2. 플레이북 구문을 확인합니다.

   $ ansible-playbook --syntax-check ~/playbook.yml

   이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

3. Playbook을 실행합니다.

   $ ansible-playbook ~/playbook.yml

프로세스

1. 선택 사항: rsyslog 트래픽에 다른 포트를 사용하려면 syslogd_port_t SELinux 유형을 port에 추가합니다. 예를 들어 포트 30514 를 활성화합니다.

   # semanage port -a -t syslogd_port_t -p tcp 30514

2. 선택 사항: rsyslog 트래픽에 다른 포트를 사용하려면 해당 포트에서 들어오는 rsyslog 트래픽을 허용하도록 firewalld 를 구성합니다. 예를 들어 포트 30514 에서 TCP 트래픽을 허용합니다.

   # firewall-cmd --zone=<zone_name> --permanent --add-port=30514/tcp
   success
   # firewall-cmd --reload

3. /etc/rsyslog.d/ 디렉터리에 (예: remotelog.conf ) 새 파일을 생성하고 다음 내용을 삽입합니다.

   # Define templates before the rules that use them
   # Per-Host templates for remote systems
   template(name="TmplAuthpriv" type="list") {
       constant(value="/var/log/remote/auth/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   template(name="TmplMsg" type="list") {
       constant(value="/var/log/remote/msg/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   # Provides TCP syslog reception
   module(load="imtcp")
   
   # Adding this ruleset to process remote messages
   ruleset(name="remote1"){
        authpriv.*   action(type="omfile" DynaFile="TmplAuthpriv")
         *.info;mail.none;authpriv.none;cron.none
   action(type="omfile" DynaFile="TmplMsg")
   }
   
   input(type="imtcp" port="30514" ruleset="remote1")

4. /etc/rsyslog.d/remotelog.conf 파일에 변경 사항을 저장합니다.

5. /etc/rsyslog.conf 파일의 구문을 테스트합니다.

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-2.el8, config validation run...
   rsyslogd: End of config validation run. Bye.

6. 로깅 서버에서 rsyslog 서비스가 실행 중이고 활성화되어 있는지 확인합니다.

   # systemctl status rsyslog

7. rsyslog 서비스를 다시 시작합니다.

   # systemctl restart rsyslog

8. 선택 사항: rsyslog 가 활성화되지 않은 경우 재부팅 후 rsyslog 서비스가 자동으로 시작되는지 확인합니다.

   # systemctl enable rsyslog

프로세스

1. /etc/rsyslog.d/ 디렉터리에 (예: 10-remotelog.conf ) 를 생성하고 다음 내용을 삽입합니다.

   *.* action(type="omfwd"
         queue.type="linkedlist"
         queue.filename="example_fwd"
         action.resumeRetryCount="-1"
         queue.saveOnShutdown="on"
         target="example.com" port="30514" protocol="tcp"
        )

   다음과 같습니다.

   • queue.type="linkedlist" 설정은 LinkedList in-memory 큐를 활성화합니다.
   • queue.filename 설정은 디스크 스토리지를 정의합니다. 백업 파일은 이전 global workDirectory 지시문에서 지정한 작업 디렉터리에 example_fwd 접두사를 사용하여 생성됩니다.
   • action.resumeRetryCount -1 설정은 서버가 응답하지 않는 경우 연결을 다시 시도할 때 rsyslog 가 메시지를 삭제하지 않도록 합니다.
   • rsyslog 가 종료되면 queue.saveOnShutdown="on" 설정은 메모리 내 데이터를 저장합니다.

   • 마지막 줄은 수신된 모든 메시지를 로깅 서버로 전달합니다. 포트 사양은 선택 사항입니다.

     이 구성을 사용하면 rsyslog 가 서버에 메시지를 전송하지만 원격 서버에 연결할 수 없는 경우 메시지를 메모리에 유지합니다. 디스크의 파일은 rsyslog 가 구성된 메모리 대기열 공간이 부족하거나 종료되어야 하는 경우에만 생성되므로 시스템 성능에 도움이 됩니다.

   참고

   rsyslog는 구성 파일 /etc/rsyslog.d/ 를 사전순으로 처리합니다.

2. rsyslog 서비스를 다시 시작합니다.

   # systemctl restart rsyslog

1. 클라이언트 시스템에서 테스트 메시지를 보냅니다.

   # logger test

2. 서버 시스템에서 /var/log/messages 로그를 확인합니다. 예를 들면 다음과 같습니다.

   # cat /var/log/remote/msg/hostname/root.log
   Feb 25 03:53:17 hostname root[6064]: test

   여기서 hostname 은 클라이언트 시스템의 호스트 이름입니다. 로그에는 logger 명령을 입력한 사용자의 사용자 이름이 포함되어 있습니다(이 경우 root ).

프로세스

1. 클라이언트 시스템에서 암호화된 로그를 수신하도록 서버를 구성합니다.

   1. /etc/rsyslog.d/ 디렉터리에 새 파일을 만듭니다(예: securelogser.conf ).

   2. 통신을 암호화하려면 구성 파일에 서버의 인증서 파일 경로, 선택한 인증 방법, TLS 암호화를 지원하는 스트림 드라이버가 포함되어야 합니다. /etc/rsyslog.d/securelogser.conf 파일에 다음 행을 추가합니다.

      # Set certificate files
      global(
        DefaultNetstreamDriverCAFile="/etc/pki/ca-trust/source/anchors/ca-cert.pem"
        DefaultNetstreamDriverCertFile="/etc/pki/ca-trust/source/anchors/server-cert.pem"
        DefaultNetstreamDriverKeyFile="/etc/pki/ca-trust/source/anchors/server-key.pem"
      )
      
      # TCP listener
      module(
        load="imtcp"
        PermittedPeer=["client1.example.com", "client2.example.com"]
        StreamDriver.AuthMode="x509/name"
        StreamDriver.Mode="1"
        StreamDriver.Name="ossl"
      )
      
      # Start up listener at port 514
      input(
        type="imtcp"
        port="514"
      )

      참고

      GnuTLS 드라이버를 선호하는 경우 StreamDriver.Name="gtls" 구성 옵션을 사용합니다. x509/name 보다 덜 엄격한 인증 모드에 대한 자세한 내용은 rsyslog-doc 패키지로 설치된 설명서를 참조하십시오.

   3. 선택 사항: 연결 구성을 사용자 지정하려면 input 섹션을 다음으로 바꿉니다.

      input(
        type="imtcp"
        Port="50515"
        StreamDriver.Name="<driver>"
        streamdriver.CAFile="/etc/rsyslog.d/<ca1>.pem"
        streamdriver.CertFile="/etc/rsyslog.d/<server1_cert>.pem"
        streamdriver.KeyFile="/etc/rsyslog.d/<server1_key>.pem"
      )

      • 사용하려는 드라이버에 따라 <driver >를 ossl 또는 gtls 로 바꿉니다.
      • < ca1 >을 CA 인증서로, < server1_cert >를 인증서로, < server1_key >를 사용자 지정된 연결 키로 바꿉니다.
   4. /etc/rsyslog.d/securelogser.conf 파일에 변경 사항을 저장합니다.

   5. /etc/rsyslog.conf 파일 및 /etc/rsyslog.d/ 디렉터리에 있는 모든 파일의 구문을 확인합니다.

      # rsyslogd -N 1
      rsyslogd: version 8.1911.0-2.el8, config validation run (level 1)...
      rsyslogd: End of config validation run. Bye.

   6. 로깅 서버에서 rsyslog 서비스가 실행 중이고 활성화되어 있는지 확인합니다.

      # systemctl status rsyslog

   7. rsyslog 서비스를 다시 시작하십시오.

      # systemctl restart rsyslog

   8. 선택 사항: Rsyslog가 활성화되지 않은 경우 재부팅 후 rsyslog 서비스가 자동으로 시작되는지 확인합니다.

      # systemctl enable rsyslog

2. 암호화된 로그를 서버로 전송하도록 클라이언트를 구성합니다.

   1. 클라이언트 시스템에서 /etc/rsyslog.d/ 디렉터리에 (예: securelogcli.conf ) 새 파일을 만듭니다.

   2. /etc/rsyslog.d/securelogcli.conf 파일에 다음 행을 추가합니다.

      # Set certificate files
      global(
        DefaultNetstreamDriverCAFile="/etc/pki/ca-trust/source/anchors/ca-cert.pem"
        DefaultNetstreamDriverCertFile="/etc/pki/ca-trust/source/anchors/client-cert.pem"
        DefaultNetstreamDriverKeyFile="/etc/pki/ca-trust/source/anchors/client-key.pem"
      )
      
      
      # Set up the action for all messages
      *.* action(
        type="omfwd"
        StreamDriver="ossl"
        StreamDriverMode="1"
        StreamDriverPermittedPeers="server.example.com"
        StreamDriverAuthMode="x509/name"
        target="server.example.com" port="514" protocol="tcp"
      )

      참고

      GnuTLS 드라이버를 선호하는 경우 StreamDriver.Name="gtls" 구성 옵션을 사용합니다.

   3. 선택 사항: 연결 구성을 사용자 지정하려면 action 섹션을 다음으로 교체합니다.

      local1.* action(
        type="omfwd"
        StreamDriver="<driver>"
        StreamDriverMode="1"
        StreamDriverAuthMode="x509/certvalid"
        streamDriver.CAFile="/etc/rsyslog.d/<ca1>.pem"
        streamDriver.CertFile="/etc/rsyslog.d/<client1_cert>.pem"
        streamDriver.KeyFile="/etc/rsyslog.d/<client1_key>.pem"
        target="server.example.com" port="514" protocol="tcp"
        )

      • 사용하려는 드라이버에 따라 <driver >를 ossl 또는 gtls 로 바꿉니다.
      • < ca1 >을 CA 인증서로, < client1_cert >를 인증서로, < client1_key >를 사용자 지정 연결의 키로 바꿉니다.
   4. /etc/rsyslog.d/securelogcli.conf 파일에 변경 사항을 저장합니다.

   5. /etc/rsyslog.conf 파일 및 기타 파일의 구문을 /etc/rsyslog.d/ 디렉터리에 확인합니다.

      # rsyslogd -N 1
      rsyslogd: version 8.1911.0-2.el8, config validation run (level 1)...
      rsyslogd: End of config validation run. Bye.

   6. 로깅 서버에서 rsyslog 서비스가 실행 중이고 활성화되어 있는지 확인합니다.

      # systemctl status rsyslog

   7. rsyslog 서비스를 다시 시작하십시오.

      # systemctl restart rsyslog

   8. 선택 사항: Rsyslog가 활성화되지 않은 경우 재부팅 후 rsyslog 서비스가 자동으로 시작되는지 확인합니다.

      # systemctl enable rsyslog

1. 클라이언트 시스템에서 테스트 메시지를 보냅니다.

   # logger test

2. 서버 시스템에서 /var/log/messages 로그를 확인합니다. 예를 들면 다음과 같습니다.

   # cat /var/log/remote/msg/<hostname>/root.log
   Feb 25 03:53:17 <hostname> root[6064]: test

   여기서 <hostname >은 클라이언트 시스템의 호스트 이름입니다. 로그에는 logger 명령을 입력한 사용자의 사용자 이름이 포함되어 있습니다(이 경우 root ).

프로세스

1. 선택 사항: 기본 포트 514 이외의 rsyslog 트래픽에 다른 포트를 사용하려면 다음을 수행합니다.

   1. syslogd_port_t SELinux 유형을 SELinux 정책 구성에 추가하고 portno 를 rsyslog 에서 사용할 포트 번호로 바꿉니다.

      # semanage port -a -t syslogd_port_t -p udp portno

   2. 들어오는 rsyslog 트래픽을 허용하고 portno 를 포트 번호 및 영역을 rsyslog 에서 사용할 영역으로 대체하도록 firewalld 를 구성합니다.

      # firewall-cmd --zone=zone --permanent --add-port=portno/udp
      success
      # firewall-cmd --reload

   3. 방화벽 규칙을 다시 로드합니다.

      # firewall-cmd --reload

2. /etc/rsyslog.d/ 디렉터리에 새 .conf 파일을 만들고 (예: remotelogserv.conf ) 다음 내용을 삽입합니다.

   # Define templates before the rules that use them
   # Per-Host templates for remote systems
   template(name="TmplAuthpriv" type="list") {
       constant(value="/var/log/remote/auth/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   template(name="TmplMsg" type="list") {
       constant(value="/var/log/remote/msg/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   # Provides UDP syslog reception
   module(load="imudp")
   
   # This ruleset processes remote messages
   ruleset(name="remote1"){
        authpriv.*   action(type="omfile" DynaFile="TmplAuthpriv")
         *.info;mail.none;authpriv.none;cron.none
   action(type="omfile" DynaFile="TmplMsg")
   }
   
   input(type="imudp" port="514" ruleset="remote1")

   여기서 514 는 기본적으로 rsyslog 에서 사용하는 포트 번호입니다. 대신 다른 포트를 지정할 수 있습니다.

3. /etc/rsyslog.conf 파일과 /etc/rsyslog. d/ 디렉터리의 모든 . conf 파일의 구문을 확인합니다.

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-2.el8, config validation run...

4. rsyslog 서비스를 다시 시작합니다.

   # systemctl restart rsyslog

5. 선택 사항: rsyslog 가 활성화되지 않은 경우 재부팅 후 rsyslog 서비스가 자동으로 시작되는지 확인합니다.

   # systemctl enable rsyslog

프로세스

1. /etc/rsyslog.d/ 디렉터리에 새 .conf 파일을 만들고(예: 10-remotelogcli.conf ) 다음 내용을 삽입합니다.

   *.* action(type="omfwd"
         queue.type="linkedlist"
         queue.filename="example_fwd"
         action.resumeRetryCount="-1"
         queue.saveOnShutdown="on"
         target="example.com" port="portno" protocol="udp"
        )

   다음과 같습니다.

   • queue.type="linkedlist" 설정은 LinkedList in-memory 큐를 활성화합니다.
   • queue.filename 설정은 디스크 스토리지를 정의합니다. 백업 파일은 이전 global workDirectory 지시문에서 지정한 작업 디렉터리에 example_fwd 접두사를 사용하여 생성됩니다.
   • action.resumeRetryCount -1 설정은 서버가 응답하지 않는 경우 연결을 다시 시도할 때 rsyslog 가 메시지를 삭제하지 않도록 합니다.
   • rsyslog 가 종료되면 활성화된 queue.saveOnShutdown="on" 설정은 메모리 내 데이터를 저장합니다.
   • portno 값은 rsyslog 에서 사용할 포트 번호입니다. 기본값은 514 입니다.

   • 마지막 줄은 수신된 모든 메시지를 로깅 서버로 전달하며 포트 사양은 선택 사항입니다.

     이 구성을 사용하면 rsyslog 가 서버에 메시지를 전송하지만 원격 서버에 연결할 수 없는 경우 메시지를 메모리에 유지합니다. 디스크의 파일은 rsyslog 가 구성된 메모리 대기열 공간이 부족하거나 종료되어야 하는 경우에만 생성되므로 시스템 성능에 도움이 됩니다.

   참고

   rsyslog는 구성 파일 /etc/rsyslog.d/ 를 사전순으로 처리합니다.

2. rsyslog 서비스를 다시 시작합니다.

   # systemctl restart rsyslog

3. 선택 사항: rsyslog 가 활성화되지 않은 경우 재부팅 후 rsyslog 서비스가 자동으로 시작되는지 확인합니다.

   # systemctl enable rsyslog

1. 클라이언트 시스템에서 테스트 메시지를 보냅니다.

   # logger test

2. 서버 시스템에서 /var/log/remote/msg/호스트 이름/root.log 로그를 확인합니다. 예를 들면 다음과 같습니다.

   # cat /var/log/remote/msg/hostname/root.log
   Feb 25 03:53:17 hostname root[6064]: test

   여기서 hostname 은 클라이언트 시스템의 호스트 이름입니다. 로그에는 logger 명령을 입력한 사용자의 사용자 이름이 포함되어 있습니다(이 경우 root ).

프로세스

1. 안정적인 원격 로깅을 위해 클라이언트 시스템을 구성합니다.

   1. 클라이언트 시스템에서 /etc/rsyslog.d/ 디렉터리에 (예: relpclient .conf ) 새 .conf 파일을 생성하고 다음 내용을 삽입합니다.

      module(load="omrelp")
      *.* action(type="omrelp" target="_target_IP_" port="_target_port_")

      다음과 같습니다.

      • target_IP 는 로깅 서버의 IP 주소입니다.
      • target_port 는 로깅 서버의 포트입니다.
   2. /etc/rsyslog.d/relpclient.conf 파일에 변경 사항을 저장합니다.

   3. rsyslog 서비스를 다시 시작합니다.

      # systemctl restart rsyslog

   4. 선택 사항: rsyslog 가 활성화되지 않은 경우 재부팅 후 rsyslog 서비스가 자동으로 시작되는지 확인합니다.

      # systemctl enable rsyslog

2. 안정적인 원격 로깅을 위해 서버 시스템을 구성합니다.

   1. 서버 시스템에서 /etc/rsyslog.d/ 디렉터리에 (예: relpserv .conf ) 새 .conf 파일을 생성하고 다음 내용을 삽입합니다.

      ruleset(name="relp"){
      *.* action(type="omfile" file="_log_path_")
      }
      
      
      module(load="imrelp")
      input(type="imrelp" port="_target_port_" ruleset="relp")

      다음과 같습니다.

      • log_path 는 메시지를 저장하는 경로를 지정합니다.
      • target_port 는 로깅 서버의 포트입니다. 클라이언트 구성 파일과 동일한 값을 사용합니다.
   2. /etc/rsyslog.d/relpserv.conf 파일에 변경 사항을 저장합니다.

   3. rsyslog 서비스를 다시 시작합니다.

      # systemctl restart rsyslog

   4. 선택 사항: rsyslog 가 활성화되지 않은 경우 재부팅 후 rsyslog 서비스가 자동으로 시작되는지 확인합니다.

      # systemctl enable rsyslog

1. 클라이언트 시스템에서 테스트 메시지를 보냅니다.

   # logger test

2. 서버 시스템에서 지정된 log_path 에서 로그를 확인합니다. 예를 들면 다음과 같습니다.

   # cat /var/log/remote/msg/hostname/root.log
   Feb 25 03:53:17 hostname root[6064]: test

   여기서 hostname 은 클라이언트 시스템의 호스트 이름입니다. 로그에는 logger 명령을 입력한 사용자의 사용자 이름이 포함되어 있습니다(이 경우 root ).

프로세스

1. netconsole-service 패키지를 설치합니다.

   # dnf install netconsole-service

2. /etc/sysconfig/netconsole 파일을 편집하고 SYSLOGADDR 매개변수를 원격 호스트의 IP 주소로 설정합니다.

   # SYSLOGADDR=192.0.2.1

3. netconsole 서비스를 활성화하고 시작합니다.

   # systemctl enable --now netconsole

프로세스

1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

   ---
   - name: Deploy the logging solution
     hosts: managed-node-01.example.com
     tasks:
       - name: Filter logs based on a specific value they contain
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.logging
         vars:
           logging_inputs:
             - name: files_input
               type: basics
           logging_outputs:
             - name: files_output0
               type: files
               property: msg
               property_op: contains
               property_value: error
               path: /var/log/errors.log
             - name: files_output1
               type: files
               property: msg
               property_op: "!contains"
               property_value: error
               path: /var/log/others.log
           logging_flows:
             - name: flow0
               inputs: [files_input]
               outputs: [files_output0, files_output1]

   예제 플레이북에 지정된 설정은 다음과 같습니다.

   logging_inputs

   로깅 입력 사전 목록을 정의합니다. 유형: 기본 옵션은 systemd 저널 또는 Unix 소켓의 입력을 다룹니다.

   logging_outputs

   로깅 출력 사전 목록을 정의합니다. type: files 옵션은 일반적으로 /var/log/ 디렉터리에 있는 로컬 파일에 로그 저장을 지원합니다. 속성: msg; property: contains; 및 property_value: 오류 옵션은 오류 문자열이 포함된 모든 로그가 /var/log/errors.log 파일에 저장되도록 지정합니다. 속성: msg; 속성: !contains; 및 property_value: 오류 옵션은 다른 모든 로그가 /var/log/others.log 파일에 저장되도록 지정합니다. 오류 값을 필터링할 문자열로 교체할 수 있습니다.

   logging_flows

   logging_inputs 와 logging_outputs 간의 관계를 지정하는 로깅 흐름 사전 목록을 정의합니다. inputs: [files_input] 옵션은 로그 처리가 시작되는 입력 목록을 지정합니다. outputs: [files_output0, files_output1] 옵션은 로그가 전송되는 출력 목록을 지정합니다.

   플레이북에서 사용되는 모든 변수와 rsyslog 에 대한 자세한 내용은 제어 노드의 /usr/share/ansible/roles/rhel-system-roles.logging/README.md 파일 및 rsyslog.conf(5) 및 syslog Cryostat 매뉴얼 페이지를 참조하십시오.

2. 플레이북 구문을 확인합니다.

   $ ansible-playbook --syntax-check ~/playbook.yml

   이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

3. Playbook을 실행합니다.

   $ ansible-playbook ~/playbook.yml

검증

1. 관리 노드에서 /etc/rsyslog.conf 파일의 구문을 테스트합니다.

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-6.el8, config validation run...
   rsyslogd: End of config validation run. Bye.

2. 관리 노드에서 오류 문자열이 포함된 메시지를 로그에 전송하는지 확인합니다.

   1. 테스트 메시지를 보냅니다.

      # logger error

   2. /var/log/errors.log 로그를 확인합니다. 예를 들면 다음과 같습니다.

      # cat /var/log/errors.log
      Aug  5 13:48:31 hostname root[6778]: error

      여기서 hostname 은 클라이언트 시스템의 호스트 이름입니다. 로그에는 logger 명령을 입력한 사용자의 사용자 이름이 포함되어 있습니다(이 경우 root ).

프로세스

1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

   ---
   - name: Deploy the logging solution
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure the server to receive remote input
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.logging
         vars:
           logging_inputs:
             - name: remote_udp_input
               type: remote
               udp_ports: [ 601 ]
             - name: remote_tcp_input
               type: remote
               tcp_ports: [ 601 ]
           logging_outputs:
             - name: remote_files_output
               type: remote_files
           logging_flows:
             - name: flow_0
               inputs: [remote_udp_input, remote_tcp_input]
               outputs: [remote_files_output]
   
   - name: Deploy the logging solution
     hosts: managed-node-02.example.com
     tasks:
       - name: Configure the server to output the logs to local files in directories named by remote host names
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.logging
         vars:
           logging_inputs:
             - name: basic_input
               type: basics
           logging_outputs:
             - name: forward_output0
               type: forwards
               severity: info
               target: <host1.example.com>
               udp_port: 601
             - name: forward_output1
               type: forwards
               facility: mail
               target: <host1.example.com>
               tcp_port: 601
           logging_flows:
             - name: flows0
               inputs: [basic_input]
               outputs: [forward_output0, forward_output1]

   예제 플레이북의 첫 번째 플레이에 지정된 설정은 다음과 같습니다.

   logging_inputs

   로깅 입력 사전 목록을 정의합니다. type: remote 옵션은 네트워크를 통해 다른 로깅 시스템의 원격 입력을 다룹니다. udp_ports: [ 601 ] 옵션은 모니터링할 UDP 포트 번호 목록을 정의합니다. tcp_ports: [ 601 ] 옵션은 모니터링할 TCP 포트 번호 목록을 정의합니다. udp_ports 및 tcp_ports 가 모두 설정된 경우 udp_ports 가 사용되고 tcp_ports 가 삭제됩니다.

   logging_outputs

   로깅 출력 사전 목록을 정의합니다. type: remote_files 옵션은 원격 호스트별로 로컬 파일에 출력 저장소 로그를 만들고 프로그램 이름이 로그를 생성했습니다.

   logging_flows

   logging_inputs 와 logging_outputs 간의 관계를 지정하는 로깅 흐름 사전 목록을 정의합니다. 입력: [remote_udp_input, remote_tcp_input] 옵션은 로그 처리가 시작되는 입력 목록을 지정합니다. outputs: [remote_files_output] 옵션은 로그를 전송할 출력 목록을 지정합니다.

   예제 플레이북의 두 번째 플레이에 지정된 설정은 다음과 같습니다.

   logging_inputs

   로깅 입력 사전 목록을 정의합니다. 유형: 기본 옵션은 systemd 저널 또는 Unix 소켓의 입력을 다룹니다.

   logging_outputs

   로깅 출력 사전 목록을 정의합니다. type: forward 옵션은 네트워크를 통해 원격 로깅 서버로 로그 전송을 지원합니다. severity: info 옵션은 정보 중요도의 로그 메시지를 나타냅니다. facility: mail 옵션은 로그 메시지를 생성하는 시스템 프로그램의 유형을 나타냅니다. target: < host1.example.com > 옵션은 원격 로깅 서버의 호스트 이름을 지정합니다. udp_port: 601/tcp_port: 601 옵션은 원격 로깅 서버가 수신 대기하는 UDP/TCP 포트를 정의합니다.

   logging_flows

   logging_inputs 와 logging_outputs 간의 관계를 지정하는 로깅 흐름 사전 목록을 정의합니다. inputs: [basic_input] 옵션은 로그 처리가 시작되는 입력 목록을 지정합니다. outputs: [forward_output0, forward_output1] 옵션은 로그가 전송되는 출력 목록을 지정합니다.

   역할 변수 및 rsyslog 에 대한 자세한 내용은 제어 노드의 /usr/share/ansible/roles/rhel-system-roles.logging/README.md 파일 및 rsyslog.conf(5) 및 syslog Cryostat 매뉴얼 페이지를 참조하십시오.

2. 플레이북 구문을 확인합니다.

   $ ansible-playbook --syntax-check ~/playbook.yml

   이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

3. Playbook을 실행합니다.

   $ ansible-playbook ~/playbook.yml

검증

1. 클라이언트 및 서버 시스템 모두에서 /etc/rsyslog.conf 파일의 구문을 테스트합니다.

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-6.el8, config validation run (level 1), master config /etc/rsyslog.conf
   rsyslogd: End of config validation run. Bye.

2. 클라이언트 시스템이 서버에 메시지를 전송하는지 확인합니다.

   1. 클라이언트 시스템에서 테스트 메시지를 보냅니다.

      # logger test

   2. 서버 시스템에서 /var/log/ <host2.example.com> /messages 로그를 확인합니다. 예를 들면 다음과 같습니다.

      # cat /var/log/<host2.example.com>/messages
      Aug  5 13:48:31 <host2.example.com> root[6778]: test

      여기서 <host2.example.com >은 클라이언트 시스템의 호스트 이름입니다. 로그에는 logger 명령을 입력한 사용자의 사용자 이름이 포함되어 있습니다(이 경우 root ).

파일 시스템 규칙 예

1. /etc/passwd 파일의 모든 쓰기 액세스 권한 및 모든 속성 변경을 기록하는 규칙을 정의하려면 다음을 수행합니다.

   # auditctl -w /etc/passwd -p wa -k passwd_changes

2. /etc/selinux/ 디렉터리의 모든 쓰기 액세스 권한 및 모든 속성 변경을 기록하는 규칙을 정의하려면 다음을 수행합니다.

   # auditctl -w /etc/selinux/ -p wa -k selinux_changes

시스템 호출 규칙 예

1. adjtimex 또는 settimeofday 시스템 호출이 프로그램에서 사용될 때마다 로그 항목을 생성하는 규칙을 정의하기 위해 시스템은 64비트 아키텍처를 사용합니다.

   # auditctl -a always,exit -F arch=b64 -S adjtimex -S settimeofday -k time_change

2. 파일이 삭제되거나 ID가 1000 이상인 시스템 사용자에 의해 이름이 변경될 때마다 로그 항목을 생성하는 규칙을 정의하려면 다음을 수행합니다.

   # auditctl -a always,exit -S unlink -S unlinkat -S rename -S renameat -F auid>=1000 -F auid!=4294967295 -k delete

   -F auid!=4294967295 옵션은 로그인 UID가 설정되지 않은 사용자를 제외하는 데 사용됩니다.

프로세스

1. /usr/lib/systemd/system/auditd.service 파일을 /etc/systemd/system/ 디렉터리에 복사합니다.

   # cp -f /usr/lib/systemd/system/auditd.service /etc/systemd/system/

2. 선택한 텍스트 편집기에서 /etc/systemd/system/auditd.service 파일을 편집합니다. 예를 들면 다음과 같습니다.

   # vi /etc/systemd/system/auditd.service

3. augenrules 가 포함된 행을 주석 처리하고 auditctl -R 명령이 포함된 행의 주석을 제거합니다.

   #ExecStartPost=-/sbin/augenrules --load
   ExecStartPost=-/sbin/auditctl -R /etc/audit/audit.rules

4. systemd 데몬을 다시 로드하여 auditd.service 파일의 변경 사항을 가져옵니다.

   # systemctl daemon-reload

5. auditd 서비스를 다시 시작하십시오.

   # service auditd restart

프로세스

1. /usr/share/audit/sample-rules/ 디렉터리에서 /etc/audit/rules.d/ 디렉터리에 사전 구성된 규칙 파일 44-installers.rules 를 복사합니다.

   # cp /usr/share/audit/sample-rules/44-installers.rules /etc/audit/rules.d/

2. 감사 규칙을 로드합니다.

   # augenrules --load

검증

1. 로드된 규칙을 나열합니다.

   # auditctl -l
   -p x-w /usr/bin/dnf-3 -k software-installer
   -p x-w /usr/bin/yum -k software-installer
   -p x-w /usr/bin/pip -k software-installer
   -p x-w /usr/bin/npm -k software-installer
   -p x-w /usr/bin/cpan -k software-installer
   -p x-w /usr/bin/gem -k software-installer
   -p x-w /usr/bin/luarocks -k software-installer

2. 설치를 수행합니다. 예를 들면 다음과 같습니다.

   # dnf reinstall -y vim-enhanced

3. 최근 설치 이벤트가 있는지 감사 로그를 검색합니다. 예를 들면 다음과 같습니다.

   # ausearch -ts recent -k software-installer
   ––––
   time->Thu Dec 16 10:33:46 2021
   type=PROCTITLE msg=audit(1639668826.074:298): proctitle=2F7573722F6C6962657865632F706C6174666F726D2D707974686F6E002F7573722F62696E2F646E66007265696E7374616C6C002D790076696D2D656E68616E636564
   type=PATH msg=audit(1639668826.074:298): item=2 name="/lib64/ld-linux-x86-64.so.2" inode=10092 dev=fd:01 mode=0100755 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:ld_so_t:s0 nametype=NORMAL cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0
   type=PATH msg=audit(1639668826.074:298): item=1 name="/usr/libexec/platform-python" inode=4618433 dev=fd:01 mode=0100755 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:bin_t:s0 nametype=NORMAL cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0
   type=PATH msg=audit(1639668826.074:298): item=0 name="/usr/bin/dnf" inode=6886099 dev=fd:01 mode=0100755 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:rpm_exec_t:s0 nametype=NORMAL cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0
   type=CWD msg=audit(1639668826.074:298): cwd="/root"
   type=EXECVE msg=audit(1639668826.074:298): argc=5 a0="/usr/libexec/platform-python" a1="/usr/bin/dnf" a2="reinstall" a3="-y" a4="vim-enhanced"
   type=SYSCALL msg=audit(1639668826.074:298): arch=c000003e syscall=59 success=yes exit=0 a0=55c437f22b20 a1=55c437f2c9d0 a2=55c437f2aeb0 a3=8 items=3 ppid=5256 pid=5375 auid=0 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts0 ses=3 comm="dnf" exe="/usr/libexec/platform-python3.6" subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key="software-installer"