在 Amazon Web Services 上部署 RHEL 9

1. 根据您的需求和当前市场提供的，为您的使用案例选择最佳云提供商。

   当前认证的运行 RHEL 实例的云提供商有：

   • Amazon Web Services (AWS)
   • Google Cloud Platform (GCP)

   • Microsoft Azure

     注意

     本文档专门讨论在 AWS 上部署 RHEL。

2. 在您选择的云平台上创建 RHEL 云实例。如需更多信息，请参阅 创建 RHEL 云实例的方法。
3. 要让您的 RHEL 部署保持最新状态，请使用 红帽更新基础设施 (RHUI)。

流程

1. 安装 Python 3 和 pip 工具：

   # dnf install python3 python3-pip

2. 使用 pip 安装 AWS 命令行工具 ：

   # pip3 install awscli

3. 设置您的配置文件。终端提示您提供凭证、地区和输出格式：

   $ aws configure
   AWS Access Key ID [None]:
   AWS Secret Access Key [None]:
   Default region name [None]:
   Default output format [None]:

4. 为存储桶定义名称并创建一个存储桶：

   $ BUCKET=bucketname
   $ aws s3 mb s3://$BUCKET

   使用实际的存储桶名称替换 bucketname。它必须是全局唯一的名称。因此，您的存储桶会被创建。

5. 要授予访问 S3 存储桶的权限，如果您还没有这样做，请在 AWS Identity and Access Management (IAM) 中创建一个 vmimport S3 角色：

   1. 创建一个 JSON 格式的带有信任策略配置的 trust-policy.json 文件。例如：

      {
          "Version": "2022-10-17",
          "Statement": [{
              "Effect": "Allow",
              "Principal": {
                  "Service": "vmie.amazonaws.com"
              },
              "Action": "sts:AssumeRole",
              "Condition": {
                  "StringEquals": {
                      "sts:Externalid": "vmimport"
                  }
              }
          }]
      }

   2. 创建一个 JSON 格式的带有角色策略配置的 role-policy.json 文件。例如：

      {
          "Version": "2012-10-17",
          "Statement": [{
              "Effect": "Allow",
              "Action": ["s3:GetBucketLocation", "s3:GetObject", "s3:ListBucket"],
              "Resource": ["arn:aws:s3:::%s", "arn:aws:s3:::%s/"] }, { "Effect": "Allow", "Action": ["ec2:ModifySnapshotAttribute", "ec2:CopySnapshot", "ec2:RegisterImage", "ec2:Describe"],
              "Resource": "*"
          }]
      }
      $BUCKET $BUCKET

   3. 使用 trust-policy.json 文件为您的 Amazon Web Services 帐户创建一个角色：

      $ aws iam create-role --role-name vmimport --assume-role-policy-document file://trust-policy.json

   4. 使用 role-policy.json 文件嵌入一个内联策略文档：

      $ aws iam put-role-policy --role-name vmimport --policy-name vmimport --policy-document file://role-policy.json

流程

1. 使用文本编辑器，使用以下内容创建配置文件：

   provider = "aws"
   [settings]
   accessKeyID = "AWS_ACCESS_KEY_ID"
   secretAccessKey = "AWS_SECRET_ACCESS_KEY"
   bucket = "AWS_BUCKET"
   region = "AWS_REGION"
   key = "IMAGE_KEY"

   将字段中的值替换为您的 accessKeyID、secretAccessKey、bucket 和 region 的凭证。IMAGE_KEY 值是要上传到 EC2 的虚拟机镜像的名称。

2. 将文件保存为 CONFIGURATION-FILE.toml，然后关闭文本编辑器。

3. 启动 compose 来将其上传到 AWS：

   # composer-cli compose start blueprint-name image-type image-key configuration-file.toml

   替换：

   • 使用您创建的蓝图名称替换 blueprint-name
   • 使用 ami 镜像类型替换 image-type。
   • 使用要上传到 EC2 的虚拟机镜像的名称替换 image-key。

   • 带有云提供商的配置文件名称的 configuration-file.toml 。

     注意

     您必须有要将自定义镜像发送到的存储桶的正确 AWS 身份和访问管理(IAM)设置。在将镜像上传到存储桶前，您必须对存储桶设置策略。

4. 检查镜像构建的状态：

   # composer-cli compose status

   完成镜像上传过程后，您可以看到"FINISHED"状态。

1. 访问菜单中的 EC2，并在 AWS 控制台中选择正确的区域。镜像必须具有 available 状态，以指示它已被成功上传。
2. 在仪表盘上，选择您的镜像并点击 Launch。

流程

1. 在 RHEL 镜像构建器仪表盘中，点之前创建的 blueprint name。
2. 选择选项卡 Images。

3. 点 Create Image 创建自定义镜像。

   Create Image 窗口打开。

   1. 在 Type 下拉菜单中选择 Amazon Machine Image Disk (.raw)。
   2. 选中 Upload to AWS 复选框，来将您的镜像上传到 AWS 云，然后点 Next。

   3. 要验证您是否可以访问 AWS ，请在对应的字段中输入您的"AWS access key ID"和"AWS secret access key"。点击 Next。

      注意

      您只能在创建新 Access Key ID 时查看 AWS secret access key 。如果您不知道您的 Secret Key，请生成一个新的 Access Key ID。

   4. 在 Image name 字段中输入镜像名称，在 Amazon S3 bucket name 字段中输入 Amazon bucket 名称，并为您要添加自定义镜像的存储桶输入 AWS region 字段。点击 Next。

   5. 查看信息并点 Finish。

      可选，点 Back 来修改任何不正确的详情。

      注意

      您必须具有要发送自定义镜像的存储桶的正确 IAM 设置。此流程使用 IAM 导入和导出，因此您必须在将镜像上传到存储桶前为存储桶设置 策略。如需更多信息，请参阅 IAM 用户所需的权限。

4. 右上角的弹出窗口告诉您保存的进度。它还告知镜像创建过程、创建此镜像的过程以及后续的上传到 AWS Cloud。

   完成这个过程后，您可以看到 镜像构建完成状态。

5. 在浏览器中，访问 Service→EC2。

   1. 在 AWS 控制台仪表盘菜单中，选择 correct region。镜像必须具有 Available 状态，以指示它已被上传。
   2. 在 AWS 仪表盘上，选择您的镜像并点 Launch。
6. 此时会打开一个新窗口。根据启动镜像所需的资源选择实例类型。点击 Review and Launch。
7. 查看您的实例启动详情。如果需要进行任何更改，您可以编辑任何部分。点 Launch

8. 在启动实例之前，选择一个访问它的公钥。

   您可以使用您已有的密钥对，也可以创建一个新的密钥对。

   按照以下步骤在 EC2 中创建新的密钥对，并将它连接到新实例。

   1. 在下拉菜单中选择 "Create a new key pair"。
   2. 输入新密钥对名称。它生成一个新的密钥对。
   3. 点 "下载密钥对" 在您的本地系统中保存新密钥对。

9. 然后，您可以点 Launch Instance 来启动您的实例。

   您可以检查实例的状态，它显示为 Initializing。

10. 实例状态变为 running 后，连接按钮将变为可用。

11. 点 Connect。此时会出现一个窗口，其中包含有关如何使用 SSH 进行连接的说明。

    1. 选择 A standalone SSH client 作为首选连接方法并打开终端。

    2. 在您存储私钥的位置，确保您的密钥是公开可见的，以便 SSH 可以正常工作。要做到这一点，请运行以下命令：

       $ chmod 400 <_your-instance-name.pem_>

    3. 使用其公共 DNS 连接到您的实例：

       $ ssh -i <_your-instance-name.pem_> ec2-user@<_your-instance-IP-address_>

    4. 键入 yes 以确认您要继续连接。

       因此，您通过 SSH 连接到您的实例。

流程

1. 启动 AWS 控制台。
2. 点击您的 AWS 帐户 ID 来显示下拉菜单，并选择 My Security Credentials。
3. 点 Users。
4. 选择用户并打开 Summary 屏幕。
5. 点 Security credentials 选项卡。
6. 点 Create access key。
7. 下载 .csv 文件（或保存这两个密钥）。创建隔离设备时需要输入这些密钥。

步骤

1. 使用 dnf 命令安装 AWS 命令行工具。

   # dnf install awscli

2. 使用 aws --version 命令验证您是否安装了 AWS CLI。

   $ aws --version
   aws-cli/1.19.77 Python/3.6.15 Linux/5.14.16-201.fc34.x86_64 botocore/1.20.77

3. 根据 AWS 访问详情配置 AWS 命令行客户端。

   $ aws configure
   AWS Access Key ID [None]:
   AWS Secret Access Key [None]:
   Default region name [None]:
   Default output format [None]:

流程

1. 在 AWS EC2 Dashboard 中选择 Images，然后选择 AMI。
2. 右键点击您的镜像并选择 Launch。

3. 选择一个满足或超过工作负载要求的 Instance Type。根据您的 HA 应用，每个实例可能需要具有更高的容量。

   有关实例类型的信息，请参阅 Amazon EC2 实例类型。

4. 点 Next: Configure Instance Details。

   1. 输入您要为集群创建的 Number of instances。这个示例流程使用三个集群节点。

      注意

      不要启动自动缩放组。

   2. 对于 Network，请选择您在 Set up AWS environment 中创建的 VPC。选择实例子网以创建新子网。

   3. 为 Auto-assign Public IP 选择 Enable。以下是 Configure Instance Details 所需的最小选择。根据您的特定 HA 应用，您可能需要进行其他选择。

      注意

      这些是创建基本实例所需的最小配置选项。根据您的 HA 应用程序要求查看其他选项。

5. 单击 Next: Add Storage ，并验证默认存储是否足够。除非您的 HA 应用程序需要其他存储选项，您不需要修改这些设置。

6. 点击 Next: Add Tags。

   注意

   标签可帮助您管理 AWS 资源。有关标记的信息，请参阅 标记您的 Amazon EC2 资源。

7. 点击 Next: Configure Security Group。选择在 Setting the AWS environment 中创建的现有安全组。
8. 点击 Review and Launch ，并验证您的选择。
9. 点击 Launch。此时会提示您选择现有密钥对或创建新密钥对。选择在 Setting up the AWS environment 时创建的密钥对。
10. 点击 Launch Instances。

11. 点 View Instances。您可以命名实例。

    注意

    另外，您可以使用 AWS CLI 启动实例。如需更多信息，请参阅 Amazon 文档中的启动、列出和终止 Amazon EC2 实例。

步骤

1. 将密钥文件从 Downloads 目录移到您的 主 目录或 ~/.ssh 目录 。

2. 更改密钥文件的权限，以便只有 root 用户可以读取它。

   # chmod 400 KeyName.pem

步骤

1. 启动 AWS Console ，并选择 EC2 实例。
2. 点击 Connect ，并选择 A standalone SSH client。
3. 在 SSH 终端会话中，使用弹出窗口中提供的 AWS 示例连接到实例。如果示例中没有显示路径，请为您的 KeyName.pem 文件添加正确的路径。

步骤

1. 删除 AWS Red Hat Update Infrastructure (RHUI)客户端。

   $ sudo -i
   # dnf -y remove rh-amazon-rhui-client*

2. 在红帽注册虚拟机。

   # subscription-manager register --auto-attach

3. 禁用所有软件仓库。

   # subscription-manager repos --disable=*

4. 启用 RHEL 9 服务器 HA 软件仓库。

   # subscription-manager repos --enable=rhel-9-for-x86_64-highavailability-rpms

5. 更新 RHEL AWS 实例。

   # dnf update -y

6. 安装红帽高可用性附加组件软件包，以及来自高可用性频道的 AWS 隔离代理。

   # dnf install pcs pacemaker fence-agents-aws

7. 在上一步中的 pcs 和 pacemaker 安装过程中，创建了用户 hacluster 。在所有群集节点上为 hacluster 创建密码。所有节点都使用相同的密码。

   # passwd hacluster

8. 如果安装了 firewalld.service，请在 RHEL Firewall 中添加 high availability 服务。

   # firewall-cmd --permanent --add-service=high-availability
   # firewall-cmd --reload

9. 启动 pcs 服务，并使其在引导时启动。

   # systemctl start pcsd.service
   # systemctl enable pcsd.service

10. 编辑 /etc/hosts ，并添加 RHEL 主机名和内部 IP 地址。如需更多信息，请参阅红帽知识库解决方案 如何在 RHEL 集群节点上设置 /etc/hosts 文件？

流程

1. 在其中一个节点上，输入以下命令来验证 pcs 用户 hacluster。在该命令中，指定集群中的每个节点的名称。

   # pcs host auth <hostname1> <hostname2> <hostname3>

   Example:

   [root@node01 clouduser]# pcs host auth node01 node02 node03
   Username: hacluster
   Password:
   node01: Authorized
   node02: Authorized
   node03: Authorized

2. 创建集群。

   # pcs cluster setup <cluster_name> <hostname1> <hostname2> <hostname3>

   Example:

   [root@node01 clouduser]# pcs cluster setup new_cluster node01 node02 node03
   
   [...]
   
   Synchronizing pcsd certificates on nodes node01, node02, node03...
   node02: Success
   node03: Success
   node01: Success
   Restarting pcsd on the nodes in order to reload the certificates...
   node02: Success
   node03: Success
   node01: Success

验证

1. 启用集群。

   [root@node01 clouduser]# pcs cluster enable --all
   node02: Cluster Enabled
   node03: Cluster Enabled
   node01: Cluster Enabled

2. 启动集群。

   [root@node01 clouduser]# pcs cluster start --all
   node02: Starting Cluster...
   node03: Starting Cluster...
   node01: Starting Cluster...

标准流程

1. 输入以下 AWS 元数据查询以获取每个节点的实例 ID。您需要这些 ID 来配置隔离设备。如需更多信息，请参阅实例元数据和用户数据。

   # echo $(curl -s http://169.254.169.254/latest/meta-data/instance-id)

   例如：

   [root@ip-10-0-0-48 ~]# echo $(curl -s http://169.254.169.254/latest/meta-data/instance-id) i-07f1ac63af0ec0ac6

2. 输入以下命令配置隔离设备。使用 pcmk_host_map 命令将 RHEL 主机名映射到实例 ID。使用您之前设置的 AWS 访问密钥和 AWS Secret 访问密钥。

   # pcs stonith \
       create <name> fence_aws access_key=access-key secret_key=<secret-access-key> \
       region=<region> pcmk_host_map="rhel-hostname-1:Instance-ID-1;rhel-hostname-2:Instance-ID-2;rhel-hostname-3:Instance-ID-3" \
       power_timeout=240 pcmk_reboot_timeout=480 pcmk_reboot_retries=4

   Example:

   [root@ip-10-0-0-48 ~]# pcs stonith \
   create clusterfence fence_aws access_key=AKIAI123456MRMJA secret_key=a75EYIG4RVL3hdsdAslK7koQ8dzaDyn5yoIZ/ \
   region=us-east-1 pcmk_host_map="ip-10-0-0-48:i-07f1ac63af0ec0ac6;ip-10-0-0-46:i-063fc5fe93b4167b2;ip-10-0-0-58:i-08bd39eb03a6fd2c7" \
   power_timeout=240 pcmk_reboot_timeout=480 pcmk_reboot_retries=4

3. 要确保即时和完全的隔离，请在所有群集节点上禁用 ACPI Soft-Off。有关禁用 ACPI Soft-Off 的详情，请参考 禁用 ACPI 以用于集成的隔离设备。

备用流程

1. 获取集群的 VPC ID。

   # aws ec2 describe-vpcs --output text --filters "Name=tag:Name,Values=<clustername>-vpc" --query 'Vpcs[*].VpcId'
   vpc-06bc10ac8f6006664

2. 通过使用集群的 VPC ID，获取 VPC 实例。

   $ aws ec2 describe-instances --output text --filters "Name=vpc-id,Values=vpc-06bc10ac8f6006664" --query 'Reservations[*].Instances[*].{Name:Tags[? Key==Name]|[0].Value,Instance:InstanceId}' | grep "\-node[a-c]"
   i-0b02af8927a895137     <clustername>-nodea-vm
   i-0cceb4ba8ab743b69     <clustername>-nodeb-vm
   i-0502291ab38c762a5     <clustername>-nodec-vm

3. 使用获取的实例 ID 来对群集上的每个节点配置隔离。例如，要在集群中的所有节点上配置隔离设备：

   [root@nodea ~]# CLUSTER=<clustername> && pcs stonith create fence${CLUSTER} fence_aws access_key=XXXXXXXXXXXXXXXXXXXX pcmk_host_map=$(for NODE \
   in node{a..c}; do ssh ${NODE} "echo -n \${HOSTNAME}:\$(curl -s http://169.254.169.254/latest/meta-data/instance-id)\;"; done) \
   pcmk_reboot_retries=4 pcmk_reboot_timeout=480 power_timeout=240 region=xx-xxxx-x secret_key=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

   有关创建隔离设备的特定参数的详情，请参考 fence_aws man page 或 配置和管理高可用性集群 指南。

4. 要确保即时和完全的隔离，请在所有群集节点上禁用 ACPI Soft-Off。有关禁用 ACPI Soft-Off 的详情，请参考 禁用 ACPI 以用于集成的隔离设备。

验证

1. 显示节点上配置的隔离设备及其参数：

   [root@nodea ~]# pcs stonith config fence${CLUSTER}
   
   Resource: <clustername> (class=stonith type=fence_aws)
   Attributes: access_key=XXXXXXXXXXXXXXXXXXXX pcmk_host_map=nodea:i-0b02af8927a895137;nodeb:i-0cceb4ba8ab743b69;nodec:i-0502291ab38c762a5;
   pcmk_reboot_retries=4 pcmk_reboot_timeout=480 power_timeout=240 region=xx-xxxx-x secret_key=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   Operations: monitor interval=60s (<clustername>-monitor-interval-60s)

2. 测试其中一个集群节点的隔离代理。

   # pcs stonith fence <awsnodename>

   注意

   这个命令的响应可能需要几分钟时间来显示。如果您监视节点被隔离的活跃终端会话，您会在进入 fence 命令后马上终止终端连接。

   Example:

   [root@ip-10-0-0-48 ~]# pcs stonith fence ip-10-0-0-58
   
   Node: ip-10-0-0-58 fenced

3. 检查状态以验证该节点是否已隔离。

   # pcs status

   例如：

   [root@ip-10-0-0-48 ~]# pcs status
   
   Cluster name: newcluster
   Stack: corosync
   Current DC: ip-10-0-0-46 (version 1.1.18-11.el7-2b07d5c5a9) - partition with quorum
   Last updated: Fri Mar  2 19:55:41 2018
   Last change: Fri Mar  2 19:24:59 2018 by root via cibadmin on ip-10-0-0-46
   
   3 nodes configured
   1 resource configured
   
   Online: [ ip-10-0-0-46 ip-10-0-0-48 ]
   OFFLINE: [ ip-10-0-0-58 ]
   
   Full list of resources:
   clusterfence  (stonith:fence_aws):    Started ip-10-0-0-46
   
   Daemon Status:
   corosync: active/disabled
   pacemaker: active/disabled
   pcsd: active/enabled

4. 启动上一步中隔离的节点。

   # pcs cluster start <awshostname>

5. 检查状态以验证节点已启动。

   # pcs status

   例如：

   [root@ip-10-0-0-48 ~]# pcs status
   
   Cluster name: newcluster
   Stack: corosync
   Current DC: ip-10-0-0-46 (version 1.1.18-11.el7-2b07d5c5a9) - partition with quorum
   Last updated: Fri Mar  2 20:01:31 2018
   Last change: Fri Mar  2 19:24:59 2018 by root via cibadmin on ip-10-0-0-48
   
   3 nodes configured
   1 resource configured
   
   Online: [ ip-10-0-0-46 ip-10-0-0-48 ip-10-0-0-58 ]
   
   Full list of resources:
   
     clusterfence  (stonith:fence_aws):    Started ip-10-0-0-46
   
   Daemon Status:
     corosync: active/disabled
     pacemaker: active/disabled
     pcsd: active/enabled

流程

1. 安装 AWS CLI。具体说明请参阅 安装 AWS CLI。

2. 验证 AWS CLI 是否已正确配置。应该会显示实例 ID 和实例名称。

   Example:

   [root@ip-10-0-0-48 ~]# aws ec2 describe-instances --output text --query 'Reservations[*].Instances[*].[InstanceId,Tags[?Key==Name].Value]'
   i-07f1ac63af0ec0ac6
   ip-10-0-0-48
   i-063fc5fe93b4167b2
   ip-10-0-0-46
   i-08bd39eb03a6fd2c7
   ip-10-0-0-58

流程

1. 使用 AWS 命令 create-volume 创建一个共享块卷。

   $ aws ec2 create-volume --availability-zone <availability_zone> --no-encrypted --size 1024 --volume-type io1 --iops 51200 --multi-attach-enabled

   例如，以下命令在 us-east-1a 可用区域中创建一个卷。

   $ aws ec2 create-volume --availability-zone us-east-1a --no-encrypted --size 1024 --volume-type io1 --iops 51200 --multi-attach-enabled
   
   {
       "AvailabilityZone": "us-east-1a",
       "CreateTime": "2020-08-27T19:16:42.000Z",
       "Encrypted": false,
       "Size": 1024,
       "SnapshotId": "",
       "State": "creating",
       "VolumeId": "vol-042a5652867304f09",
       "Iops": 51200,
       "Tags": [ ],
       "VolumeType": "io1"
   }

   注意

   在下一步中您需要 VolumeId。

2. 对于集群中的每个实例，使用 AWS 命令 attach-volume 附加一个共享块卷。使用您的 <instance_id> 和 <volume_id>。

   $ aws ec2 attach-volume --device /dev/xvdd --instance-id <instance_id> --volume-id <volume_id>

   例如，以下命令将共享块卷 vol-042a5652867304f09 附加到 实例 i-0eb803361c2c887f2。

   $ aws ec2 attach-volume --device /dev/xvdd --instance-id i-0eb803361c2c887f2 --volume-id vol-042a5652867304f09
   
   {
       "AttachTime": "2020-08-27T19:26:16.086Z",
       "Device": "/dev/xvdd",
       "InstanceId": "i-0eb803361c2c887f2",
       "State": "attaching",
       "VolumeId": "vol-042a5652867304f09"
   }

验证

1. 对于集群中的每个实例，使用带有 <ip_address> 的 ssh 命令来验证块设备是否可用。

   # ssh <ip_address> "hostname ; lsblk -d | grep ' 1T '"

   例如，以下命令列出了实例 IP 198.51.100.3 的详细信息，其中包括主机名和块设备。

   # ssh 198.51.100.3 "hostname ; lsblk -d | grep ' 1T '"
   
   nodea
   nvme2n1 259:1    0   1T  0 disk

2. 使用 ssh 命令，验证集群中的每个实例是否都使用相同的共享磁盘。

   # ssh <ip_address> "hostname ; lsblk -d | grep ' 1T ' | awk '{print \$1}' | xargs -i udevadm info --query=all --name=/dev/{} | grep '^E: ID_SERIAL='"

   例如，以下命令列出了 IP 地址为 198.51.100.3 的实例的详细信息，其中包括主机名和共享磁盘卷 ID 。

   # ssh 198.51.100.3 "hostname ; lsblk -d | grep ' 1T ' | awk '{print \$1}' | xargs -i udevadm info --query=all --name=/dev/{} | grep '^E: ID_SERIAL='"
   
   nodea
   E: ID_SERIAL=Amazon Elastic Block Store_vol0fa5342e7aedf09f7

1. 接收器 从数据源（如应用程序和服务）收集遥测数据。
2. 在接收器数据后，它会进入处理阶段，在其中定义一个 处理器 链来转换数据。
3. 导出器 将遥测数据发送到所需的目的地。

流程

1. 在 RHEL 实例上安装 opentelemetry-collector 软件包：

   # dnf install -y opentelemetry-collector

2. 启用并启动服务，将日志从 RHEL 实例传送到 AWS CloudWatch Logs：

   # systemctl enable --now opentelemetry-collector.service

3. 要将 OTel Collector 配置为转发来自 RHEL 实例的 journald 日志，请创建和编辑 /etc/opentelemetry-collector/configs/10-cloudwatch-exporter.yaml 文件：

   ...
   exporters:
     awscloudwatchlogs:
       log_group_name: testing-logs-emf
       log_stream_name: testing-integrations-stream-emf
       raw_log: true
       region: us-east-1
       endpoint: logs.us-east-1.amazonaws.com
       log_retention: 365
       tags:
         sampleKey: sampleValue
   service:
     pipelines:
       logs:
         receivers:
           - journald
         exporters:
           - awscloudwatchlogs
   ...

4. 重启 OTel Collector 服务：

   # systemctl restart opentelemetry-collector.service

5. 从 AWS 控制台为 AWS CloudWatch 代理创建 IAM 角色。具体步骤，请参阅创建 IAM 角色和用户，以用于 CloudWatch 代理。
6. 通过 AWS 控制台将角色附加到 RHEL 实例。具体步骤，请参阅将 IAM 角色附加到实例。
7. 从 AWS 控制台重启 RHEL 实例，以自动启用日志导出。

8. 可选：如果您不再需要导出日志，请停止从 RHEL 实例传输日志：

   # systemctl stop opentelemetry-collector.service

9. 可选：如果您不再需要这个服务，请永久禁用日志传输：

   # systemctl disable opentelemetry-collector.service

先决条件

1. RHEL AMI 在引导设置中启用 uefi-preferred 选项：

   $ aws ec2 describe-images --image-id <ami-099f85fc24d27c2a7> --region <us-east-2> | grep -E '"ImageId"|"Name"|"BootMode"'
   
   "ImageId": "ami-099f85fc24d27c2a7",
   "Name": "RHEL-9.6.0_HVM_GA-20250423-x86_64-0-Hourly2-GP3",
   "BootMode": "uefi-preferred"

2. 您已在 RHEL 实例中安装了以下软件包：

   • awscli2
   • python3
   • openssl
   • efivar
   • keyutils
   • edk2-ovmf
   • python3-virt-firmware

流程

1. 检查 RHEL Marketplace AMI 实例的平台状态：

   $ mokutil --sb-state
   
   SecureBoot disabled
   Platform is in Setup Mode

   设置 模式允许在实例中更新安全引导 UEFI 变量。

2. 创建新的随机通用唯一标识符(UUID)，并将其存储在系统生成的文本文件中：

   $ uuidgen --random > GUID.txt

3. 为平台密钥数据库生成一个新的 PK.key RSA 私钥和自签名 PK.cer X.509 证书：

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout PK.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "/CN=Platform key/" \
   -outform DER -out PK.cer

   openssl 工具通过将输出格式设置为可辨识的编码规则(DER)来为证书生成一个通用名称 平台密钥。

4. 为密钥交换密钥数据库生成新的 KEK.key RSA 私钥和自签名 KEK.cer X.509 证书：

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout KEK.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "CN=Key Exchange Key/" \
   -outform DER -out KEK.cer

5. 生成 custom_db.cer 自定义证书：

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout custom_db.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "/CN=Signature Database key/" \
   --outform DER -out custom_db.cer

6. 下载 Microsoft 公司 UEFI CA 2011 证书：

   $ wget https://go.microsoft.com/fwlink/p/?linkid=321194 --user-agent="Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.103 Safari/537.36" -O MicCorUEFCA2011_2011-06-27.crt

7. 为 x64 位系统下载禁止签名(dbx)更新的 UEFI Revocation List 文件：

   $ wget https://uefi.org/sites/default/files/resources/x64_DBXUpdate.bin

8. 使用 virt-fw-vars 工具生成 UEFI 变量文件：

   $ virt-fw-vars --set-pk "$(< GUID.txt)" PK.cer \
   --add-kek "$(< GUID.txt)" KEK.cer \
   --add-db "$(< GUID.txt)" custom_db.cer \
   --add-db 77fa9abd-0359-4d32-bd60-28f4e78f784b MicCorUEFCA2011_2011-06-27.crt \
   --set-dbx DBXUpdate.bin -i /usr/share/edk2/ovmf/OVMF_VARS.secboot.fd \
   --output VARS

9. 将 UEFI 变量转换为可扩展固件接口(EFI)签名列表(ESL)格式：

   $ python3 /usr/share/doc/python3-virt-firmware/experimental/authfiles.py \
   --input VARS \
   --outdir .
   $ for f in PK KEK db dbx; do tail -c +41 $f.auth > $f.esl; done

   注意

   每个 GUID 都是分配的值，代表一个 EFI 参数

   • 8be4df61-93ca-11d2-aa0d-00e098032b8c: EFI_GLOBAL_VARIABLE_GUID
   • d719b2cb-3d3a-4596-a3bc-dad00e67656f: EFI_IMAGE_SECURITY_DATABASE_GUID

   EFI_GLOBAL_VARIABLE_GUID 参数维护可引导设备和引导管理器的设置，而 EFI_IMAGE_SECURITY_DATABASE_GUID 参数代表安全数据库，用于安全引导变量dbx，以及所需密钥和证书的存储。

10. 将数据库证书传送到目标实例，使用 efivar 工具来管理 UEFI 环境变量。

    1. 要转让 PK.esl，请输入：

       # efivar -w -n 8be4df61-93ca-11d2-aa0d-00e098032b8c-PK -f PK.esl

    2. 要传输 KEK.esl，请输入：

       # efivar -w -n 8be4df61-93ca-11d2-aa0d-00e098032b8c-KEK -f KEK.esl

    3. 要传输 db.esl，请输入：

       # efivar -w -n d719b2cb-3d3a-4596-a3bc-dad00e67656f-db -f db.esl

    4. 要传输 x64 架构的 dbx.esl UEFI 撤销列表文件，请输入：

       # efivar -w -n d719b2cb-3d3a-4596-a3bc-dad00e67656f-dbx -f dbx.esl

11. 从 AWS 控制台重启实例。

验证

1. 验证是否启用了安全引导：

   $ mokutil --sb-state
   
   SecureBoot enabled

2. 使用 keyctl 工具验证自定义证书的内核密钥环：

   $ sudo keyctl list %:.platform
   
   4 keys in keyring:
   907254483: ---lswrv     0     0 asymmetric: Signature Database key: f064979641c24e1b935e402bdbc3d5c4672a1acc
   ...

先决条件

1. 您已创建了并上传 AWS AMI 镜像。详情请参阅 创建和上传 AWS AMI。

2. 您已安装了以下软件包：

   • awscli2
   • python3
   • openssl
   • efivar
   • keyutils
   • python3-virt-firmware

流程

1. 创建新的随机通用唯一标识符(UUID)，并将其存储在系统生成的文本文件中：

   $ uuidgen --random > GUID.txt

2. 为平台密钥数据库生成一个新的 RSA 私钥 PK.key 和自签名 X.509 证书 PK.cer ：

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout PK.key \
   -new -x509 -sha256 \
   -days 3650 \
   -outform DER -out PK.cer

   openssl 工具通过将输出格式设置为可辨识的编码规则(DER)来为证书生成一个通用名称平台密钥。

3. 为密钥交换密钥数据库生成一个新的 RSA 私钥 KEK.key 和自签名 X.509 证书 KEK.cer ：

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout KEK.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "/CN=Key Exchange Key/" \
   -outform DER -out KEK.cer

4. 生成自定义证书 custom_db.cer ：

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout custom_db.key \
   -new -x509 -sha256 \
   -days 3650 -subj "/CN=Signature Database key/" \
   --outform DER -out custom_db.cer

5. 为 64 位系统下载禁止签名(dbx)更新的 UEFI Revocation List 文件：

   $ wget https://uefi.org/sites/default/files/resources/x64_DBXUpdate.bin

6. 使用 virt-fw-vars 工具从密钥、数据库证书和 UEFI 变量存储生成 aws_blob.bin 二进制文件：

   $ virt-fw-vars --output-aws aws_blob.bin \
   --set-pk "$(< GUID.txt)" PK.cer \
   --add-kek "$(< GUID.txt)" KEK.cer \
   --add-db "$(< GUID.txt)" custom_db.cer \
   --add-db 77fa9abd-0359-4d32-bd60-28f4e78f784b MicCorUEFCA2011_2011-06-27.crt \
   --set-dbx x64_DBXUpdate.bin

   自定义 blob 由以下几项组成：

   • PK.cer 带有自签名 X.509 证书
   • KEK.cer 和 custom_db.cer 带有所有者组 GUID 和 Privacy Enhanced Mail (pem)格式
   • 从排除签名的数据库下载的 x64_DBXUpdate.bin 列表(dbx)。
   • 77fa9abd-0359-4d32-bd60-28f4e78f784b UUID 适用于 MicCorUEFCA2011_2011-06-27.crt Microsoft Corporation UEFI 认证机构 2011。

7. 使用 awscli2 工具使用所需的安全引导变量从磁盘快照中创建并注册 AMI：

   $ aws ec2 register-image \
   --name rhel9-example-ami \
   --architecture x86_64 \
   --virtualization-type hvm \
   --root-device-name "/dev/sda1" \
   --block-device-mappings "{\"DeviceName\": \"/dev/sda1\",\"Ebs\": {\"SnapshotId\": \"snap-example-id\"}}" \
   --ena-support --boot-mode uefi \
   --region eu-central-1 \
   --uefi-data $(cat aws_blob.bin)

8. 从 AWS 控制台重启实例。

验证

1. 验证是否启用了安全引导：

   $ mokutil --sb-state
   SecureBoot enabled

2. 使用 keyctl 工具验证自定义证书的内核密钥环：

   $ sudo keyctl list %:.platform
   
   4 keys in keyring:
   907254483: ---lswrv     0     0 asymmetric: Signature Database key: f064979641c24e1b935e402bdbc3d5c4672a1acc
   ...