13.9. セルフテストの実行

Certificate System には、サーバーのセルフテストを可能にする機能が追加されました。セルフテストは起動時に実行され、オンデマンドで実行することもできます。起動セルフテストはサーバーの起動時に実行され、重要なセルフテストが失敗した場合にサーバーが起動しないようにします。オンデマンドのセルフテストは、サブシステムコンソールのセルフテストボタンをクリックして実行されます。

13.9.1. セルフテストの実行

CA、OCSP、KRA、または TKS サブシステムのオンデマンドのセルフテストは、コンソールから実行します。TPS システムのオンデマンドのセルフテストは、Web サービスページから実行されます。

13.9.1.1. コンソールからのセルフテストの実行

  1. コンソールにログインします。
    pkiconsole https://server.example.com:admin_port/subsystem_type
  2. 左側のペインの上部にあるサブシステム名を選択します。
  3. Self Tests タブを選択します。
  4. Run をクリックします。
    サブシステムに設定されたセルフテストが実行されます。重大なセルフテストに失敗すると、サーバーが停止します。
  5. On-Demand Self Tests Results ウインドウが表示され、セルフテストの実行にログイベントが表示されます。

13.9.1.2. TPS セルフテストの実行

コマンドラインインターフェイス (CLI) から TPS のセルフテストを実行するには、以下を実行します。
  • pki tps-selftest-find
  • pki tps-selftest-run
  • pki tps-selftest-show

13.9.2. セルフテストロギング

別のログ (selftest.log) が、起動用セルフテストとオンデマンドセルフテストの両方のレポートが含まれるログディレクトリーに追加されます。このログは、CS.cfg ファイルのログの設定を変更することで設定されます。詳細は、『Red Hat Certificate System 計画、インストール、およびデプロイメントのガイド』のセルフテスト設定の修正のセクションを参照してください。

13.9.3. POSIX システム ACL の設定

POSIX システムアクセス制御ルールは、システムユーザーのパーミッションに対してより細かい粒度を提供します。これらの ACL は、インスタンスが完全に設定された後、インスタンスごとに設定する必要があります。ACL の詳細は、Red Hat Enterprise Linux ストレージ管理ガイドの該当する章を参照してください。

13.9.3.1. CA、KRA、OCSP、TKS、および TPS の POSIX システム ACL の設定

ext4 や XFS などの最新のファイルシステムはデフォルトで ACL を有効にし、最新の Red Hat Enterprise Linux インストールで使用されます。
  1. インスタンスを停止します。
    systemctl stop pki-tomcatd@instance_name.service
  2. インスタンスのディレクトリーおよびファイルに対する読み取り可能性を pkiadmin グループに設定します。
    # setfacl -R -L -m g:pkiadmin:r,d:g:pkiadmin:r /var/lib/pki/instance_name
  3. すべてのディレクトリーに実行 (x) ACL パーミッションを適用します。
    # find -L /var/lib/pki/instance_name -type d -exec setfacl -L -n -m g:pkiadmin:rx,d:g:pkiadmin:rx {} \;
  4. インスタンスの signedAudit/ ディレクトリーおよびその関連ファイルから、pkiadmin グループのグループの読み取り性を削除します。
    # setfacl -R -L -x g:pkiadmin,d:g:pkiadmin /var/lib/pki/instance_name/logs/signedAudit
  5. インスタンスの signedAudit/ ディレクトリーとその関連ファイルの pkiaudit グループのグループの読み取り性を設定します。
    # setfacl -R -L -m g:pkiaudit:r,d:g:pkiaudit:r /var/lib/pki/instance_name/logs/signedAudit
  6. signedAudit/ ディレクトリーとそのすべてのサブディレクトリーで実行 (x) ACL パーミッションを再適用します。
    # find -L /var/lib/pki/instance_name/logs/signedAudit -type d -exec setfacl -L -n -m g:pkiaudit:rx,d:g:pkiaudit:rx {} \;
  7. インスタンスを起動します。
    systemctl start pki-tomcatd@instance_name.service
  8. 別のログ (selftest.log) が、起動用セルフテストとオンデマンドセルフテストの両方のレポートが含まれるログディレクトリーに追加されます。
    # getfacl /var/lib/pki/instance_name /var/lib/pki/instance_name/subsystem_type/logs/signedAudit/
    getfacl: Removing leading '/' from absolute path names
    # file: var/lib/pki/instance_name
    # owner: pkiuser
    # group: pkiuser
    user::rwx
    group::rwx
    group:pkiadmin:r-x
    mask::rwx
    other::r-x
    default:user::rwx
    default:group::rwx
    default:group:pkiadmin:r-x
    default:mask::rwx
    default:other::r-x
    
    # file: var/lib/pki/instance_name/logs/signedAudit
    # owner: pkiuser
    # group: pkiaudit
    user::rwx
    group::rwx
    group:pkiaudit:r-x
    mask::rwx
    other::---
    default:user::rwx
    default:group::rwx
    default:group:pkiaudit:r-x
    default:mask::rwx
    default:other::---