手順

1. Red Hat Subscription Manager を使用して、システムが Red Hat Content Delivery Network (CDN) または Red Hat Satellite 6.5 以降に適切に登録されていることを確認します。

   重要

   システムが Satellite Server に登録されている場合は、Satellite が以下の条件を満たしていることを確認してください。

   1. Satellite には、RHEL 8 リポジトリーをインポートしたサブスクリプションマニフェストがあります。詳細は、Red Hat Satellite の特定のバージョン (バージョン 6.7 など) の『コンテンツ管理ガイド』の「サブスクリプションの管理」を参照してください。

   2. 以下のリポジトリーが有効になり、最新の更新と同期され、Satellite で公開されます。

      • Red Hat Enterprise Linux 7 Server RPMs x86_64 7 または Red Hat Enterprise Linux 7 Server RPMs x86_64 7.9
      • Red Hat Enterprise Linux 7 Server - Extras (RPM)
      • Red Hat Enterprise Linux 8 for x86_64 - AppStream RPMs x86_64 8.2

      • Red Hat Enterprise Linux 8 for x86_64 - BaseOS RPMs x86_64 8.2

        詳細は、Red Hat Satellite の特定バージョン (バージョン 6.7 など) の『コンテンツ管理ガイド』の「Red Hat コンテンツのインポート」の章を参照してください。

2. Red Hat Enterprise Linux Server サーバーのサブスクリプション が割り当てられていることを確認します。

   # subscription-manager list --installed
   +-------------------------------------------+
       	  Installed Product Status
   +-------------------------------------------+
   Product Name:  	Red Hat Enterprise Linux Server
   Product ID:     69
   Version:        7.9
   Arch:           x86_64
   Status:         Subscribed

   製品名に Server が表示され、ステータスとして サブスクライブされ ているはずです。

3. 適切なリポジトリーが有効になっていることを確認します。次のコマンドは、64 ビット Intel アーキテクチャーのリポジトリーの一覧を示します。他のアーキテクチャーについては、付録A RHEL 7 リポジトリーを参照してください。

   1. Base リポジトリーを有効にします。

      # subscription-manager repos --enable rhel-7-server-rpms

   2. Leapp およびその依存関係が利用可能な Extras リポジトリーを有効にします。

      # subscription-manager repos --enable rhel-7-server-extras-rpms

      注記

      Optional リポジトリーまたは Supplementary リポジトリーも有効にすることができます。付録A RHEL 7 リポジトリーの一覧をご覧ください。この場合、Leapp は、RHEL 8 CodeReady Linux Builder リポジトリーまたは RHEL 8 Supplementary リポジトリーをそれぞれ有効にします。

4. 最新の RHEL 7 コンテンツを利用するように Red Hat Subscription Manager を設定します。

   # subscription-manager release --unset

5. 必要に応じて、カスタムリポジトリーを使用する場合は、「Customizing your Red Hat Enterprise Linux in-place upgrade」の指示に従って設定します。

6. yum-plugin-versionlock プラグインを使用して、パッケージを特定バージョンにロックする場合は、次のコマンドを実行してロックを解除します。

   # yum versionlock clear

   詳細は「指定したバージョンのパッケージ (または指定したバージョン以前のパッケージ) だけをインストールまたはアップグレードできるように yum の使用を制限する方法」を参照してください。

7. システムロケールが en_US.UTF-8 に設定されていることを確認します。

   $ cat /etc/locale.conf

   ロケールが異なる場合は、「RHEL7 のシステムロケールを変更する」を参照してください。

8. すべてのパッケージを最新の RHEL 7 バージョンに更新します。

   # yum update

9. システムを再起動します。

   # reboot

10. Leapp ユーティリティーをインストールします。

    # yum install leapp leapp-repository

    現在、leapp パッケージおよび leapp-repository パッケージの両方に、バージョン0.11.0 以降が必要になります。

11. ナレッジベースの記事「RHEL 7 から RHEL 8 へのインプレースアップグレード時に Leapp ユーティリティーで必要なデータ」に添付されている追加の必須データファイル (RPM パッケージの変更および RPM リポジトリーマッピング) をダウンロードして、/etc/leapp/files/ ディレクトリーに保存します。これは、アップグレードを成功させるために必要です。現在、leapp-data11.tar.gz 以降のアーカイブからのデータファイルが必要になることに注意してください。

12. GRUB がデフォルトの場所 (/boot) 以外にインストールされている場合は、以下のように各環境変数をエクスポートします。

    # export LEAPP_GRUB_DEVICE="/path_to_device"

13. (Salt、Chef、Puppet、Ansible などの) 設定管理を無効にしているか、元の RHEL7 システムを復元しないように適切に再設定していることを確認します。
14. システムで、カーネル (eth) が使用する接頭辞に基づいた名前で、複数の Network Interface Card (NIC) が使用されていないことを確認します。RHEL 8 へのインプレースアップグレードの前に別の命名スキームに移行する方法は「RHEL 7 でカーネルの NIC 名を使用している場合に RHEL 8 へのインプレースアップグレードを実行する方法 」を参照してください。
15. システム全体のバックアップまたは仮想マシンのスナップショットが存在することを確認してください。これにより、ご利用の環境で、以下の標準の災害復旧手順に従って、システムをアップグレード前と同じ状態に戻せるようになります。たとえば、ReaR (Relax-and-Recover) ユーティリティーを使用できます。詳細は、ReaR のドキュメント および「Relax and Recover(ReaR) の概要」を参照してください。または、LVM スナップショット または RAID 分割 を使用することもできます。仮想マシンをアップグレードする場合は、仮想マシン全体のスナップショットを作成できます。

1. 生成された leapp-report.txt ファイルのアップグレード前レポートを確認し、コマンドラインインターフェースを使用して、報告された問題を手動で解決します。
2. Web コンソールを使用してレポートを確認し、利用可能な場合は自動修復を適用し、推奨される修復ヒントを使用して残りの問題を修正します。

手順

1. RHEL 7 システムで、アップグレード前のフェーズを別途実行します。

   # leapp preupgrade

   注記

   アップグレードに /etc/yum.repos.d/ ディレクトリーの カスタムリポジトリー を使用する場合は、以下のように選択したリポジトリーを有効にします。

   # leapp preupgrade --enablerepo repository_id1 --enablerepo repository_id2 ...

   RHSM を使用しないアップグレード を行う場合は、--no-rhsm オプションを追加します。

2. /var/log/leapp/leapp-report.txt ファイルのレポートを調べて、インプレースアップグレードに進む前に、報告されたすべての問題を手動で解決します。

手順

1. cockpit-leapp プラグインをインストールします。

   # yum install cockpit-leapp

2. ブラウザーで Web コンソールに移動し、root または十分な権限を持つユーザーでログインします。Web コンソールの詳細は、「RHEL 7 Web コンソールを使用したシステムの管理」を参照してください。

3. RHEL 7 システムで、コマンドラインインターフェースまたは Web コンソールの端末からアップグレード前のフェーズを実行します。

   # leapp preupgrade

   注記

   アップグレードに /etc/yum.repos.d/ ディレクトリーの カスタムリポジトリー を使用する場合は、以下のように選択したリポジトリーを有効にします。

   # leapp preupgrade --enablerepo repository_id1 --enablerepo repository_id2 ...

   RHSM を使用しないアップグレード を行う場合は、--no-rhsm オプションを追加します。

4. Web コンソールで、左側のメニューから インプレースアップグレードレポート を選択します。

   図1.1 Web コンソールのインプレースアップグレードレポート

   

   レポートの表には、見つかった問題の概要、リスク評価、および修復 (利用可能な場合) が記載されています。

   • リスク要因:

     • 高 - システム状態が悪化する可能性が非常に高い
     • 中 - システムとアプリケーションの両方に影響を与える可能性がある
     • 低 - システムに影響はないが、アプリケーションに影響を与える可能性がある
   • インヒビター - アップグレードプロセスを抑制 (ハードストップ) する。抑制しないと、システムが起動できず、アクセスできず、または機能しなくなる可能性があります。

   • 修復 - 報告された問題に対する実行可能な解決策

     • 修復コマンド - Web コンソールから直接実行可能
     • 修復のヒント - 問題を手動で解決する方法の手順

5. レポートの内容を調べます。ヘッダーをクリックして、テーブルを並べ替えることができます。詳細ペインを開くには、選択した行をクリックします。

   図1.2 詳細ペイン

   

   詳細ペインには、次の追加情報が表示されます。

   • 問題の概要と、問題を詳細に説明するナレッジベース記事へのリンク
   • 修復 - 自動修復 (利用可能な場合) を実行またはスケジュールし、適用時にその結果を確認できます。
   • 影響を受けるシステムリソース: パッケージ、リポジトリー、ファイル (構成、データ)、ディスク、ボリューム

6. 必要に応じて、結果をフィルタリングします。レポートの左上隅にある フィルター ボタンをクリックし、設定に基づいてフィルターを適用します。フィルターカテゴリーは、相互に関連して適用されます。

   図1.3 フィルター

   

7. 自動修復を適用する問題を選択します。2 つのオプションがあります。

   1. 詳細ペインの Add to Remediation Plan ボタンをクリックして、個々の項目を選択します。また、詳細ペインで Run Remediation をクリックして、個々の修正を直接実行できます。
   2. レポートの右上隅にある Add all remediations to plan ボタンをクリックして、修復が利用可能なすべての項目を選択します。

8. レポートの右上隅にある Remediation plan リンクをクリックして、修復計画を開きます。修復計画には、実行した修復、または予定されている修復の一覧が示されます。

   図1.4 修復計画

   

9. Execute Remediation Plan をクリックして、予定されている修復をすべて処理します。修復エントリーごとに次の情報が表示されます。

   • 修復の一意の ID
   • コマンドの終了ステータス
   • 実行された修復の経過時間
   • 標準出力
   • 標準エラー
10. 選択した修復を実行した後に、leapp preupgrade コマンドを使用してアップグレード前のレポートを再生成し、新しいレポートを調べてから、必要に応じて追加の修復手順を実行します。

手順

1. RHEL 7 システムで、アップグレードプロセスを開始します。

   # leapp upgrade

   注記

   アップグレードに /etc/yum.repos.d/ ディレクトリーの カスタムリポジトリー を使用する場合は、以下のように選択したリポジトリーを有効にします。

   # leapp upgrade --enablerepo repository_id1 --enablerepo repository_id2 ...

   RHSM を使用しないアップグレード を行う場合は、--no-rhsm オプションを追加します。

   アップグレードプロセスの開始時、Leapp は、「アップグレード前のレポートの確認」で説明されているアップグレード前のフェーズを実行します。

   システムをアップグレードできる場合は、Leapp が必要なデータをダウンロードし、アップグレード用の RPM トランザクションを作成します。

   システムで、信頼できるアップグレードの設定要因が満たされていない場合は、Leapp がアップグレードプロセスを中止し、問題を説明する記録と、推奨される解決策を /var/log/leapp/leapp-report.txt ファイルに出力します。詳細は 3章トラブルシューティング を参照してください。

2. システムを手動で再起動します。

   # reboot

   このフェーズでは、システムが RHEL 8 ベースの初期 RAM ディスクイメージ initramfs で起動します。Leapp は、すべてのパッケージをアップグレードして、自動的に RHEL 8 システムを再起動します。

   または、--reboot オプションを指定して leapp upgrade コマンドを実行し、この手動の手順を省略することもできます。

   失敗した場合は、3章トラブルシューティング の説明に従ってログを調べてください。

3. RHEL 8 システムにログインし、「RHEL 8 システムのアップグレード後の状態の確認」の説明に従ってその状態を確認します。
4. セキュリティポリシーを再評価して再適用します。具体的には、SELinux モードを Enforcing に変更します。詳細は2章セキュリティーポリシーの適用を参照してください。

手順

1. ausearch ユーティリティーなどを使用して、SELinux 拒否がないことを確認します。

   # ausearch -m AVC,USER_AVC -ts boot

   前述の手順では、最も一般的なシナリオのみが扱われることに注意してください。可能な SELinux 拒否をすべて確認するには、完全な手順を説明する『SELinux の使用』の「SELinux 拒否の特定」セクションを参照してください。

2. 任意のテキストエディターで /etc/selinux/config ファイルを開きます。以下に例を示します。

   # vi /etc/selinux/config

3. SELINUX=enforcing オプションを設定します。

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=enforcing
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

4. 変更を保存して、システムを再起動します。

   # reboot

検証手順

1. システムの再起動後に、getenforce コマンドが Enforcing を返すことを確認します。

   $ getenforce
   Enforcing

手順

1. oscap コマンドに --remediate オプションを指定して使用します。

   # oscap xccdf eval --profile pci-dss --remediate /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml

   前述の例の pci-dss は、シナリオに必要なプロファイルに置き換えることができます。

2. システムを再起動します。

   # reboot

検証手順

1. そのシステムが PCI-DSS プロファイルにどのように準拠しているかを評価し、結果を pcidss_report.html ファイルに保存します。

   $ oscap xccdf eval --report pcidss_report.html --profile pci-dss /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml