9.2. ロギングシステムロールの使用

手順

1. ~/vpn-playbook.yml などの Playbook ファイルを次の内容で作成します。

   ---
   - name: Deploying files input and forwards output with certs
     hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.logging
     vars:
       logging_certificates:
         - name: logging_cert
           dns: ['localhost', 'www.example.com']
           ca: ipa
       logging_pki_files:
         - ca_cert: /local/path/to/ca_cert.pem
           cert: /local/path/to/logging_cert.pem
           private_key: /local/path/to/logging_cert.pem
       logging_inputs:
         - name: input_name
           type: files
           input_log_path: /var/log/containers/*.log
       logging_outputs:
         - name: output_name
           type: forwards
           target: your_target_host
           tcp_port: 514
           tls: true
           pki_authmode: x509/name
           permitted_server: 'server.example.com'
       logging_flows:
         - name: flow_name
           inputs: [input_name]
           outputs: [output_name]

   Playbook は以下のパラメーターを使用します。

   logging_certificates

   このパラメーターの値は、certificate ロールの certificate_requests に渡され、秘密鍵と証明書の作成に使用されます。

   logging_pki_files

   このパラメーターを使用すると、TLS に使用する CA、証明書、および鍵ファイルを検索するためにロギングで使用するパスとその他の設定 (サブパラメーター ca_cert、ca_cert_src、cert、cert_src、private_key、private_key_src、および tls で指定) を設定できます。

   注記

   logging_certificates を使用してターゲットノードにファイルを作成する場合は、ca_cert_src、cert_src、および private_key_src を使用しないでください。これらは、logging_certificates によって作成されていないファイルのコピーに使用されます。

   ca_cert

   ターゲットノード上の CA 証明書ファイルへのパスを表します。デフォルトのパスは /etc/pki/tls/certs/ca.pem で、ファイル名はユーザーが設定します。

   cert

   ターゲットノード上の証明書ファイルへのパスを表します。デフォルトのパスは /etc/pki/tls/certs/server-cert.pem で、ファイル名はユーザーが設定します。

   private_key

   ターゲットノード上の秘密鍵ファイルへのパスを表します。デフォルトのパスは /etc/pki/tls/private/server-key.pem で、ファイル名はユーザーが設定します。

   ca_cert_src

   ターゲットホストの ca_cert で指定された場所にコピーされる、コントロールノード上の CA 証明書ファイルへのパスを表します。logging_certificates を使用する場合は、これを使用しないでください。

   cert_src

   ターゲットホストの cert で指定された場所にコピーされる、コントロールノード上の証明書ファイルへのパスを表します。logging_certificates を使用する場合は、これを使用しないでください。

   private_key_src

   ターゲットホストの private_key で指定された場所にコピーされる、コントロールノード上の秘密鍵ファイルへのパスを表します。logging_certificates を使用する場合は、これを使用しないでください。

   tls

   このパラメーターを true に設定すると、ネットワーク上でログがセキュアに転送されます。セキュアなラッパーが必要ない場合は、tls: false に設定します。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. ~/vpn-playbook.yml などの Playbook ファイルを次の内容で作成します。

   ---
   - name: Deploying remote input and remote_files output with certs
     hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.logging
     vars:
       logging_certificates:
         - name: logging_cert
           dns: ['localhost', 'www.example.com']
           ca: ipa
       logging_pki_files:
         - ca_cert: /local/path/to/ca_cert.pem
           cert: /local/path/to/logging_cert.pem
           private_key: /local/path/to/logging_cert.pem
       logging_inputs:
         - name: input_name
           type: remote
           tcp_ports: 514
           tls: true
           permitted_clients: ['clients.example.com']
       logging_outputs:
         - name: output_name
           type: remote_files
           remote_log_path: /var/log/remote/%FROMHOST%/%PROGRAMNAME:::secpath-replace%.log
           async_writing: true
           client_count: 20
           io_buffer_size: 8192
       logging_flows:
         - name: flow_name
           inputs: [input_name]
           outputs: [output_name]

   Playbook は以下のパラメーターを使用します。

   logging_certificates

   このパラメーターの値は、certificate ロールの certificate_requests に渡され、秘密鍵と証明書の作成に使用されます。

   logging_pki_files

   このパラメーターを使用すると、TLS に使用する CA、証明書、および鍵ファイルを検索するためにロギングで使用するパスとその他の設定 (サブパラメーター ca_cert、ca_cert_src、cert、cert_src、private_key、private_key_src、および tls で指定) を設定できます。

   注記

   logging_certificates を使用してターゲットノードにファイルを作成する場合は、ca_cert_src、cert_src、および private_key_src を使用しないでください。これらは、logging_certificates によって作成されていないファイルのコピーに使用されます。

   ca_cert

   ターゲットノード上の CA 証明書ファイルへのパスを表します。デフォルトのパスは /etc/pki/tls/certs/ca.pem で、ファイル名はユーザーが設定します。

   cert

   ターゲットノード上の証明書ファイルへのパスを表します。デフォルトのパスは /etc/pki/tls/certs/server-cert.pem で、ファイル名はユーザーが設定します。

   private_key

   ターゲットノード上の秘密鍵ファイルへのパスを表します。デフォルトのパスは /etc/pki/tls/private/server-key.pem で、ファイル名はユーザーが設定します。

   ca_cert_src

   ターゲットホストの ca_cert で指定された場所にコピーされる、コントロールノード上の CA 証明書ファイルへのパスを表します。logging_certificates を使用する場合は、これを使用しないでください。

   cert_src

   ターゲットホストの cert で指定された場所にコピーされる、コントロールノード上の証明書ファイルへのパスを表します。logging_certificates を使用する場合は、これを使用しないでください。

   private_key_src

   ターゲットホストの private_key で指定された場所にコピーされる、コントロールノード上の秘密鍵ファイルへのパスを表します。logging_certificates を使用する場合は、これを使用しないでください。

   tls

   このパラメーターを true に設定すると、ネットワーク上でログがセキュアに転送されます。セキュアなラッパーが必要ない場合は、tls: false に設定します。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. ~/vpn-playbook.yml などの Playbook ファイルを次の内容で作成します。

   ---
   - name: Deploying basic input and relp output
     hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.logging
     vars:
       logging_inputs:
         - name: basic_input
           type: basics
       logging_outputs:
         - name: relp_client
           type: relp
           target: logging.server.com
           port: 20514
           tls: true
           ca_cert: /etc/pki/tls/certs/ca.pem
           cert: /etc/pki/tls/certs/client-cert.pem
           private_key: /etc/pki/tls/private/client-key.pem
           pki_authmode: name
           permitted_servers:
             - '*.server.example.com'
       logging_flows:
         - name: example_flow
           inputs: [basic_input]
           outputs: [relp_client]

   Playbook では次の設定を使用します。

   target

   リモートロギングシステムが稼働しているホスト名を指定する必須パラメーターです。

   port

   リモートロギングシステムがリッスンしているポート番号です。

   tls

   ネットワーク上でログをセキュアに転送します。セキュアなラッパーが必要ない場合は、tls 変数を false に設定します。デフォルトでは tls パラメーターは true に設定されますが、RELP を使用する場合には鍵/証明書およびトリプレット {ca_cert、cert、private_key} や {ca_cert_src、cert_src、private_key_src} が必要です。

   • {ca_cert_src、cert_src、private_key_src} のトリプレットを設定すると、デフォルトの場所 (/etc/pki/tls/certs と /etc/pki/tls/private) が、コントロールノードからファイルを転送するため、管理対象ノードの宛先として使用されます。この場合、ファイル名はトリプレットの元の名前と同じです。
   • {ca_cert、cert、private_key} トリプレットが設定されている場合は、ファイルはロギング設定の前にデフォルトのパスに配置されている必要があります。
   • トリプレットの両方が設定されている場合には、ファイルはコントロールノードのローカルのパスから管理対象ノードの特定のパスへ転送されます。

   ca_cert

   CA 証明書へのパスを表します。デフォルトのパスは /etc/pki/tls/certs/ca.pem で、ファイル名はユーザーが設定します。

   cert

   証明書へのパスを表します。デフォルトのパスは /etc/pki/tls/certs/server-cert.pem で、ファイル名はユーザーが設定します。

   private_key

   秘密鍵へのパスを表します。デフォルトのパスは /etc/pki/tls/private/server-key.pem で、ファイル名はユーザーが設定します。

   ca_cert_src

   ローカルの CA 証明書ファイルパスを表します。これはターゲットホストにコピーされます。ca_cert を指定している場合は、その場所にコピーされます。

   cert_src

   ローカルの証明書ファイルパスを表します。これはターゲットホストにコピーされます。cert を指定している場合には、その証明書が場所にコピーされます。

   private_key_src

   ローカルキーファイルのパスを表します。これはターゲットホストにコピーされます。private_key を指定している場合は、その場所にコピーされます。

   pki_authmode

   name または fingerprint の認証モードを使用できます。

   permitted_servers

   ロギングクライアントが、TLS 経由での接続およびログ送信を許可するサーバーのリスト。

   inputs

   ロギング入力ディクショナリーのリスト。

   outputs

   ロギング出力ディクショナリーのリスト。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. ~/vpn-playbook.yml などの Playbook ファイルを次の内容で作成します。

   ---
   - name: Deploying remote input and remote_files output
     hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.logging
     vars:
       logging_inputs:
         - name: relp_server
           type: relp
           port: 20514
           tls: true
           ca_cert: /etc/pki/tls/certs/ca.pem
           cert: /etc/pki/tls/certs/server-cert.pem
           private_key: /etc/pki/tls/private/server-key.pem
           pki_authmode: name
           permitted_clients:
             - '*example.client.com'
       logging_outputs:
         - name: remote_files_output
           type: remote_files
       logging_flows:
         - name: example_flow
           inputs: relp_server
           outputs: remote_files_output

   Playbook は以下の設定を使用します。

   port

   リモートロギングシステムがリッスンしているポート番号です。

   tls

   ネットワーク上でログをセキュアに転送します。セキュアなラッパーが必要ない場合は、tls 変数を false に設定します。デフォルトでは tls パラメーターは true に設定されますが、RELP を使用する場合には鍵/証明書およびトリプレット {ca_cert、cert、private_key} や {ca_cert_src、cert_src、private_key_src} が必要です。

   • {ca_cert_src、cert_src、private_key_src} のトリプレットを設定すると、デフォルトの場所 (/etc/pki/tls/certs と /etc/pki/tls/private) が、コントロールノードからファイルを転送するため、管理対象ノードの宛先として使用されます。この場合、ファイル名はトリプレットの元の名前と同じです。
   • {ca_cert、cert、private_key} トリプレットが設定されている場合は、ファイルはロギング設定の前にデフォルトのパスに配置されている必要があります。
   • トリプレットの両方が設定されている場合には、ファイルはコントロールノードのローカルのパスから管理対象ノードの特定のパスへ転送されます。

   ca_cert

   CA 証明書へのパスを表します。デフォルトのパスは /etc/pki/tls/certs/ca.pem で、ファイル名はユーザーが設定します。

   cert

   証明書へのパスを表します。デフォルトのパスは /etc/pki/tls/certs/server-cert.pem で、ファイル名はユーザーが設定します。

   private_key

   秘密鍵へのパスを表します。デフォルトのパスは /etc/pki/tls/private/server-key.pem で、ファイル名はユーザーが設定します。

   ca_cert_src

   ローカルの CA 証明書ファイルパスを表します。これはターゲットホストにコピーされます。ca_cert を指定している場合は、その場所にコピーされます。

   cert_src

   ローカルの証明書ファイルパスを表します。これはターゲットホストにコピーされます。cert を指定している場合には、その証明書が場所にコピーされます。

   private_key_src

   ローカルキーファイルのパスを表します。これはターゲットホストにコピーされます。private_key を指定している場合は、その場所にコピーされます。

   pki_authmode

   name または fingerprint の認証モードを使用できます。

   permitted_clients

   ロギングサーバーが TLS 経由での接続およびログ送信を許可するクライアントのリスト。

   inputs

   ロギング入力ディクショナリーのリスト。

   outputs

   ロギング出力ディクショナリーのリスト。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml