手順

1. PostgreSQL をインストールするには、以下のコマンドを入力します。

   # dnf install postgresql-server postgresql-evr

2. PostgreSQL を初期化するには、以下のコマンドを入力します。

   # postgresql-setup initdb

3. /var/lib/pgsql/data/postgresql.conf ファイルで以下を行います。

   # vi /var/lib/pgsql/data/postgresql.conf

4. # を削除して、着信接続をリッスンするようにします。

   listen_addresses = '*'

5. /var/lib/pgsql/data/pg_hba.conf ファイルを編集します。

   # vi /var/lib/pgsql/data/pg_hba.conf

6. 以下の行をファイルに追加します。

     host  all   all   Satellite_ip/24   md5

7. PostgreSQL サービスを起動し、有効にするには、以下のコマンドを実行します。

   # systemctl start postgresql
   # systemctl enable postgresql

8. 外部 PostgreSQL サーバーで postgresql ポートを開きます。

   # firewall-cmd --add-service=postgresql
   # firewall-cmd --runtime-to-permanent

9. postgres ユーザーに切り替え、PostgreSQL クライアントを起動します。

   $ su - postgres -c psql

10. 3 つのデータベースと専用のロールを作成します。1 つは Satellite 用、1 つは Candlepin 用、もう 1 つは Pulp 用です。

    CREATE USER "foreman" WITH PASSWORD 'Foreman_Password';
    CREATE USER "candlepin" WITH PASSWORD 'Candlepin_Password';
    CREATE USER "pulp" WITH PASSWORD 'Pulpcore_Password';
    CREATE DATABASE foreman OWNER foreman;
    CREATE DATABASE candlepin OWNER candlepin;
    CREATE DATABASE pulpcore OWNER pulp;

11. postgres ユーザーをログアウトします。

    # \q

12. Satellite Server から、データベースにアクセスできることをテストします。接続に成功した場合には、コマンドは 1 を返します。

    # PGPASSWORD='Foreman_Password' psql -h postgres.example.com  -p 5432 -U foreman -d foreman -c "SELECT 1 as ping"
    # PGPASSWORD='Candlepin_Password' psql -h postgres.example.com -p 5432 -U candlepin -d candlepin -c "SELECT 1 as ping"
    # PGPASSWORD='Pulpcore_Password' psql -h postgres.example.com -p 5432 -U pulp -d pulpcore -c "SELECT 1 as ping"

手順

1. PostgreSQL をインストールするには、以下のコマンドを入力します。

   # yum install rh-postgresql12-postgresql-server \
   rh-postgresql12-syspaths \
   rh-postgresql12-postgresql-evr

2. PostgreSQL を初期化するには、以下のコマンドを入力します。

   # postgresql-setup initdb

3. /var/opt/rh/rh-postgresql12/lib/pgsql/data/postgresql.conf ファイルを編集します。

   # vi /var/opt/rh/rh-postgresql12/lib/pgsql/data/postgresql.conf

4. # を削除して、着信接続をリッスンするようにします。

   listen_addresses = '*'

5. /var/opt/rh/rh-postgresql12/lib/pgsql/data/pg_hba.conf ファイルを編集します。

   # vi /var/opt/rh/rh-postgresql12/lib/pgsql/data/pg_hba.conf

6. 以下の行をファイルに追加します。

     host  all   all   Satellite_ip/24   md5

7. PostgreSQL サービスを起動し、有効にするには、以下のコマンドを実行します。

   # systemctl start postgresql
   # systemctl enable postgresql

8. 外部 PostgreSQL サーバーで postgresql ポートを開きます。

   # firewall-cmd --add-service=postgresql
   # firewall-cmd --runtime-to-permanent

9. postgres ユーザーに切り替え、PostgreSQL クライアントを起動します。

   $ su - postgres -c psql

10. 3 つのデータベースと専用のロールを作成します。1 つは Satellite 用、1 つは Candlepin 用、もう 1 つは Pulp 用です。

    CREATE USER "foreman" WITH PASSWORD 'Foreman_Password';
    CREATE USER "candlepin" WITH PASSWORD 'Candlepin_Password';
    CREATE USER "pulp" WITH PASSWORD 'Pulpcore_Password';
    CREATE DATABASE foreman OWNER foreman;
    CREATE DATABASE candlepin OWNER candlepin;
    CREATE DATABASE pulpcore OWNER pulp;

11. postgres ユーザーをログアウトします。

    # \q

12. Satellite Server から、データベースにアクセスできることをテストします。接続に成功した場合には、コマンドは 1 を返します。

    # PGPASSWORD='Foreman_Password' psql -h postgres.example.com  -p 5432 -U foreman -d foreman -c "SELECT 1 as ping"
    # PGPASSWORD='Candlepin_Password' psql -h postgres.example.com -p 5432 -U candlepin -d candlepin -c "SELECT 1 as ping"
    # PGPASSWORD='Pulpcore_Password' psql -h postgres.example.com -p 5432 -U pulp -d pulpcore -c "SELECT 1 as ping"

手順

1. Satellite Web UI で、Administer > Users に移動します。
2. Create User をクリックします。
3. ログイン フィールドにユーザーのユーザー名を入力します。
4. 名 および 姓 フィールドに、ユーザーの実名を入力します。
5. Email アドレス フィールドにメールアドレスを入力します。
6. 説明 フィールドには、新規ユーザーの説明を加えます。
7. 言語 リストからユーザー用の言語を選択します。

8. タイムゾーン リストからタイムゾーンを選択します。

   デフォルトでは、Satellite Server はユーザーのブラウザーの言語とタイムゾーンを使用します。

9. ユーザーのパスワードを設定します。

   1. 認証先 リストから、ユーザー認証に使用するソースを選択します。

      • 内部: Satellite Server 内でのユーザー管理を有効にします。
      • EXTERNAL: 14章外部認証の設定 の説明にある外部認証を設定します。
   2. パスワード フィールドに初回パスワードを入力して、確認 フィールドで再入力します。
10. 送信 をクリックしてユーザーを作成します。

手順

1. Satellite Web UI で、Administer > Users に移動します。

2. ロールを割り当てるユーザーの ユーザー名 をクリックします。

   注記

   ユーザーアカウントが表示されない場合は、現在適切な組織を表示しているかどうかを確認します。Satellite の全ユーザーをリスト表示するには、デフォルトの組織 をクリックしてから 任意の組織 をクリックします。

3. ロケーション タブをクリックして、ロケーションが割り当てられていない場合は選択します。
4. 組織 タブをクリックして、組織が割り当てられていることを確認します。
5. ロール タブをクリックして利用可能なロールのリストを表示します。

6. ロール リストから割り当てるロールを選択します。

   利用可能な全パーミッションを付与するには、管理 チェックボックスを選択します。

7. Submit をクリックします。

手順

1. Satellite Web UI で、Administer > Users に移動します。
2. 切り替えるユーザーの右側の アクション コラムのリストから、ユーザー切り替え を選択します。

前提条件

1. ユーザーを作成し、それらにロールを割り当てました。このユーザーは内部で承認されている必要があることに注意してください。詳細は、ユーザーの作成 と ユーザーへのロールの割り当て を参照してください。

手順

1. 管理者として Satellite にログインします。
2. Administer > Users に移動して、ユーザーを選択します。

3. User タブで、パスワードを設定します。このパスワードを保存したり、他の人と通信したりしないでください。コンソールで疑似ランダム文字列を作成できます。

   # openssl rand -hex 32

4. ユーザーの Personal Access Token を作成します。詳細は、「Personal Access Token の作成」 を参照してください。

手順

1. Satellite Web UI で、Administer > Users に移動します。
2. ユーザー名 コラムから必要となるユーザーのユーザー名をクリックします。

3. SSH キー タブをクリックします。

   • SSH キーの追加

     1. 公開 SSH キーのコンテンツをクリップボードに用意します。
     2. SSH キーの追加 をクリックします。
     3. キー フィールドに公開 SSH キーのコンテンツをクリップボードから貼り付けます。
     4. 名前 フィールドに SSH キーの名前を入力します。
     5. Submit をクリックします。

   • SSH キーの削除

     1. 削除する SSH キーの列にある 削除 をクリックします。
     2. 確認プロンプトで OK をクリックします。

手順

1. Satellite Web UI で、Administer > Users に移動します。
2. Personal Access Token を作成するユーザーを選択します。
3. Personal Access Tokens タブで、Add Personal Access Token をクリックします。
4. Personal Access Token の Name を入力します。
5. オプション: Expires 日付を選択して、有効期限を設定します。有効期限を設定しない場合、Personal Access Token は、取り消されないかぎり、期限切れになりません。

6. Submit をクリックします。Personal Access Tokens タブで、Personal Access Token を使用できるようになりました。

   重要

   ページを離れるか、新しい Personal Access Token を作成すると、再びアクセスできなくなるため、Personal Access Token を必ず保存してください。Copy to clipboard をクリックして、Personal Access Token をコピーできます。

検証

1. Satellite サーバーに API リクエストを送信し、Personal Access Token で認証します。

   # curl https://satellite.example.com/api/status --user My_Username:My_Personal_Access_Token

2. ステータス 200 のレスポンスを受け取る必要があります。次に例を示します。

   {"satellite_version":"6.11.0","result":"ok","status":200,"version":"3.5.1.10","api_version":2}

   Personal Access Tokens タブに戻ると、Personal Access Token の横に更新された Last Used 時刻が表示されます。

手順

1. Satellite Web UI で、Administer > Users に移動します。
2. Personal Access Token を取り消すユーザーを選択します。
3. Personal Access Tokens タブで、取り消す Personal Access Token を見つけます。
4. 取り消す Personal Access Token の横にある Actions 列の 取り消し をクリックします。

検証

1. Satellite サーバーに API リクエストを送信し、失効した Personal Access Token で認証を試みます。

   # curl https://satellite.example.com/api/status --user My_Username:My_Personal_Access_Token

2. 次のエラーメッセージが表示されます。

   {
     "error": {"message":"Unable to authenticate user My_Username"}
   }

手順

1. Satellite Web UI で、Administer > User Groups に移動します。
2. ユーザーグループの作成 をクリックします。

3. ユーザーグループ タブで、新規ユーザーグループの名前を指定し、グループメンバーを選択します。

   • ユーザーグループ のリストから、以前に作成したユーザーグループを選択します。
   • ユーザー のリストからユーザーを選択します。
4. ロール タブで、ユーザーグループに割り当てるロールを選択します。または、管理者 チェックボックスを選択して利用可能なすべてのパーミッションを割り当てます。
5. Submit をクリックします。

手順

1. Satellite Web UI で、Administer > User Groups に移動します。
2. 削除するユーザーグループの右側にある Delete をクリックします。
3. 警告ボックスで、OK をクリックしてユーザーグループを削除します。

手順

1. Satellite Web UI で、Administer > Roles に移動します。
2. ロールの作成 をクリックします。
3. ロールの 名前 を記入します。
4. 送信 をクリックして、新しいロールを保存します。

手順

1. Satellite web UI で、Administer > Roles に移動し、必要なロールの右側にあるドロップダウンメニューから Clone を選択します。
2. ロールの 名前 を記入します。
3. 送信 をクリックしてロールのクローンを作成します。
4. クローンされたロールの名前をクリックし、フィルター に移動します。
5. 必要に応じて、パーミッションを編集します。
6. 送信 をクリックして、新しいロールを保存します。

手順

1. Satellite Web UI で、Administer > Roles に移動します。
2. 必要なロールの右側にあるドロップダウンリストから フィルターの追加 を選択します。
3. ドロップダウンリストから リソースタイプ を選択します。(その他) グループには、どのリソースグループにも関連付けられていないパーミッションが含まれます。
4. 選択するパーミションを パーミッション リストからクリックします。
5. リソースタイプ での選択により、無制限 と 上書き のチェックボックスが表示されます。無制限 チェックボックスはデフォルトで選択され、選択されたタイプの全リソースにパーミッションが適用されます。無制限 チェックボックスを無効にすると、検索 フィールドが有効になります。このフィールドでは、Satellite 検索構文を使用してさらにフィルタリングを指定できます。詳細は、「詳細なパーミッションフィルタリング」 を参照してください。上書き チェックボックスを有効にすると、新たなロケーションと組織を追加して、それらのロケーションや組織のリソースタイプにこのロールがアクセスできるようになります。また、すでに関連付けられたロケーションや組織をリソースタイプから削除して、アクセスを制限することもできます。
6. Next をクリックします。
7. Submit をクリックして変更を保存します。

CLI 手順

1. 利用可能な全パーミッションを表示します。

   # hammer filter available-permissions

2. ロールにパーミッションを追加します。

   # hammer filter create \
   --permission-ids My_Permission_ID_1,My_Permission_ID_2 \
   --role My_Role_Name

手順

1. Satellite Web UI で、Administer > Roles に移動します。
2. 必要なロールの右側にある フィルター をクリックして、フィルター ページを開きます。

手順

1. 必要なパッケージがインストールされていることを確認します。Satellite Server で以下のコマンドを実行します。

   # satellite-maintain packages install foreman-console

2. 以下のコマンドで Satellite コンソールを起動します。

   # foreman-rake console

   コンソールに以下のコードを挿入します。

   f = File.open('/tmp/table.html', 'w')
   
   result = Foreman::AccessControl.permissions {|a,b| a.security_block <=> b.security_block}.collect do |p|
         actions = p.actions.collect { |a| "<li>#{a}</li>" }
         "<tr><td>#{p.name}</td><td><ul>#{actions.join('')}</ul></td><td>#{p.resource_type}</td></tr>"
   end.join("\n")
   
   f.write(result)

   上記の構文により、パーミッションの表が作成され、/tmp/table.html ファイルに保存されます。

3. Ctrl + D を押して、Satellite コンソールを終了します。/tmp/table.html の最初の行に以下のテキストを挿入します。

   <table border="1"><tr><td>Permission name</td><td>Actions</td><td>Resource type</td></tr>

   /tmp/table.html の最後に以下のテキストを追加します。

   </table>

4. Web ブラウザーで /tmp/table.html を開いて、表を確認します。

手順

1. Satellite Web UI で、Administer > Roles に移動します。
2. 削除するロールの右側にあるドロップダウンリストから Delete を選択します。
3. 警告ボックスで、OK をクリックしてロールを削除します。

手順

1. パッケージブラウザーの SCAP セキュリティーガイド にアクセスします。
2. バージョン メニューから、ホストが実行している RHEL マイナーバージョン向けの最新の SSG バージョンを選択します。たとえば、RHEL 8.6 の場合は、*.el8_6 という名前のバージョンを選択します。
3. パッケージ RPM をダウンロードします。

4. RPM からデータストリームファイル (*-ds.xml) を展開します。以下に例を示します。

   $ rpm2cpio scap-security-guide-0.1.69-3.el8_6.noarch.rpm \
   | cpio -iv --to-stdout ./usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml \
   > ssg-rhel-8.6-ds.xml

5. データストリームを Satellite にアップロードします。詳細は、「追加の SCAP コンテンツのアップロード」 を参照してください。

手順

1. Satellite Web UI で、Hosts > Compliance > SCAP contents に移動します。
2. Upload New SCAP Content をクリックします。
3. Title テキストボックスにタイトルを入力します (My SCAP Content など)。
4. Scap File で、Choose file をクリックし、SCAP データストリームファイルが含まれる場所に移動して、Open をクリックします。
5. Locations タブで場所を選択します。
6. Organizations タブで組織を選択します。
7. Submit をクリックします。

CLI 手順

1. SCAP データストリームファイルを Satellite Server 上のディレクトリー (/usr/share/xml/scap/my_content/ など) に配置します。

2. Satellite Server で次の Hammer コマンドを実行します。

   # hammer scap-content bulk-upload --type directory \
   --directory /usr/share/xml/scap/my_content/ \
   --location "My_Location" \
   --organization "My_Organization"

手順

1. Satellite の Web UI で Hosts > Compliance - Tailoring Files に移動し、New Tailoring File をクリックします。
2. Name テキストボックスに、名前を入力します。
3. Choose File をクリックし、テーラリングファイルが含まれる場所に移動して、Open を選択します。
4. Submit をクリックして、選択したテーラリングファイルをアップロードします。

手順

1. Satellite Web UI で、Hosts > Compliance - Policies に移動します。
2. New Policy または New Compliance Policy をクリックします。
3. デプロイメント方法を Ansible、Puppet、または Manual から選択します。Next をクリックします。
4. ポリシーの名前、説明 (省略可能) を入力してから 次へ をクリックします。

5. 適用する SCAP Content および XCCDF Profile を選択し、Next をクリックします。

   Satellite は、選択された XCCDF プロファイルにルールが含まれているかどうかを検出しないことに注意してください。Default XCCDF Profile などの空の XCCDF プロファイルは、空のレポートを返します。

6. オプション: XCCDF プロファイルをカスタマイズするには、Tailoring File と XCCDF Profile in Tailoring File を選択し、Next をクリックします。

7. ポリシーを適用するスケジュール時刻を指定します。Period のリストから、Weekly、Monthly、または Custom を選択します。Custom オプションを使用すると、ポリシーのスケジュールをより柔軟に行うことができます。

   • Weekly を選択したら Weekday リストから曜日を選択します。
   • Monthly を選択したら Day of month フィールドで日付を指定します。
   • Custom を選択したら Cron line フィールドに有効な Cron 式を入力します。
8. ポリシーを適用する場所を選択し、Next をクリックします。
9. ポリシーを適用する組織を選択し、Next をクリックします。
10. オプション: ポリシーを割り当てるホストグループを選択します。
11. Submit をクリックします。

手順

1. Satellite Web UI で、Hosts > Compliance - Policies に移動します。
2. 必要なポリシーの Actions 列で、Show Guide をクリックするか、リストから Show Guide を選択します。

手順

1. Satellite Web UI で、Hosts > Compliance - Policies に移動します。
2. 必要なポリシーの名前をクリックします。
3. 必要な属性を編集します。
4. Submit をクリックします。

手順

1. Satellite Web UI で、Hosts > Compliance - Policies に移動します。
2. 必要なポリシーの Actions 列で、リストから Delete を選択します。
3. 確認メッセージで OK をクリックします。

手順

1. Satellite Web UI で、Configure > Host Groups に移動します。
2. OpenSCAP レポート用に設定するホストグループをクリックします。
3. OpenSCAP Capsule リストから、使用する OpenSCAP が有効な Capsule を選択します。
4. Ansible Roles タブで、foreman.foreman_scap_client Ansible ロールを割り当てます。
5. オプション: Parameters タブで、ロールの Ansible 変数を設定します。
6. Submit をクリックして変更を保存します。
7. 必要なホストグループの行で、Actions 列に移動し、Run all Ansible roles を選択します。

手順

1. Satellite Web UI で Hosts > All Hosts に移動して、OpenSCAP レポートを設定するホストで、Edit をクリックします。
2. OpenSCAP Capsule リストから、使用する OpenSCAP が有効な Capsule を選択します。
3. Ansible Roles タブで、theforeman.foreman_scap_client Ansible ロールを追加します。
4. オプション: Parameters タブで、ロールの Ansible 変数を設定します。
5. Submit をクリックして変更を保存します。
6. Hosts ブレッドクラムリンクをクリックして、ホストのインデックスページに戻ります。
7. ポリシーを追加するホストを選択します。
8. Select Action をクリックします。
9. リストから Assign Compliance Policy を選択します。
10. Assign Compliance Policy ウィンドウで、Remember hosts selection for the next bulk action を選択します。
11. 使用可能なポリシーのリストから必要なポリシーを選択し、Submit をクリックします。
12. Select Action をクリックします。
13. リストから Run all Ansible roles を選択します。

手順

1. Satellite Web UI で、Configure > Host Groups に移動します。
2. OpenSCAP レポート用に設定するホストグループをクリックします。
3. Environment リストで、foreman_scap_client* Puppet クラスを含む Puppet 環境を選択します。
4. OpenSCAP Capsule リストで、使用する OpenSCAP が有効になっている Capsule を選択します。
5. Puppet ENC タブで、foreman_scap_client Puppet クラスを追加します。
6. オプション: Puppet Class Parameters を設定します。
7. Submit をクリックして変更を保存します。

手順

1. Satellite Web UI で Hosts > All Hosts に移動して、OpenSCAP レポートを設定するホストで、Edit をクリックします。
2. Environment リストから、foreman_scap_client および foreman_scap_client::params が含まれる Puppet 環境を選択します。
3. OpenSCAP Capsule リストから、使用する OpenSCAP が有効な Capsule を選択します。
4. Puppet ENC タブで、foreman_scap_client Puppet クラスを追加します。
5. オプション: Puppet Class Parameters を設定します。
6. Hosts ブレッドクラムリンクをクリックして、ホストのインデックスページに戻ります。
7. ポリシーを追加するホストを選択します。
8. Select Action をクリックします。
9. リストから Assign Compliance Policy を選択します。
10. Assign Compliance Policy ウィンドウで、Remember hosts selection for the next bulk action を選択します。
11. 使用可能なポリシーのリストから必要なポリシーを選択し、Submit をクリックします。

手順

1. Satellite Web UI で、Hosts > Reports に移動します。
2. オプション: 空の Search フィールドをクリックすると、利用可能な検索パラメーターがリスト表示されます。
3. Search フィールドに検索クエリーを入力し、Search をクリックします。検索クエリーでは大文字と小文字は区別されません。

手順

1. Satellite Web UI で、Hosts > Policies に移動します。
2. 必要なポリシーの行で、Actions 列に移動し、Dashboard をクリックします。

手順

1. Satellite Web UI で、Hosts > Reports に移動します。
2. Reported At 列で、必要なホストとコンプライアンスポリシーのレポートに移動し、時刻のリンクをクリックします。
3. Satellite で、ポリシールールの簡略化されたリストとスキャンの結果が表示されます。

4. オプション: チェック結果によってルールをフィルターします。Show log messages ドロップダウンリストから、次のフィルターのいずれかを選択します。

   • Failed and othered - 不合格となったルール、またはスキャン中にチェックされなかったルールを表示します。
   • Failed only - 不合格となったルールのみを表示します。
5. オプション: ルールの詳細を調べます。Message 列で、ルール名の横にあるアイコンをクリックします。
6. 必要なルールの行で、Actions 列に移動し、Hosts failing this rule をクリックします。

手順

1. Satellite Web UI で、Hosts > Reports に移動して、すべてのコンプライアンスレポートをリスト表示します。
2. 必要なホストの行で、Actions 列に移動し、Full Report をクリックして、評価レポートの完全な詳細を表示します。
3. Evaluation Characteristics エリアに移動して、特定のプロファイルに対するホストの評価に関する基本情報を確認します。
4. Compliance and Scoring エリアに移動して、評価の統計情報とホストのコンプライアンススコアを確認します。
5. Rule Overview に移動してルールを調べます。
6. オプション: pass、notapplicable、または fix など、非表示にするチェックステータスの選択を解除します。
7. オプション: Group rule by ドロップダウンメニューから、Severity などのルールのグループ化の基準を選択します。
8. オプション: 検索フィールドに検索文字列を入力して、ルールをタイトルでフィルターします。検索は大文字と小文字を区別せず、入力時に動的に適用されます。

9. ルールのタイトルをクリックして、結果の詳細を調べます。

   • ルールの説明と、ホストのコンプライアンスを満たすための指示 (利用できる場合)。
   • ルールの根拠。
   • 場合により、修復スクリプト。

手順

1. Satellite Web UI で、Hosts > Reports に移動します。
2. コンプライアンスレポートウィンドウで、削除するポリシーを特定し、ポリシーの名前の右側にある Delete を選択します。
3. OK をクリックします。

手順

1. Satellite Web UI で、Hosts > Reports に移動します。
2. コンプライアンスレポートウィンドウで、削除するコンプライアンスレポートを選択します。
3. リストの右上の Delete reports を選択します。
4. 削除するページ数だけ、この手順を繰り返します。

手順

1. 外部 Capsule から同期 するには、Satellite web UI で関連する組織とロケーションを選択するか、Any Organization と Any Location を選択します。
2. Satellite web UI で、Infrastructure > Capsules に移動し、Capsule の名前をクリックして同期します。
3. 概要 タブで 同期 を選択します。

手順

1. /etc/foreman/settings.yaml でログレベルを設定します:

   :logging:
     :production:
       :type: file
       :layout: pattern
       :level: debug

2. /etc/foreman/settings.yaml で選択したロガーを有効にします:

   :loggers:
     :ldap:
       :enabled: true
     :permissions:
       :enabled: true
     :sql:
       :enabled: true

   一部の領域からのログを表示するには、デバッグログを設定する必要があることに注意してください。

3. Satellite サービスを再起動します。

   # satellite-maintain service restart

手順

1. /etc/puppetlabs/puppet/puppet.conf ファイルの [agent] ブロックに次の行を追加します。

   [agent]
       log_level = debug

手順

1. /etc/puppetlabs/puppet/puppet.conf ファイルの [master] ブロックに次の行を追加します。

   [master]
       log_level = debug

2. Puppet サーバーを再起動します。

   # satellite-maintain service restart --only puppetserver

手順

1. LDAP サーバーから証明書を取得します。

   1. Active Directory 証明書サービスを使用する場合は、ベース 64 エンコード X.509 形式を使用してエンタープライズ PKI CA 証明書をエクスポートします。Active Directory サーバーでの CA 証明書の作成およびエクスポートについては、How to configure Active Directory authentication with TLS on Satellite を参照してください。

   2. LDAP サーバー証明書を一時的な場所の Satellite Server にダウンロードし、終了したら削除します。

      たとえば、/tmp/example.crt です。ファイル名の拡張子を .cer と .crt にすることが唯一の規則であり、この拡張子は、DER バイナリーまたは PEM ASCII の形式の証明書を参照できます。

2. LDAP サーバーからの証明書を信頼します。

   Satellite Server では、LDAP 認証用の CA 証明書は /etc/pki/tls/certs/ ディレクトリー内の個別ファイルである必要があります。

   1. install コマンドを使用して適切なパーミッションでインポート済みの証明書を /etc/pki/tls/certs/ ディレクトリーにインストールします。

      # install /tmp/example.crt /etc/pki/tls/certs/

   2. root で以下のコマンドを実行して、LDAP サーバーから取得した example.crt 証明書を信頼します。

      # ln -s example.crt /etc/pki/tls/certs/$(openssl \
      x509 -noout -hash -in \
      /etc/pki/tls/certs/example.crt).0

   3. httpd サービスを再起動します。

      # systemctl restart httpd

手順

1. Network Information System (NIS) サービスのブール値を true に設定して SELinux により LDAP の送信接続がブロックされないようにします。

   # setsebool -P nis_enabled on

2. Satellite Web UI で、Administer > Authentication Sources に移動します。
3. Create LDAP Authentication Source をクリックします。
4. LDAP サーバータブで LDAP サーバーの名前、ホスト名、ポート、およびサーバータイプを入力します。デフォルトポートは 389、デフォルトサーバータイプは POSIX です (認証サーバーのタイプに応じて FreeIPA または Active Directory を選択することもできます)。TLS 暗号化接続に対しては、LDAPS チェックボックスを選択して暗号化を有効にします。ポートは LDAPS のデフォルト値である 636 に変更されるはずです。
5. アカウント タブで、アカウント情報とドメイン名の詳細を入力します。説明と例については、「LDAP 設定の説明」 を参照してください。
6. 属性マッピング タブで、LDAP 属性を Satellite 属性にマッピングします。ログイン名、名、姓、メールアドレス、および写真の属性をマッピングできます。サンプルについては、「LDAP 接続の設定例」 を参照してください。
7. ロケーション タブで、左側の表からロケーションを選択します。選択したロケーションは、LDAP 認証ソースから作成されたユーザーに割り当てられ、初回ログイン以降、利用可能となります。
8. 組織 タブで、左側の表から組織を選択します。選択した組織は、LDAP 認証ソースから作成されたユーザーに割り当てられ、初回ログイン以降、利用可能となります。
9. Submit をクリックします。

10. LDAP ユーザーの新しいアカウントを設定します。

    • Automatically Create Accounts In Satellite のチェックボックスを選択していない場合は、「ユーザーの作成」 を参照してユーザーアカウントを手動で作成してください。
    • Satellite でアカウントを自動作成する のチェックボックスを選択した場合は、LDAP ユーザーは LDAP アカウントおよびパスワードを使用して Satellite にログインできます。初回ログイン後に、Satellite 管理者はロールを手動で割り当てる必要があります。Satellite でユーザーアカウントに適切なロールを割り当てる方法は、「ユーザーへのロールの割り当て」 を参照してください。

手順

1. Red Hat Identity Management サーバーで、次のコマンドを入力し、プロンプトが表示されたら、パスワードを入力して、認証します。

   # kinit admin

2. 認証されたことを確認するには、次のコマンドを入力します。

   # klist

3. 以下のように、Red Hat Identity Management サーバー上で Satellite Server のホストエントリーを作成し、ワンタイムパスワードを生成します。

   # ipa host-add --random hostname

   注記

   Red Hat Identity Management 登録を完了するには、生成されたワンタイムパスワードをクライアントで使用する必要があります。

   ホスト設定プロパティーの詳細は、Red Hat Enterprise Linux 7 Linux Domain Identity, Authentication, and Policy の About Host Entry Configuration Properties を参照してください。

4. 以下のように、Satellite Server 向けの HTTP サービスを作成します。

   # ipa service-add HTTP/hostname

   サービス管理の詳細については、Red Hat Enterprise Linux 7 Linux Domain Identity, Authentication, and Policy ガイドの Managing Services を参照してください。

5. Satellite Server で、IPA クライアントをインストールします。

   警告

   このコマンドは、パッケージのインストール中に Satellite サービスを再起動する可能性があります。Satellite でのパッケージのインストールと更新に関する詳細は、「Satellite Server または CapsuleServer のベースオペレーティングシステムでのパッケージの管理」 を参照してください。

   # satellite-maintain packages install ipa-client

6. Satellite Server で、以下のコマンドを root として入力し、Red Hat Identity Management 登録を設定します。

   # ipa-client-install --password OTP

   OTP を、Red Hat Identity Management 管理者により提供されたワンタイムパスワードに置き換えます。

7. Satellite Server が Red Hat Enterprise Linux 7 で実行されている場合は、以下のコマンドを実行します。

   # subscription-manager repos --enable rhel-7-server-optional-rpms

   インストーラーは、オプションのリポジトリー rhel-7-server-optional-rpms (Red Hat Enterprise Linux 7 の場合) に含まれるパッケージに依存します。

8. 以下のコマンドを使用して、foreman-ipa-authentication を true に設定します。

   # satellite-installer --foreman-ipa-authentication=true

9. Satellite サービスを再起動します。

   # satellite-maintain service restart

手順

1. Red Hat Identity Management サーバーで、次のコマンドを入力し、プロンプトが表示されたら、パスワードを入力して、認証します。

   # kinit admin

2. 認証されたことを確認するには、次のコマンドを入力します。

   # klist

3. HBAC サービスおよびルールを Red Hat Identity Management サーバーで作成し、リンクします。以下の例では、satellite-prod という PAM サービス名を使用しています。Red Hat Identity Management サーバー上で以下のコマンドを実行してください。

   # ipa hbacsvc-add satellite-prod
   # ipa hbacrule-add allow_satellite_prod
   # ipa hbacrule-add-service allow_satellite_prod --hbacsvcs=satellite-prod

4. satellite-prod サービスへのアクセス権があるユーザーと Satellite Server のホスト名を追加します。

   # ipa hbacrule-add-user allow_satellite_prod --user=username
   # ipa hbacrule-add-host allow_satellite_prod --hosts=satellite.example.com

   または、allow_satellite_prod ルールにホストグループとユーザーグループを追加できます。

5. ルールのステータスを確認するために、以下のコマンドを実行します。

   # ipa hbacrule-find satellite-prod
   # ipa hbactest --user=username --host=satellite.example.com --service=satellite-prod

6. Red Hat Identity Management サーバーで allow_all ルールが無効であることを確認します。他のサービスに影響を与えずにこのルールを無効にする方法については、Red Hat カスタマーポータルのアーティクル How to configure HBAC rules in IdM to allow specific users to login to clients via ssh を参照してください。

7. 「Satellite Server での Red Hat Identity Management 認証の設定」 で説明されているように、Satellite Server で Red Hat Identity Management 統合を設定します。Satellite Server で、root として PAM サービスを定義します。

   # satellite-installer --foreman-pam-service=satellite-prod

手順

1. 必要なパッケージをインストールします。

   # satellite-maintain packages install sssd adcli realmd ipa-python-compat krb5-workstation samba-common-tools

2. Satellite Server を AD サーバーに登録します。以下のコマンドを実行するには、管理者パーミッションが必要な場合があります。

   # realm join -v EXAMPLE.ORG --membership-software=samba -U Administrator

手順

1. /etc/ipa/ ディレクトリーと default.conf ファイルを作成します。

   # mkdir /etc/ipa
   # touch /etc/ipa/default.conf

2. default.conf ファイルに以下のコンテンツを追加します。

   [global]
   server = unused
   realm = EXAMPLE.ORG

3. 以下の内容で /etc/net-keytab.conf ファイルを作成します。

   [global]
   workgroup = EXAMPLE
   realm = EXAMPLE.ORG
   kerberos method = system keytab
   security = ads

4. Apache ユーザーの有効なユーザー ID を特定します。

   # id apache

   Apache ユーザーには keytab ファイルへのアクセス権を割り当てないでください。

5. 以下の内容で /etc/gssproxy/00-http.conf ファイルを作成します。

   [service/HTTP]
   mechs = krb5
   cred_store = keytab:/etc/httpd/conf/http.keytab
   cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
   euid = ID_of_Apache_User

6. keytab エントリーを作成します。

   # KRB5_KTNAME=FILE:/etc/httpd/conf/http.keytab net ads keytab add HTTP -U administrator -d3 -s /etc/net-keytab.conf
   # chown root.apache /etc/httpd/conf/http.keytab
   # chmod 640 /etc/httpd/conf/http.keytab

7. Satellite で IPA 認証を有効にします。

   # satellite-installer --foreman-ipa-authentication=true

8. gssproxy サービスを起動して、有効にします。

   # systemctl restart gssproxy.service
   # systemctl enable gssproxy.service

9. Apache サーバーが gssproxy サービスを使用するように設定するには、systemd ドロップインファイルを作成し、以下の内容を追加します。

   # mkdir -p /etc/systemd/system/httpd.service.d/
   # vi /etc/systemd/system/httpd.service.d/gssproxy.conf
   [Service]
   Environment=GSS_USE_PROXY=1

10. 変更をサービスに適用します。

    # systemctl daemon-reload

11. httpd サービスを起動して、有効にします。

    # systemctl restart httpd.service

1. 次のコマンドを使用して、LDAP ユーザーの Kerberos チケットを取得します。

   # kinit ldapuser

2. 以下のコマンドを使用して、Kerberos チケットを表示します。

   # klist

3. 以下のコマンドを使用して、SSO 認証に成功時の出力を表示します。

   # curl -k -u : --negotiate https://satellite.example.com/users/extlogin

   これにより、以下の応答が返されます。

   <html><body>You are being <a href="https://satellite.example.com/users/4-ldapuserexample-com/edit">redirected</a>.</body></html>

手順

1. HBAC を有効にします。

   1. 外部グループを作成して、この外部グループに AD グループを追加します。
   2. 新しい外部グループを POSIX グループに追加します。
   3. HBAC ルールで POSIX グループを使用します。

2. AD ユーザーの追加属性を転送するよう sssd を設定します。

   • この AD ユーザー属性を /etc/sssd/sssd.conf の nss セクションと domain セクションに追加します。以下に例を示します。

     [nss]
     user_attributes=+mail, +sn, +givenname
     [domain/EXAMPLE.com]
     ...
     krb5_store_password_if_offline = True
     ldap_user_extra_attrs=email:mail, lastname:sn, firstname:givenname
     
     [ifp]
     allowed_uids = ipaapi, root
     user_attributes=+email, +firstname, +lastname

   • AD 属性値を確認します。

     # dbus-send --print-reply --system --dest=org.freedesktop.sssd.infopipe /org/freedesktop/sssd/infopipe org.freedesktop.sssd.infopipe.GetUserAttr string:ad-user@ad-domain array:string:email,firstname,lastname

1. Satellite Web UI を使用した Satellite への認証。
2. Satellite CLI を使用した Satellite への認証。

手順

1. Satellite Server で、以下のパッケージをインストールします。

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install

2. Satellite をクライアントとして Red Hat Single Sign-On に登録します。Web UI と CLI とでログインの登録プロセスが異なる点に注意してください。Red Hat Single Sign-On に 2 つの Satellite クライアントを登録すると、Web UI と CLI から Satellite にログインできます。

   • Web UI で Satellite への認証を行う場合は、以下のようにクライアントを作成します。

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     プロンプトが表示されたら、管理アカウントのパスワードを入力します。このコマンドは、Red Hat Single Sign On で Satellite のクライアントを作成します。

     次に、認証ソースとして Red Hat Single Sign On を使用するように Satellite を設定します。

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • CLI で Satellite への認証を行う場合は、以下のようにクライアントを作成します。

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     プロンプトが表示されたら、管理アカウントのパスワードを入力します。このコマンドは、Red Hat Single Sign On で Satellite のクライアントを作成します。

3. httpd サービスを再起動します。

   # systemctl restart httpd

手順

1. Red Hat Single Sign-On Web UI で、クライアント に移動し、Satellite クライアントをクリックします。

2. アクセスタイプを設定します。

   • Satellite web UI を使用して Satellite への認証を行うには、アクセスタイプ リストから 機密 を選択します。
   • CLI を使用して Satellite への認証を行うには、アクセスタイプ リストから 公開 を選択します。

3. 有効なリダイレクト URI フィールドに有効なリダイレクト URI を追加します。

   • Satellite web UI を使用して Satellite への認証を行うには、https://satellite.example.com/users/extlogin の形式で URI を入力します。Satellite FQDN の後に /users/extlogin の文字列を追加する必要があります。

     この手順の完了後に、Satellite クライアントが Satellite web UI を使用してログインするには以下の 有効なリダイレクト URI が必要です。

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • CLI を使用してユーザーが Satellite への認証を行うには、既存の URI の下の空白フィールドに urn:ietf:wg:wg:oauth:2.0:oob を入力します。

     この手順の完了後に、Satellite クライアントが CLI を使用してログインするには以下の 有効なリダイレクト URI が必要です。

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. Save をクリックします。
5. マッパー タブ、作成 の順にクリックし、オーディエンスマッパーを追加します。
6. 名前 フィールドに、オーディエンスマッパーの名前を入力します。
7. マッパータイプ リストから、オーディエンス を選択します。
8. 組み込み済みクライアントオーディエンス リストから、Satellite クライアントを選択します。
9. Save をクリックします。
10. 作成 をクリックして、グループメンバーシップをもとに Satellite の認証を指定できるようにグループマッパーを追加します。
11. 名前 フィールドにグループマッパーの名前を入力します。
12. マッパータイプ リストから、グループメンバーシップ を選択します。
13. トークンクレーム名 に groups と入力します。
14. フルグループパス のトグルを OFF に設定します。
15. Save をクリックします。

手順

1. コード付与タイプを使用して Satellite CLI への認証を行うには、以下のコマンドを入力します。

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   このコマンドは、サクセスコードの入力を要求します。

2. サクセスコードを取得するには、コマンドが返す URL に移動し、必要な情報を提供します。
3. Web UI が返すサクセスコードをコピーします。
4. hammer auth login oauth のコマンドプロンプトに、サクセスコードを入力して Satellite CLI に対して認証を行います。

手順

1. Satellite Web UI で、管理 > ユーザーグループ に移動して、ユーザーグループの作成 ボタンをクリックします。
2. 名前 フィールドにユーザーグループの名前を入力します。名前は Active Directory と同じにしないでください。
3. 右側の列には、ユーザーおよびユーザーグループを追加しないでください。ロール タブをクリックします。
4. 管理 チェックボックスを選択します。
5. 外部グループ タブをクリックします。
6. 外部ユーザーグループの追加 をクリックします。
7. 名前 フィールドに、Active Directory の名前を入力します。
8. リストから 外部 を選択します。

1. Satellite Web UI を使用した Satellite への認証。
2. Satellite CLI を使用した Satellite への認証。

手順

1. Satellite Server で、以下のパッケージをインストールします。

   # satellite-maintain packages install mod_auth_openidc keycloak-httpd-client-install

2. Satellite をクライアントとして Red Hat Single Sign-On に登録します。Web UI と CLI とでログインの登録プロセスが異なる点に注意してください。Red Hat Single Sign-On に 2 つの Satellite クライアントを登録すると、Web UI と CLI から Satellite にログインできます。

   • Web UI で Satellite への認証を行う場合は、以下のようにクライアントを作成します。

     # keycloak-httpd-client-install --app-name foreman-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     プロンプトが表示されたら、管理アカウントのパスワードを入力します。このコマンドは、Red Hat Single Sign On で Satellite のクライアントを作成します。

     次に、認証ソースとして Red Hat Single Sign On を使用するように Satellite を設定します。

     # satellite-installer --foreman-keycloak true \
     --foreman-keycloak-app-name "foreman-openidc" \
     --foreman-keycloak-realm "Satellite_Realm"

   • CLI で Satellite への認証を行う場合は、以下のようにクライアントを作成します。

     # keycloak-httpd-client-install --app-name hammer-openidc \
     --keycloak-server-url "https://RHSSO.example.com" \
     --keycloak-admin-username "admin" \
     --keycloak-realm "Satellite_Realm" \
     --keycloak-admin-realm master \
     --keycloak-auth-role root-admin \
     -t openidc -l /users/extlogin --force

     プロンプトが表示されたら、管理アカウントのパスワードを入力します。このコマンドは、Red Hat Single Sign On で Satellite のクライアントを作成します。

3. httpd サービスを再起動します。

   # systemctl restart httpd

手順

1. Red Hat Single Sign-On Web UI で、クライアント に移動し、Satellite クライアントをクリックします。

2. アクセスタイプを設定します。

   • Satellite web UI を使用して Satellite への認証を行うには、アクセスタイプ リストから 機密 を選択します。
   • CLI を使用して Satellite への認証を行うには、アクセスタイプ リストから 公開 を選択します。

3. 有効なリダイレクト URI フィールドに有効なリダイレクト URI を追加します。

   • Satellite web UI を使用して Satellite への認証を行うには、https://satellite.example.com/users/extlogin の形式で URI を入力します。Satellite FQDN の後に /users/extlogin の文字列を追加する必要があります。

     この手順の完了後に、Satellite クライアントが Satellite web UI を使用してログインするには以下の 有効なリダイレクト URI が必要です。

     https://satellite.example.com/users/extlogin/redirect_uri
     https://satellite.example.com/users/extlogin

   • CLI を使用してユーザーが Satellite への認証を行うには、既存の URI の下の空白フィールドに urn:ietf:wg:wg:oauth:2.0:oob を入力します。

     この手順の完了後に、Satellite クライアントが CLI を使用してログインするには以下の 有効なリダイレクト URI が必要です。

     https://satellite.example.com/users/extlogin/redirect_uri
     urn:ietf:wg:oauth:2.0:oob

4. Save をクリックします。
5. マッパー タブ、作成 の順にクリックし、オーディエンスマッパーを追加します。
6. 名前 フィールドに、オーディエンスマッパーの名前を入力します。
7. マッパータイプ リストから、オーディエンス を選択します。
8. 組み込み済みクライアントオーディエンス リストから、Satellite クライアントを選択します。
9. Save をクリックします。
10. 作成 をクリックして、グループメンバーシップをもとに Satellite の認証を指定できるようにグループマッパーを追加します。
11. 名前 フィールドにグループマッパーの名前を入力します。
12. マッパータイプ リストから、グループメンバーシップ を選択します。
13. トークンクレーム名 に groups と入力します。
14. フルグループパス のトグルを OFF に設定します。
15. Save をクリックします。

手順

1. Red Hat Single Sign-On Web UI で、Satellite レルムに移動します。
2. Authentication に移動し、OTP Policy タブをクリックします。
3. サポートされるアプリケーション フィールドに FreeOTP または Google Authenticator が含まれていることを確認します。
4. 要件に合わせて OTP を設定します。
5. 必要に応じて、すべてのユーザーのデフォルト認証方法として TOTP 認証を使用する場合は、Flows タブをクリックして OTP Form 設定の右側にある REQUIRED を選択します。
6. Required Actions タブをクリックします。
7. Configure OTP 行の右側にある Default Action チェックボックスを選択します。

手順

1. Satellite にログインすると、Satellite は Red Hat Single Sign-On のログイン画面にリダイレクトします。
2. ユーザー名とパスワードを入力し、ログイン をクリックします。
3. 初回ログインの場合には、Red Hat Single Sign-On により、バーコードをスキャンし、表示された暗証番号を入力してクライアントを設定するように求められます。
4. クライアントを設定して有効な暗証番号を入力すると、Red Hat Single Sign-On で Satellite にリダイレクト後にログインされます。

手順

1. コード付与タイプを使用して Satellite CLI への認証を行うには、以下のコマンドを入力します。

   # hammer auth login oauth \
   --two-factor \
   --oidc-token-endpoint 'https://RHSSO.example.com/auth/realms/ssl-realm/protocol/openid-connect/token' \
   --oidc-authorization-endpoint 'https://RHSSO.example.com/auth' \
   --oidc-client-id 'satellite.example.com-foreman-openidc' \
   --oidc-redirect-uri urn:ietf:wg:oauth:2.0:oob

   このコマンドは、サクセスコードの入力を要求します。

2. サクセスコードを取得するには、コマンドが返す URL に移動し、必要な情報を提供します。
3. Web UI が返すサクセスコードをコピーします。
4. hammer auth login oauth のコマンドプロンプトに、サクセスコードを入力して Satellite CLI に対して認証を行います。

手順

1. Satellite Web UI で、管理 > ユーザーグループ に移動して、ユーザーグループの作成 ボタンをクリックします。
2. 名前 フィールドにユーザーグループの名前を入力します。名前は Active Directory と同じにしないでください。
3. 右側の列には、ユーザーおよびユーザーグループを追加しないでください。ロール タブをクリックします。
4. 管理 チェックボックスを選択します。
5. 外部グループ タブをクリックします。
6. 外部ユーザーグループの追加 をクリックします。
7. 名前 フィールドに、Active Directory の名前を入力します。
8. リストから 外部 を選択します。

タイムアウト設定を調整するには、以下を実行します。

1. Satellite Web UI で、Administer > Settings に移動します。
2. 検索ボックスに %_timeout を入力し、検索 をクリックします。検索では、説明を含む 4 つの設定が返されます。
3. 値 のコラムで、数字の横にあるアイコンをクリックして編集します。
4. 希望する秒数を入力したら、保存 をクリックします。

サービスのチェックを無効にするには、以下を実行します。

1. Satellite Web UI で、Administer > Settings に移動します。
2. 検索ボックスに check_services_before_actions を入力し、検索 をクリックします。
3. 値 コラムでアイコンをクリックして値を編集します。
4. ドロップダウンメニューから false を選択します。
5. Save をクリックします。