1. Satellite サブスクリプションの特定

   # subscription-manager list --available --matches 'Red Hat Satellite'

   このコマンドは、利用可能なすべてのサブスクリプションのフィールドに対して小文字と大文字を区別しない検索を実行します (Subscription Name と Provides を含み、Red Hat Satellite のすべてのインスタンスに一致)。システムにすでに割り当てられていないサブスクリプションが、利用可能として分類されます。検索文字列には、1 つ文字、またはゼロ個以上の文字にそれぞれ一致するワイルドカード ? または * を含めることもできます。ワイルドカード文字はバックスラッシュでエスケープして、リテラルの疑問符またはアスタリスクを表すことができます。

   利用可能な Satellite サブスクリプションを見つけることができない場合は、Red Hat ナレッジベースソリューション 「How do I figure out which subscriptions have been consumed by clients registered under Red Hat Subscription Manager?」 を参照して、スクリプトを実行し、サブスクリプションが別のシステムで使用されているかどうかを確認できます。

   出力が長すぎる場合は、less や more などのページャーユーティリティーにパイプして、一度に 1 画面ずつ出力を確認できるようにします。

   1. 実行する subscription-manager コマンドの形式に関係なく、出力は以下のようになります。

      Subscription Name: Red Hat Satellite
      Provides:          Red Hat Satellite 6
                         Red Hat Enterprise Linux Server
                         Red Hat Satellite
                         Red Hat Enterprise Linux Load Balancer (for RHEL Server)
      SKU:               MCT0370
      Pool ID:           8a85f9874152663c0541943739717d11
      Available:         3
      Suggested:         1
      Service Level:     Premium
      Service Type:      L1-L3
      Multi-Entitlement: No
      Ends:              10/07/2014
      System Type:       Physical

2. 後で Satellite ホストに割り当てるために、プール ID をメモします。実際に使用するプール ID は、この例で使用されているものとは異なります。

3. Satellite サーバーにサブスクリプションを割り当てるには、実際のプール ID を指定して以下のコマンドを実行します。

   # subscription-manager attach --pool=pool_id

   出力は以下のようになります。

   Successfully attached a subscription for: Red Hat Satellite

4. サブスクリプションが正しく割り当てられたことを確認するには、以下のコマンドを入力します。

   # subscription-manager list --consumed

   この出力では、以下のような内容が表示されます。

   +-------------------------------------------+
      Consumed Subscriptions
   +-------------------------------------------+
   Subscription Name: Red Hat Satellite
   Provides:          Red Hat Satellite
                      Red Hat Enterprise Linux Server
                      Red Hat Software Collections (for RHEL Server)
                      Red Hat Satellite
                      Red Hat Satellite 6
                      Red Hat Software Collections  (for RHEL Server)
                      Red Hat Satellite Capsule
                      Red Hat Enterprise Linux Load Balancer (for RHEL Server)
                      Red Hat Satellite with Embedded Oracle
                      Red Hat Satellite Capsule
                      Red Hat Enterprise Linux High Availability (for RHEL Server)
   SKU:               MCT0370
   Contract:          10293569
   Account:           5361051
   Serial:            1653856191250699363
   Pool ID:           8a85f9874152663c0541943739717d11
   Active:            True
   Quantity Used:     1
   Service Level:     Premium
   Service Type:      L1-L3
   Status Details:
   Starts:            10/08/2013
   Ends:              10/07/2014
   System Type:       Physical

1. すべての既存のリポジトリーを無効にします。

   # subscription-manager repos --disable "*"

2. 必要なリポジトリーを有効にします。

   • Red Hat Satellite、Red Hat Enterprise Linux、Red Hat Software Collections、および Puppet 4 のリポジトリーを有効にするには、以下のコマンドを使用します。

     # subscription-manager repos \
     --enable=rhel-7-server-rpms \
     --enable=rhel-server-rhscl-7-rpms \
     --enable=rhel-7-server-satellite-6.3-rpms \
     --enable=rhel-7-server-satellite-6.3-puppet4-rpms

   • もしくは、以下のコマンドを使用して、Red Hat Satellite、Red Hat Enterprise Linux、Red Hat Software Collections、および Puppet 3 のリポジトリーを有効にします。

     # subscription-manager repos \
     --enable=rhel-7-server-rpms \
     --enable=rhel-server-rhscl-7-rpms \
     --enable=rhel-7-server-satellite-6.3-rpms

     注記

     Satellite 6.3 は、Puppet 3 でサポートされる最後のリリースです。Puppet 3 から Puppet 4 へのアップグレードは、Satellite 6.3 以前を Satellite 6.4 にアップグレードする前に行う必要があります。Satellite 6.4 は Puppet 5 だけをサポートしますが、Puppet 5 へのアップグレードは、Satellite のアップグレード時に行われます。

     注記

     Red Hat Satellite を Red Hat Virtualization (RHV) でホストされる仮想マシンとしてインストールする場合は、Red Hat Common リポジトリーを有効にして、RHV ゲストエージェントとドライバーもインストールする必要があります。詳細は『仮想マシン管理ガイド』の「ゲストエージェントおよびドライバーのインストール」を参照してください。

3. Red Hat Subscription Manager が特定のオペレーティングシステムリリースを使用しないようにします。

   # subscription-manager release --unset

4. Red Hat 以外の yum リポジトリーからのすべてのメタデータを消去します。

   # yum clean all

5. リポジトリーが有効になっていることを確認します。

   # yum repolist enabled

   以下のような出力が表示されます。

   Loaded plugins: product-id, subscription-manager
   repo id                                    repo name                                                                status
   !rhel-7-server-rpms/x86_64                 Red Hat Enterprise Linux 7 Server (RPMs)                                 9,889
   !rhel-7-server-satellite-6.3-rpms/x86_64   Red Hat Satellite 6.3 (for RHEL 7 Server) (RPMs)                           545
   !rhel-server-rhscl-7-rpms/x86_64           Red Hat Software Collections RPMs for Red Hat Enterprise Linux 7 Server  4,279
   repolist: 14,713

1. すべてのパッケージを更新します。

   # yum update

2. インストールパッケージをインストールします。

   # yum install satellite

3. 「初期設定の実行」 に移動して、インストーラースクリプトを実行し、Satellite Server の初期設定を行います。

1. Red Hat カスタマーポータル に移動し、ログインします。
2. ダウンロード をクリックします。
3. Red Hat Enterprise Linux を選択します。

4. 製品とバージョンがご使用の環境に適切であることを確認します。

   • Product Variant (製品のバリアント) は Red Hat Enterprise Linux Server に設定されます。
   • Version (バージョン) は、ベースシステムとして使用する予定の製品の最新マイナーバージョンに設定されます。
   • Architecture (アーキテクチャー) は 64 ビットバージョンに設定されます。
5. Product Software (製品ソフトウェア) タブで、最新の Red Hat Enterprise Linux Server バージョン向けのバイナリー DVD イメージをダウンロードします。
6. DOWNLOADS (ダウンロード) をクリックし、Red Hat Satellite を選択します。

7. 製品とバージョンがご使用の環境に適切であることを確認します。

   • Product Variant (製品のバリアント) は Red Hat Satellite に設定されます。
   • Version (バージョン) は、ベースシステムとして使用する予定の製品の最新マイナーバージョンに設定されます。
   • Architecture (アーキテクチャー) は 64 ビットバージョンに設定されます。
8. Product Software (製品ソフトウェア) タブで、最新の Red Hat Satellite バージョン向けのバイナリー DVD イメージをダウンロードします。

9. ISO ファイルを Satellite ベースシステムまたは他のアクセス可能なストレージデバイスにコピーします。

   # scp localfile username@hostname:remotefile

1. ベースシステムのバージョンに対応する ISO ファイルのマウントポイントとして使用するディレクトリーを作成します。

   # mkdir /media/rhel7-server

2. Red Hat Enterprise Linux の ISO イメージをマウントポイントにマウントします。

   # mount -o loop rhel7-Server-DVD.iso /media/rhel7-server

   以下の例は、Red Hat Enterprise Linux 7.2 のマウントを示しています。

   # mount -o loop RHEL-7.2-20151030.0-Server-x86_64-dvd1.iso \
   /media/rhel7-server
   mount: /dev/loop0 is write-protected, mounting read-only

3. ISO ファイルのリポジトリーデータファイルをコピーします。

   # cp /media/rhel7-server/media.repo /etc/yum.repos.d/rhel7-server.repo

4. リポジトリーデータファイルを編集し、baseurl ディレクティブを追加します。

   baseurl=file:///media/rhel7-server/

   以下の例は、Red Hat Enterprise Linux 7.2 を使用した場合のリポジトリーデータファイルを示しています。

   # vi /etc/yum.repos.d/rhel7-server.repo
   [InstallMedia]
   name=Red Hat Enterprise Linux 7.2
   mediaid=1446216863.790260
   metadata_expire=-1
   gpgcheck=0
   cost=500
   baseurl=file:///media/rhel7-server/
   enabled=1

5. リポジトリーが設定されたことを確認します。

   # yum repolist
   Loaded plugins: product-id, search-disabled-repos, subscription-manager
   This system is not registered to Red Hat Subscription Management. You can use subscription-manager to register.
   repo id          repo name                       status
   InstallMedia     Red Hat Enterprise Linux 7.2    4,620

6. ベースシステムのバージョンに対応する ISO ファイルのマウントポイントとして使用するディレクトリーを作成します。

   # mkdir /media/sat6

7. Red Hat Satellite Server の ISO イメージをマウントポイントにマウントします。

   # mount -o loop sat6-DVD.iso /media/sat6

   以下の例では、Red Hat Enterprise Linux 7 向け Red Hat Satellite 6.3.0 を使用した ISO のマウントを示しています。

   # mount -o loop satellite-6.3.0-rhel-7-x86_64-dvd.iso /media/sat6
   mount: /dev/loop1 is write-protected, mounting read-only

8. Red Hat Satellite 6.3 はデフォルトで Puppet 3 を使用しますが、Puppet 4 を使用することも可能で、その場合は必要なパッケージにアクセスするためのローカルリポジトリーを作成し、そこに以下のコンテンツを追加します。

   # vi /etc/yum.repos.d/satellite-puppet4.repo
   [satellite-puppet4]
   name=satellite-puppet4
   baseurl=file:///media/sat6/addons/Puppet4
   enabled=1
   gpgcheck=1

1. Red Hat Enterprise Linux Server と Red Hat Satellite の ISO イメージがマウントされていることを確認します。

   # findmnt -t iso9660

2. Red Hat GPG キーをインポートします。

   # rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-release

3. バイナリー DVD イメージを使用してベースシステムを最新の状態にします。

   # yum update

4. Satellite ISO がマウントされたディレクトリーに移動します。

   # cd /media/sat6/

5. マウントされたディレクトリーでインストールスクリプトを実行します。

   # ./install_packages
   	This script will install the foreman packages on the current machine.
      - Ensuring we are in an expected directory.
      - Copying installation files.
      - Creating a Repository File
      - Creating RHSCL Repository File
      - Checking to see if Foreman is already installed.
      - Importing the gpg key.
      - Foreman is not yet installed, installing it.
      - Installation repository will remain configured for future package installs.
      - Installation media can now be safely unmounted.
   
   Install is complete. Please run satellite-installer --scenario satellite.

   パッケージが見つからない、または古いためにスクリプトが失敗する場合は、これらをダウンロードして個別にインストールする必要があります。手順は「パッケージの手動ダウンロード」を参照してください。

   インストール済みパッケージが必要なものよりも新しいためにスクリプトが失敗する場合は、yum distribution-synchronization を実行してインストール済みパッケージを Red Hat Enterprise Linux ISO からのバージョンにダウングレードしてから、インストールスクリプトを再度実行します。リポジトリーのソースが Red Hat Enterprise Linux ISO 以外のものに設定されている場合にのみ、これが発生します。このようなリポジトリーの使用はサポート対象外になります。

1. Red Hat カスタマーポータル に移動し、ログインします。
2. ダウンロード をクリックします。
3. Red Hat Satellite を選択します。

4. 製品とバージョンがご使用の環境に適切であることを確認します。

   • Product Variant (製品のバリアント) は Red Hat Satellite に設定されます。
   • Version (バージョン) は、ベースシステムとして使用する製品の最新マイナーバージョンに設定されます。
   • Architecture (アーキテクチャー) は 64 ビットバージョンに設定されます。
5. Packages (パッケージ) タブで、Search (検索) ボックスに必要なパッケージの名前を入力します。
6. 必要なパッケージの横にある Download Latest (最新版のダウンロード) をクリックします。

NTP を使用した時間の同期

1. ntp をインストールします。

   # yum install ntp

2. NTP サーバーが利用可能であることを確認します。

   # ntpdate -q ntp_server_address

3. システム時刻を設定します。

   # ntpdate ntp_server_address

chronyd を使用した時間の同期

1. chronyd をインストールします。

   # yum install chrony

2. chronyd サービスを起動して、有効にします。

   # systemctl start chronyd
   # systemctl enable chronyd

1. ブラウザーで https://access.redhat.com/ を開き、Red Hat アカウントでログインします。
2. カスタマーポータルの左上にある サブスクリプション に移動します。
3. サブスクリプション割り当て に移動します。
4. 新規サブスクリプションの割り当てを作成 をクリックします。
5. 名前 フィールドに名前を入力します。
6. タイプ の一覧からお使いの Satellite Server に一致するタイプとバージョンを選択します。
7. 作成 をクリックします。

1. サブスクリプション割り当て に移動します。
2. 変更するサブスクリプションの名前を選択します。
3. サブスクリプション タブをクリックします。
4. サブスクリプションの追加 をクリックします。
5. Red Hat 製品サブスクリプションの一覧が表示されます。各製品に対するエンタイトルメントの数量 を入力します。
6. 送信 をクリックして割り当てを完了します。

Satellite Tools リポジトリーのインストール手順:

1. Satellite Web UI で、コンテンツ > Red Hat リポジトリー に移動し、RPM タブを選択します。
2. Red Hat Enterprise Linux Server 項目を見つけ、展開します。

3. Red Hat Satellite Tools 6.3 (Red Hat Enterprise Linux 7 Server 用) (RPM) 項目を見つけ、展開します。

   Red Hat Satellite Tools 6.3 項目が非表示の場合は、その項目がカスタマーポータルから取得したサブスクリプションマニフェストに含まれないことが原因である場合があります。この問題を修正するには、カスタマーポータルにログインし、これらのリポジトリーを追加し、サブスクリプションマニフェストをダウンロードして、Satellite にインポートします。

4. Satellite 6.3 Tools リポジトリーの名前の横にある Enabled チェックボックスをオンにします。

Satellite Tools リポジトリーの同期方法:

1. Content (コンテンツ) > Sync Status (同期ステータス) に移動します。

   同期可能な製品リポジトリーのリストが表示されます。

2. 製品コンテンツの横にある矢印をクリックして利用可能なコンテンツを表示します。
3. 同期するコンテンツを選択します。
4. Synchronize Now (今すぐ同期) をクリックします。

1. http_proxy、https_proxy、および no_proxy の変数が設定されていないことを確認します。

   # export http_proxy=""
   # export https_proxy=$http_proxy
   # export no_proxy=$http_proxy

2. HTTP プロキシーオプションを使用して satellite-installer を実行します。

   # satellite-installer --scenario satellite \
   --katello-proxy-url=http://myproxy.example.com \
   --katello-proxy-port=8080 \
   --katello-proxy-username=proxy_username \
   --katello-proxy-password=proxy_password

3. Satellite Server が Red Hat Content Delivery Network (CDN) に接続し、リポジトリーを同期できることを確認します。

   1. ネットワークゲートウェイと HTTP プロキシーで、以下のホスト名に対して TCP を有効にします。

      ホスト名	ポート	プロトコル
      subscription.rhsm.redhat.com	443	HTTPS
      cdn.redhat.com	443	HTTPS
      *.akamaiedge.net	443	HTTPS
      cert-api.access.redhat.com (Red Hat Insights を使用している場合)	443	HTTPS
      api.access.redhat.com (Red Hat Insights を使用している場合)	443	HTTPS

      Satellite Server は、SSL で安全に Red Hat CDN と通信します。SSL インターセプトプロキシーを使用すると、この通信が妨害されます。これらのホストは、プロキシーでホワイトリスト化されている必要があります。

      Red Hat CDN (cdn.redhat.com) で使用されている IP アドレスの一覧は、Red Hat カスタマーポータルのナレッジベース記事「Red Hat が公開している CIDR の一覧」を参照してください。

   2. Satellite Server の /etc/rhsm/rhsm.conf ファイルで、以下の詳細を記入します。

      # an http proxy server to use (enter server FQDN)
      proxy_hostname = http_proxy.example.com
      
      # port for http proxy server
      proxy_port = 8080
      
      # user name for authenticating to an http proxy, if needed
      proxy_user =
      
      # password for basic http proxy auth, if needed
      proxy_password =

4. SELinux を使用すると、Red Hat Satellite 6 と Red Hat Subscription Manager のアクセスが、特定ポートに限定されます。HTTP キャッシュの TCP ポートは、8080、8118、8123、および 10001 ~ 10010 になります。SELinux のタイプ http_cache_port_t がないポートを使用する場合は、以下のステップを行います。

   1. 以下のコマンドを実行して、SELinux で HTTP キャッシュに許可されているポートを確認します。

      # semanage port -l | grep http_cache
      http_cache_port_t       tcp    8080, 8118, 8123, 10001-10010
      [出力を省略]

   2. 以下のコマンドを実行して、SELinux が HTTP キャッシュにポート (たとえば、8088) を許可するよう設定します。

      # semanage port -a -t http_cache_port_t -p tcp 8088

管理対象ホスト上での電源管理の有効化

1. オプションを使用してインストーラーを実行し、BMC を有効にします。

   # satellite-installer --foreman-proxy-bmc "true" \
   --foreman-proxy-bmc-default-provider "freeipmi"

Satellite Server での DNS、DHCP、および TFTP の設定

1. 使用している環境に適切なオプションを使用して satellite-installer を実行します。

   # satellite-installer --scenario satellite \
   --foreman-proxy-dns true \
   --foreman-proxy-dns-interface eth0 \
   --foreman-proxy-dns-zone example.com \
   --foreman-proxy-dns-forwarders 172.17.13.1 \
   --foreman-proxy-dns-reverse 13.17.172.in-addr.arpa \
   --foreman-proxy-dhcp true \
   --foreman-proxy-dhcp-interface eth0 \
   --foreman-proxy-dhcp-range "172.17.13.100 172.17.13.150" \
   --foreman-proxy-dhcp-gateway 172.17.13.1 \
   --foreman-proxy-dhcp-nameservers 172.17.13.2 \
   --foreman-proxy-tftp true \
   --foreman-proxy-tftp-servername $(hostname)

   インストールのステータスが表示されます。ユーザー名とパスワードはコマンド出力で参照できます。また、これらの情報は /etc/foreman-installer/scenarios.d/satellite-answers.yaml ファイルの admin_password パラメーターからも取得できます。

   Success!
     * Satellite is running at https://satellite.example.com
         Default credentials are 'admin:*******'
     * Capsule is running at https://satellite.example.com:9090
     * To install additional capsule on separate machine continue by running:
   
         capsule-certs-generate --foreman-proxy-fqdn "$CAPSULE" --certs-tar "~/$CAPSULE-certs.tar"
   
     The full log is at /var/log/foreman-installer/satellite.log

1. Web UI で、インフラストラクチャー > サブネット に移動し、サブネットを選択します。
2. Capsules (カプセル) タブで、ドロップダウンリストを None (なし) に設定して、関連付けられている DHCP Capsule または TFTP Capsule がないことを確認します。

3. 正引きレコードオーケストレーションを無効にします。

   1. インフラストラクチャー > ドメイン に移動し、ドメインを選択します。
   2. Domain (ドメイン) タブで、DNS Capsule (DNS カプセル) ドロップダウンリストを None (なし) に設定します。

4. 逆引き (PTR) レコードオーケストレーションを無効にします。

   1. インフラストラクチャー > Subnets (サブネット) に移動し、サブネットを選択します。
   2. Capsules (カプセル) タブで、Reverse DNS Capsule (逆引き DNS カプセル) ドロップダウンリストを None (なし) に設定します。

5. オプション: サードパーティーが提供する DHCP サービスを使用する場合は、以下のオプションを渡すように DHCP サーバーを設定します。

   Option 66: IP_address_of_Satellite_or_Capsule
   Option 67: /pxelinux.0

   DHCP オプションの詳細は「RFC 2132」を参照してください。

Satellite Server で送信メールの設定

1. Satellite web UI で、管理 → 設定 に移動します。

2. Email タブをクリックして、希望する配信方法に一致する設定オプションを設定します。変更は即座に反映されます。

   1. 以下の例は、SMTP サーバーを使用する場合の設定オプションの例を示しています。

      表3.1 配信方法に SMTP サーバーを使用する例

      名前	値の例
      配信方法	SMTP
      SMTP アドレス	smtp.example.com
      SMTP 認証	ログイン
      SMTP HELO/EHLO ドメイン	example.com
      SMTP パスワード	パスワード
      SMTP ポート	25
      SMTP ユーザー名	satellite@example.com

      SMTP ユーザー名 と SMTP パスワード では、SMTP サーバーのログイン認証情報を指定します。

   2. 以下の例では、gmail.com が SMTP サーバーとして使用されています。

      表3.2 gmail.com を SMTP サーバーとして使用する例

      名前	値の例
      配信方法	SMTP
      SMTP アドレス	smtp.gmail.com
      SMTP 認証	plain
      SMTP HELO/EHLO ドメイン	smtp.gmail.com
      SMTP enable StartTLS auto	あり
      SMTP パスワード	パスワード
      SMTP ポート	587
      SMTP ユーザー名	user@gmail.com

   3. 以下の例では、sendmail コマンドが配信方法として使用されています。

      表3.3 配信方法に sendmail を使用する例

      名前	値の例
      配信方法	Sendmail
      Sendmail の引数	-i -t -G

      Sendmail の引数 では、sendmail コマンドに渡すオプションを指定します。デフォルト値は、-i -t です。詳細は、sendmail 1 の man ページを参照してください。

3. TLS 認証を使用する SMTP サーバーで電子メールを送信する場合は、以下のいずれかの手順を実行してください。

   • SMTP サーバーの CA 証明書を信頼済みとしてマークします。このようにマークするには、Satellite Server で以下のコマンドを実行します。

     # cp mailca.crt /etc/pki/ca-trust/source/anchors/
     # update-ca-trust enable
     # update-ca-trust

     ここで、mailca.crt は SMTP サーバーの CA 証明書です。

   • 別の方法では、web UI の SMTP enable StartTLS auto オプションを No に設定します。
4. Test email をクリックしてユーザーのメールアドレスにテストメッセージを送信し、設定が機能していることを確認します。メッセージの送信に失敗する場合は、web UI でエラーが表示されます。詳細については、/var/log/foreman/production.log のログを確認してください。

1. 「Satellite Server 向けの SSL 証明書を取得」
2. 「Satellite Server の SSL 証明書の検証」
3. 「カスタム証明書パラメーターを使用した Satellite インストーラーの実行」
4. 「Satellite Server に接続されたすべてのホストへの新しい証明書のインストール」

1. ファイヤーウォールを設定します。

   # firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 27017 -j DROP \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 27017 -j DROP \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 28017 -j DROP \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 28017 -j DROP

2. --permanent オプションを追加してコマンドを繰り返し、設定を永続化します。

   # firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 27017 -m owner \
   --uid-owner apache -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 27017 -m owner \
   --uid-owner apache -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 27017 -m owner \
   --uid-owner root -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 27017 -m owner \
   --uid-owner root -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 1 \
   -o lo -p tcp -m tcp --dport 27017 -j DROP \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 1 \
   -o lo -p tcp -m tcp --dport 27017 -j DROP \
   && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 28017 -m owner \
   --uid-owner apache -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 28017 -m owner \
   --uid-owner apache -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 28017 -m owner \
   --uid-owner root -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 28017 -m owner \
   --uid-owner root -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 1 \
   -o lo -p tcp -m tcp --dport 28017 -j DROP \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 1 \
   -o lo -p tcp -m tcp --dport 28017 -j DROP

デフォルトのサーバー証明書を使用した Capsule Server の設定

1. Satellite Server で証明書アーカイブを作成します。

   # capsule-certs-generate \
   --foreman-proxy-fqdn mycapsule.example.com \
   --certs-tar mycapsule.example.com-certs.tar

2. satellite-installer パッケージが Capsule Server で利用可能であることを確認します。
3. 生成されたアーカイブ .tar ファイルを Satellite Server から Capsule Server にコピーします。

4. ご使用の環境のニーズに基づいて証明書を有効にします。詳細については、satellite-installer --scenario capsule --help を参照してください。

   # satellite-installer --scenario capsule \
   --foreman-proxy-content-parent-fqdn satellite.example.com \
   --foreman-proxy-register-in-foreman true \
   --foreman-proxy-foreman-base-url https://satellite.example.com \
   --foreman-proxy-trusted-hosts satellite.example.com \
   --foreman-proxy-trusted-hosts mycapsule.example.com \
   --foreman-proxy-oauth-consumer-key UVrAZfMaCfBiiWejoUVLYCZHT2xhzuFV \
   --foreman-proxy-oauth-consumer-secret \
   ZhH8p7M577ttNU3WmUGWASag3JeXKgUX \
   --foreman-proxy-content-pulp-oauth-secret TPk42MYZ42nAE3rZvyLBh7Lxob3nEUi8 \
   --foreman-proxy-content-certs-tar mycapsule.example.com-certs.tar

katello-agent のインストール手順:

1. システムにログインします。

2. このバージョンの Satellite 向け Satellite Tools リポジトリーを有効にします。

   # subscription-manager repos \
   --enable=rhel-7-server-satellite-tools-6.3-rpms

3. パッケージをインストールします。

   # yum install katello-agent

Hammer CLI を使用して Capsule Server にライフサイクル環境の追加

1. root として Satellite Server CLI にログインします。

2. すべての Capsule Server のリストを表示し、ID をメモします。

   # hammer capsule list

3. ID を使用して、Capsule Server の詳細を確認します。

   # hammer capsule info --id capsule_id_number

4. 利用可能なライフサイクル環境を確認し、環境 ID をメモします。

   # hammer capsule content available-lifecycle-environments \
   --id capsule_id_number

   利用可能なライフサイクル環境は Capsule Server に対して利用可能ですが、現在接続されていません。

5. ライフサイクル環境を Capsule Server に追加します。

   # hammer capsule content add-lifecycle-environment \
   --id capsule_id_number --environment-id environment_id_number

6. Capsule Server に追加する各ライフサイクル環境に対して手順を繰り返します。

7. Satellite Server 環境のすべてのコンテンツを Capsule Server と同期するには、以下のコマンドを実行します。

   # hammer capsule content synchronize --id capsule_id_number

8. Satellite Server 環境の特定のライフサイクル環境を Capsule Server と同期するには、以下のコマンドを実行します。

   # hammer capsule content synchronize --id external_capsule_id_number \
   --environment-id environment_id_number

Web UI を使用して Capsule Server にライフサイクル環境の追加

1. Satellite Web UI で、インフラストラクチャー > カプセル に移動し、カプセルを選択します。
2. 編集 をクリックします。
3. ライフサイクル環境タブで Env を選択します。
4. カプセルのコンテンツを同期するには、概要タブの 同期 ボタンをクリックします。

5. 以下のオプションのいずれかを選択します。

   • Optimized Sync
   • Complete Sync

管理対象ホスト上での電源管理の有効化

1. オプションを使用してインストーラーを実行し、BMC を有効にします。

   # satellite-installer --scenario capsule \
   --foreman-proxy-bmc "true" \
   --foreman-proxy-bmc-default-provider "freeipmi"

Capsule Server での DNS、DHCP、および TFTP の設定

1. ご使用の環境に該当するオプションを使用して Capsule インストーラーを実行します。

   以下の例は、完全なプロビジョニングサービスを示してます。

   # satellite-installer --scenario capsule \
   --foreman-proxy-tftp=true \
   --foreman-proxy-foreman-oauth-key _your_organization_key_ \
   --foreman-proxy-foreman-oauth-secret _your_organization_secret_ \
   --foreman-proxy-content-certs-tar capsule.example.com-certs.tar \
   --foreman-proxy-templates=true \
   --foreman-proxy-dhcp=true \
   --foreman-proxy-dhcp-gateway=192.168.122.1 \
   --foreman-proxy-dhcp-nameservers=192.168.122.1 \
   --foreman-proxy-dhcp-range="192.168.122.100 192.168.122.200" \
   --foreman-proxy-dhcp-interface=eth0 \
   --foreman-proxy-dns=true \
   --foreman-proxy-dns-forwarders=8.8.8.8 \
   --foreman-proxy-dns-interface=eth0 \
   --foreman-proxy-dns-zone=example.com
   
   # satellite-installer --scenario capsule \
   --foreman-proxy-dns true \
   --foreman-proxy-dns-interface eth0 \
   --foreman-proxy-dns-zone example.com \
   --foreman-proxy-dns-forwarders 172.17.13.1 \
   --foreman-proxy-dns-reverse 13.17.172.in-addr.arpa \
   --foreman-proxy-dhcp true \
   --foreman-proxy-dhcp-interface eth0 \
   --foreman-proxy-dhcp-range "172.17.13.100 172.17.13.150" \
   --foreman-proxy-dhcp-gateway 172.17.13.1 \
   --foreman-proxy-dhcp-nameservers 172.17.13.2 \
   --foreman-proxy-tftp true \
   --foreman-proxy-tftp-servername $(hostname) \
   --foreman-proxy-puppetca true

1. 「Capsule Server 向けの SSL 証明書の取得」
2. 「Capsule Server の SSL 証明書の検証」
3. 「Capsule サーバーの証明書アーカイブファイルの作成」
4. 「Capsule Server のカスタム証明書のインストール」
5. 「すべてのホストへの Capsule Server の新しい証明書のインストール」

1. ファイヤーウォールを設定します。

   # firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 27017 -j DROP \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 27017 -j DROP \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 28017 -j DROP \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 28017 -j DROP

2. --permanent オプションを追加してコマンドを繰り返し、設定を永続化します。

   # firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 27017 -m owner \
   --uid-owner apache -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 27017 -m owner \
   --uid-owner apache -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 27017 -m owner \
   --uid-owner root -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 27017 -m owner \
   --uid-owner root -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 1 \
   -o lo -p tcp -m tcp --dport 27017 -j DROP \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 1 \
   -o lo -p tcp -m tcp --dport 27017 -j DROP \
   && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 28017 -m owner \
   --uid-owner apache -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 28017 -m owner \
   --uid-owner apache -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 28017 -m owner \
   --uid-owner root -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 0 \
   -o lo -p tcp -m tcp --dport 28017 -m owner \
   --uid-owner root -j ACCEPT \
   && firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 1 \
   -o lo -p tcp -m tcp --dport 28017 -j DROP \
   && firewall-cmd --permanent --direct --add-rule ipv6 filter OUTPUT 1 \
   -o lo -p tcp -m tcp --dport 28017 -j DROP

1. ファイアウォールを設定します (ポート 69 上の UDP)。

   # firewall-cmd --add-port="69/udp" \
   && firewall-cmd --permanent --add-port="69/udp"

作業開始前の準備

1. IdM サーバーがデプロイされ、ホストベースのファイアウォールが正確に設定されていることを確認します。詳細は『Linux ドメイン ID、認証、およびポリシーガイド』の「ポート要件」を参照してください。
2. IdM サーバーに、IdM サーバーにゾーンを作成するパーミッションのあるアカウントを作成します。
3. Satellite または外部 Capsule がドメインの DNS を管理していることを確認します。
4. Satellite または外部 Capsule が正常に機能していることを確認します。
5. 新たにインストールしたシステムの場合は、まず本ガイドにあるインストール手順を完了させます。特に、DNS と DHCP の設定は完了させてください。
6. 変更を元に戻す場合に備えて、応答ファイルのバックアップを作成します。詳細は「インストールオプションの指定」を参照してください。

IdM サーバー上で Kerberos プリンシパルの作成

1. Kerberos チケットがあることを確認します。

   # kinit idm_user

   ここでの idm_user は、IdM 管理者が作成したアカウントになります。

2. IdM サーバーに認証する際に使用する Satellite または Capsule 用の新規 Kerberos プリンシパルを作成します。

   # ipa service-add capsule/satellite.example.com

1. IdM クライアントパッケージをインストールします。

   # yum install ipa-client

2. インストールスクリプトとそれに続くプロンプトを実行して、IdM クライアントを設定します。

   # ipa-client-install

3. Kerberos チケットがあることを確認します。

   # kinit admin

4. 既存の keytab を削除します。

   # rm /etc/foreman-proxy/dns.keytab

5. このシステム用に作成された keytab を取得します。

   # ipa-getkeytab -p capsule/satellite.example.com@EXAMPLE.COM \
   -s idm1.example.com -k /etc/foreman-proxy/dns.keytab

   注記

   サービス中の元のシステムと同じホスト名を持つスタンバイシステムに keytab を追加する際には、r オプションを追加します。これにより、新規の認証情報が生成されることを防ぎ、元のシステムの認証情報が無効になります。

6. 以下のように、foreman-proxy への keytab ファイルのグループと所有者を設定します。

   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/dns.keytab

7. 必要に応じて、keytab が有効か確認します。

   # kinit -kt /etc/foreman-proxy/dns.keytab \
   capsule/satellite.example.com@EXAMPLE.COM

IdM web UI での DNS ゾーンの設定

1. 管理するゾーンを作成して、設定します。

   1. Network Services (ネットワークサービス) > DNS > DNS Zones (DNS ゾーン) に移動します。
   2. Add を選択し、ゾーン名を入力します。この例では、example.com になります。
   3. Add and Edit をクリックします。

   4. 設定タブの BIND update policy ボックスで、以下のようにセミコロン区切りのエントリーを追加します。

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   5. Dynamic update が True に設定されていることを確認します。
   6. Allow PTR sync を有効にします。
   7. Save を選択して、変更を保存します。

2. 逆引きゾーンを作成、設定します。

   1. Network Services (ネットワークサービス) > DNS > DNS Zones (DNS ゾーン) に移動します。
   2. Add を選択します。
   3. Reverse zone IP network を選択して、CIDR 形式でネットワークアドレスを追加し、逆引き参照を有効にします。
   4. Add and Edit をクリックします。

   5. Settings タブの BIND update policy ボックスで、以下のようにセミコロン区切りのエントリーを追加します。

      grant capsule\047satellite.example.com@EXAMPLE.COM wildcard * ANY;

   6. Dynamic update が True に設定されていることを確認します。
   7. Save を選択して、変更を保存します。

1. インフラストラクチャー > Capsules (スマートプロキシー) に移動します。
2. 更新する Capsule で、アクション ドロップダウンメニューから 更新 を選択します。

3. ドメインを設定します。

   1. インフラストラクチャー > ドメイン に移動し、ドメイン名を選択します。
   2. ドメイン タブで、DNS Capsule が、サブネットが接続されている Capsule に選択されていることを確認します。

4. サブネットを設定します。

   1. インフラストラクチャー > サブネット に移動し、サブネット名を選択します。
   2. サブネット タブで、IPAM を None に設定します。
   3. ドメイン タブで、IdM サーバーが管理するドメインが選択されていることを確認します。
   4. Capsules タブで、Reverse DNS Capsule 、サブネットが接続されている Capsule に選択されていることを確認します。
   5. 送信 をクリックして変更を保存します。

作業開始前の準備

1. IdM サーバーがデプロイされ、ホストベースのファイアウォールが正確に設定されていることを確認します。詳細は『Linux ドメイン ID、認証、およびポリシーガイド』の「ポート要件」を参照してください。
2. IdM サーバーで root 権限を取得します。
3. Satellite または外部 Capsule がドメインの DNS を管理していることを確認します。
4. Satellite または外部 Capsule が正常に機能していることを確認します。
5. 新たにインストールしたシステムの場合は、まず本ガイドにあるインストール手順を完了させます。特に、DNS と DHCP の設定は完了させてください。
6. 変更を元に戻す場合に備えて、応答ファイルのバックアップを作成します。詳細は「インストールオプションの指定」を参照してください。

IdM サーバーの DNS ゾーンに対する外部アップデートの有効化

1. IdM サーバーで、以下の内容を /etc/named.conf ファイルの先頭に追加します。

   // This was added to allow Satellite Server at 192.168.25.1 to make DNS updates.
   ########################################################################
   include "/etc/rndc.key";
   controls  {
   inet 192.168.25.2 port 953 allow { 192.168.25.1; } keys { "rndc-key"; };
   };
   ########################################################################

2. named をリロードして、変更を有効にします。

   # systemctl reload named

3. IdM Web UI で、Network Services (ネットワークサービス) > DNS > DNS Zones (DNS ゾーン) に移動します。ゾーンの名前を選択します。Settings (設定) タブで、以下の手順を実行します。

   1. BIND update policy (BIND アップデートポリシー) ボックスで以下の内容を追加します。

      grant "rndc-key" zonesub ANY;

   2. Dynamic update が True に設定されていることを確認します。
   3. Update (更新) をクリックして変更を保存します。

4. 以下のように、IdM サーバーから Satellite のベースシステムへ /etc/rndc.key ファイルをコピーします。

   # scp /etc/rndc.key root@satellite.example.com:/etc/rndc.key

5. 所有者、パーミッション、SELinux コンテキストが正しいことを確認します。

   # restorecon -v /etc/rndc.key
   # chown -v root:named /etc/rndc.key
   # chmod -v 640 /etc/rndc.key

6. Satellite Server で以下のようにインストールスクリプトを実行し、外部 DNS サーバーを使用します。

   # satellite-installer --scenario satellite \
   --foreman-proxy-dns=true \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate \
   --foreman-proxy-dns-server="192.168.25.2" \
   --foreman-proxy-keyfile=/etc/rndc.key \
   --foreman-proxy-dns-ttl=86400

IdM サーバーの DNS ゾーンに対する外部アップデートのテスト

1. テストのために nsupdate とともに bind-utils をインストールします。

   # yum install bind-utils

2. Satellite Server 上の /etc/rndc.key ファイルのキーが IdM サーバーで使用されているものと同じであることを確認します。

   key "rndc-key" {
           algorithm hmac-md5;
           secret "secret-key==";
   };

3. Satellite Server で、ホスト向けのテスト DNS エントリーを作成します (たとえば、192.168.25.1 の IdM サーバー上に 192.168.25.20 の A レコードがあるホスト test.example.com)。

   # echo -e "server 192.168.25.1\n \
   update add test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

4. Satellite Server で、DNS エントリーをテストします。

   # nslookup test.example.com 192.168.25.1
   Server:		192.168.25.1
   Address:	192.168.25.1#53
   
   Name:	test.example.com
   Address: 192.168.25.20

5. IdM Web UI でエントリーを参照するために、Network Services (ネットワークサービス) > DNS > DNS Zones (DNS ゾーン) に移動します。ゾーンの名前を選択し、名前でホストを検索します。

6. 正常に解決されたら、テスト DNS エントリーを削除します。

   # echo -e "server 192.168.25.1\n \
   update delete test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

7. DNS エントリーが削除されたことを確認します。

   # nslookup test.example.com 192.168.25.1

   レコードが正常に削除されている場合は、上記の nslookup コマンドが失敗し、SERVFAIL エラーメッセージが出力されます。

1. インフラストラクチャー > Capsules (スマートプロキシー) に移動します。
2. 更新する Capsule で、アクション ドロップダウンメニューから 更新 を選択します。

3. ドメインを設定します。

   1. インフラストラクチャー > ドメイン に移動し、ドメイン名を選択します。
   2. ドメイン タブで、DNS Capsule が、サブネットが接続されている Capsule に選択されていることを確認します。

4. サブネットを設定します。

   1. インフラストラクチャー > サブネット に移動し、サブネット名を選択します。
   2. サブネット タブで、IPAM を DHCP または Internal DB に設定します。
   3. ドメイン タブで、Satellite または Capsule が管理するドメインが選択されていることを確認します。
   4. Capsules タブで、Reverse DNS Capsule 、サブネットが接続されている Capsule に選択されていることを確認します。
   5. 送信 をクリックして変更を保存します。

1. Red Hat Enterprise Linux AMI の EC2 インスタンスを起動します。
2. 新規作成のインスタンスに接続します。