手順

1. 管理 > ユーザー に移動します。
2. ユーザーの作成 をクリックします。
3. ログイン フィールドにユーザーのユーザー名を入力します。
4. 名 および 姓 フィールドに、ユーザーの本当の姓名を入力します。
5. Email アドレス フィールドに email アドレスを入力します。
6. 説明 フィールドには、新規ユーザーの説明を加えます。
7. 言語 一覧からユーザー用の言語を選択します。

8. タイムゾーン 一覧からタイムゾーンを選択します。

   デフォルトでは、Satellite Server はユーザーのブラウザーの言語とタイムゾーンを使用します。

9. ユーザーのパスワードを設定します。

   1. 認証先 一覧から、ユーザー認証に使用するソースを選択します。

      • 内部: Satellite Server 内でのユーザー管理を有効にします。
      • LDAP または IdM: 13章外部認証の設定 の説明にある外部認証を設定します。
   2. パスワード フィールドに初期パスワードを入力して、確認 フィールドで再入力します。
10. 送信 をクリックしてユーザーを作成します。

手順

1. 管理 > ユーザー に移動します。

2. ロールを割り当てるユーザーの ユーザー名 をクリックします。

   注記

   ユーザーアカウントが表示されない場合は、現在適切な組織を表示しているかどうかを確認します。Satellite の全ユーザーを一覧表示するには、デフォルトの組織 をクリックしてから 任意の組織 をクリックします。

3. ロケーション タブをクリックして、ロケーションが割り当てられていない場合は選択します。
4. 組織 タブをクリックして、組織が割り当てられていることを確認します。
5. ロール タブをクリックして利用可能なロールのリストを表示します。

6. ロール リストから割り当てるロールを選択します。

   利用可能な全パーミッションを付与するには、管理 チェックボックスを選択します。

7. 送信 をクリックします。

手順

1. 管理 > ユーザー に移動します。
2. ユーザー名 コラムから必要となるユーザーのユーザー名をクリックします。

3. SSH キー タブをクリックします。

   • SSH キーの追加

     1. 公開 SSH キーのコンテンツをクリップボードに用意します。
     2. SSH キーの追加 をクリックします。
     3. キー フィールドに公開 SSH キーのコンテンツをクリップボードから貼り付けます。
     4. 名前 フィールドに SSH キーの名前を入力します。
     5. 送信 をクリックします。

   • SSH キーの削除

     1. 削除する SSH キーの列にある 削除 をクリックします。
     2. 確認メッセージで OK をクリックします。

手順

1. 管理 > ユーザー に移動します。
2. 編集する ユーザー名 をクリックします。
3. ユーザー タブで、メール フィールドの値を確認します。E メールは、このフィールドのアドレスに送信されます。
4. 電子メール設定 タブで メールの有効化 を選択します。

5. 通知タイプの横にあるドロップダウンメニューから、ユーザーが受信する通知を選択します。

   注記

   メールクエリー テキストボックスに必要なクエリーを記入すると、Audit Summary 通知をフィルターすることができます。

6. 送信 をクリックします。

   通知メールのユーザーへの送信が開始されます。

手順

1. Satellite Web UI で、管理 > ユーザー に移動します。
2. ユーザー名をクリックします。

3. E メール設定 タブで テスト E メール をクリックします。

   ユーザーの E メールアドレスにすぐにテストメッセージが送信されます。

1. ユーザーのメールアドレスを確認します。
2. Satellite Server のメール設定を確認します。
3. ファイアウォールおよびメールサーバーのログを調べます。

手順

1. 管理 > ユーザーグループ に移動します。
2. ユーザーグループの作成 をクリックします。

3. ユーザーグループ タブで、新規ユーザーグループの名前を指定し、グループメンバーを選択します。

   • ユーザーグループ のリストから、以前に作成したユーザーグループを選択します。
   • ユーザー のリストからユーザーを選択します。
4. ロール タブで、ユーザーグループに割り当てるロールを選択します。または、管理者 チェックボックスを選択して利用可能なすべてのパーミッションを割り当てます。
5. 送信 をクリックします。

手順

1. 管理 > ユーザーグループ に移動します。
2. 削除するユーザーグループの右側にある 削除 をクリックします。
3. 警告ボックスで、OK をクリックしてユーザーグループを削除します。

手順

1. 管理 > ロール に移動します。
2. ロールの作成 をクリックします。
3. ロールの 名前 を記入します。
4. 送信 をクリックして、新しいロールを保存します。

手順

1. 管理 > ロール に移動して、必要なロールの右側にあるドロップダウンメニューから クローン を選択します。
2. ロールの 名前 を記入します。
3. 送信 をクリックしてロールのクローンを作成します。
4. クローンされたロールの名前をクリックし、フィルター に移動します。
5. 必要に応じて、パーミッションを編集します。
6. 送信 をクリックして、新しいロールを保存します。

手順

1. 管理 > ロール に移動します。
2. 必要なロールの右側にあるドロップダウンリストから フィルターの追加 を選択します。
3. ドロップダウンリストから リソースタイプ を選択します。(その他) グループには、どのリソースグループにも関連付けられていないパーミッションが含まれます。
4. 選択するパーミションを パーミッション リストからクリックします。
5. リソースタイプ での選択により、無制限 と 上書き のチェックボックスが表示されます。無制限 チェックボックスはデフォルトで選択され、選択されたタイプの全リソースにパーミッションが適用されます。無制限 チェックボックスを無効にすると、検索 フィールドが有効になり、Red Hat Satellite 6 の検索構文を使用して詳細なフィルタリングを指定できます。詳細については、「詳細なパーミッションフィルタリング」 を参照してください。上書き チェックボックスを有効にすると、新たなロケーションと組織を追加して、それらのロケーションや組織のリソースタイプにこのロールがアクセスできるようになります。また、すでに関連付けられたロケーションや組織をリソースタイプから削除して、アクセスを制限することもできます。
6. 次へ をクリックします。
7. 送信 をクリックして変更を保存します。

手順

1. 管理 > ロール に移動します。
2. ロールの右側にある フィルター をクリックして、フィルター ページを開きます。

手順

1. 必要なパッケージがインストールされていることを確認します。Satellite Server で以下のコマンドを実行します。

   # yum install tfm-rubygem-foreman*

2. 以下のコマンドで Satellite コンソールを起動します。

   # foreman-rake console

   コンソールに以下のコードを挿入します。

   f = File.open('/tmp/table.html', 'w')
   
   result = Foreman::AccessControl.permissions {|a,b| a.security_block <=> b.security_block}.collect do |p|
         actions = p.actions.collect { |a| "<li>#{a}</li>" }
         "<tr><td>#{p.name}</td><td><ul>#{actions.join('')}</ul></td><td>#{p.resource_type}</td></tr>"
   end.join("\n")
   
   f.write(result)

   上記の構文により、パーミッションの表が作成され、/tmp/table.html ファイルに保存されます。

3. Ctrl + D を押して、Satellite コンソールを終了します。/tmp/table.html の最初の行に以下のテキストを挿入します。

   <table border="1"><tr><td>Permission name</td><td>Actions</td><td>Resource type</td></tr>

   /tmp/table.html の最後に以下のテキストを追加します。

   </table>

4. Web ブラウザーで /tmp/table.html を開いて、表を確認します。

手順

1. 管理 > ロール に移動します。
2. 削除するロールの右側にあるドロップダウンリストから 削除 を選択します。
3. 警告ボックスで、OK をクリックしてロールを削除します。

手順

1. 設定 > 環境 に移動します。
2. satellite.example.com からの環境のインポート をクリックします。

3. 監査するホストに関連付けられた Puppet 環境のチェックボックスを選択します。

   Puppet 環境が存在しない場合は、production 環境のチェックボックスを選択します。

4. 更新 をクリックします。

手順

1. ホスト > ポリシー に移動して、新規ポリシー をクリックし、ウィザードの手順に従います。
2. ポリシーの名前、説明 (オプション) を入力してから 次へ をクリックします。
3. 適用する SCAP コンテンツおよび XCCDF プロファイルを選択してから 次へ をクリックします。

4. ポリシーを適用する時間を指定してから 次へ をクリックします。

   期間 のドロップダウンメニューから、毎週、毎月、または カスタム を選択します。

   • 毎週 を選択したら 平日 ドロップダウンリストから曜日を選択します。
   • 毎月 を選択したら 日付 フィールドで日付を指定します。

   • カスタム を選択したら Cron 行 フィールドに有効な Cron 式を入力します。

     Custom オプションでは、毎週 もしくは 毎月 オプションよりもスケジュールに柔軟性を持たせることができます。

5. ポリシーを適用するロケーションを選択してから 次へ をクリックします。
6. ポリシーを適用する組織を選択してから 次へ をクリックします。
7. ポリシーを適用するホストグループを選択してから 送信 をクリックします。

手順

1. ホスト > ポリシー に移動します。
2. ガイドの表示 をクリックします。

手順

1. ホスト > ポリシー に移動します。
2. ポリシーの名前の右側にあるドロップダウンリストから、編集 を選択します。
3. 必要な属性を編集します。
4. 送信 をクリックします。

1. ホスト > ポリシー に移動します。
2. ポリシーの名前の右側にあるドロップダウンリストから、削除 を選択します。
3. 確認メッセージで OK をクリックします。

1. ホスト > すべてのホスト に移動します。
2. ポリシーを追加するホストを選択します。
3. アクションの選択 をクリックします。
4. リストから コンプライアンスポリシーの割り当て を選択します。
5. 新規パネルで、利用可能なポリシー一覧から適切なポリシーを選択し 送信 をクリックします。

手順

1. ホスト > コンプライアンス - テーラリングファイル に移動して、新規 テーラリングファイル をクリックします。
2. 名前 テキストボックスに、名前を入力します。
3. ファイルの選択 をクリックしてから、SCAP DataStream テーラリングファイルが含まれるロケーションに移動し、開く を選択します。
4. 送信 をクリックして、選択したテーラリングファイルをアップロードします。

手順

1. ホスト > コンプライアンス - ポリシー に移動します。
2. 新規ポリシー、または既存のコンプライアンスポリシーがある場合は、新規コンプライアンスポリシー をクリックします。
3. 名前 テキストボックスに名前を入力して 次へ をクリックします。
4. ドロップダウンメニューから Scap コンテンツ を選択します。
5. ドロップダウンメニューから XCCDF プロファイル を選択します。
6. ドロップダウンメニューから テーラリングファイル を選択します。

7. ドロップダウンメニューから テーラリングファイル内の XCCDF プロファイル を選択します。

   テーラリングファイルは複数の XCCDF プロファイルを含めることが可能なため、XCCDF プロファイルの選択が重要になります。

8. 次へ をクリックします。
9. ドロップダウンメニューから 期間 を選択します。
10. ドロップダウンメニューから 平日 を選択して、次へ をクリックします。
11. 選択したアイテム ウィンドウに移動させる ロケーション を選択して、次へ をクリックします。
12. 選択したアイテム ウィンドウに移動させる 組織 を選択して、次へ をクリックします。
13. 選択したアイテム ウィンドウに移動させる ホストグループ を選択して、送信 をクリックします。

手順

1. Satellite web UI で、ホスト > ポリシー に移動します。

2. 必要なポリシー名をクリックします。ダッシュボードに次の情報が提供されます。

   • ホストのポリシーコンプライアンスの状況を概要ビューで表示するリングチャート。
   • ホストのポリシーに関するコンプライアンス状況についての統計の内訳 (表形式)。
   • 各ホストの最新ポリシーレポートへのリンク

手順

1. Satellite Web UI で、ホスト > レポート に移動して、すべてのコンプライアンスレポートを一覧表示します。
2. 個々のレポートの詳細を表示するには、特定のホストの行で レポートの表示 をクリックします。

3. 詳細を確認するには、ルールのタイトルをクリックします。

   • ルールの説明。可能な場合は、ホストがコンプライアンスを満たすための指示を含みます。
   • ルールの根拠。
   • 場合により、修復スクリプト。

1. Satellite Web UI で、ホスト > レポート に移動します。
2. コンプライアンスレポートウィンドウで、削除するポリシーを特定し、ポリシーの名前の右側にある 削除 を選択します。
3. OK をクリックします。

1. Satellite Web UI で、ホスト > レポート に移動します。
2. コンプライアンスレポートウィンドウで、削除するコンプライアンスレポートを選択します。
3. リストの右上の レポートの削除 を選択します。
4. 削除するページ数だけ、この手順を繰り返します。

手順

1. du コマンドを使用して、データベースおよび設定ファイルのサイズを検索します。

   # du -csh /var/lib/mongodb /var/lib/pgsql/data /var/lib/pulp /var/lib/qpidd /var/lib/tftpboot /etc /root/ssl-build /var/www/html/pub /opt/puppetlabs

   例:

   # du -csh /var/lib/mongodb /var/lib/pgsql/data /var/lib/pulp /var/lib/qpidd /var/lib/tftpboot /etc /root/ssl-build /var/www/html/pub /opt/puppetlabs
   480G	/var/lib/mongodb
   100G    /var/lib/pgsql/data
   100G	/var/lib/pulp
   886M    /var/lib/qpidd
   16M     /var/lib/tftpboot
   37M     /etc
   900K	/root/ssl-build
   100K	/var/www/html/pub
   2M	    /opt/puppetlabs
   681G    total

   この例では、ファイルのサイズは 681 GB です。

2. 上記の結果を使用して、圧縮データの保存に必要な容量を計算します。

   圧縮データのサイズを見積もる方法の詳細は、「バックアップデータ圧縮率」を参照してください。

   この例では、バックアップの圧縮データに 180 GB が必要です。

3. 必要な追加の空き容量を計算します。

   必要な追加容量は、圧縮後および圧縮前のファイルの合計の 20% であるため、この例で必要な追加容量は 178 GB です。

4. 上記の結果の合計を計算します。

   この例では、次のようになります。

   Uncompressed size = 861 GB
   Compressed size = 180 GB
   Additional free space required = 172 GB
   Sum = 1033 GB

   この例では、バックアップの見積もりサイズは 1033 GB です。

手順

1. foreman-maintain backup スクリプトを実行します。

   # foreman-maintain backup offline /var/backup_directory

2. バックアップを開始するようにプロンプトが表示されたら、y を入力します。

   Do you want to proceed?, [y(yes), q(quit)] y

   バックアッププロセスの完了までに長時間かかります。

手順

1. foreman-maintain backup スクリプトを実行します。

   # foreman-maintain backup online /var/backup_directory

2. バックアップを開始するようにプロンプトが表示されたら、y を入力します。

   Do you want to proceed?, [y(yes), q(quit)] y

   バックアッププロセスの完了までに長時間かかります。

手順

1. foreman-maintain backup スクリプトを実行します。

   # foreman-maintain backup offline --incremental /var/backup_dir/previous_backup_dir /var/backup_dir

   previous_backup_dir を、増分バックアップのベースとして使用する前回のバックアップの名前に置き換えます。

2. バックアップを開始するようにプロンプトが表示されたら、y を入力します。

   Do you want to proceed?, [y(yes), q(quit)] y

手順

1. foreman-maintain backup スクリプトを実行します。

   # foreman-maintain backup online --incremental /var/backup_dir/previous_backup_dir /var/backup_dir

   previous_backup_dir を、増分バックアップのベースとして使用する前回のバックアップの名前に置き換えます。

2. バックアップを開始するようにプロンプトが表示されたら、y を入力します。

   Do you want to proceed?, [y(yes), q(quit)] y

手順

1. foreman-maintain backup スクリプトを実行します。

   # foreman-maintain backup offline --skip-pulp-content /var/backup_directory

2. バックアップを開始するようにプロンプトが表示されたら、y を入力します。

   Do you want to proceed?, [y(yes), q(quit)] y

手順

1. foreman-maintain backup スクリプトを実行します。

   # foreman-maintain backup online --skip-pulp-content /var/backup_directory

2. バックアップを開始するようにプロンプトが表示されたら、y を入力します。

   Do you want to proceed?, [y(yes), q(quit)] y

手順

1. foreman-maintain backup スクリプトを実行します。

   # foreman-maintain backup snapshot /var/backup_directory

2. バックアップを開始するようにプロンプトが表示されたら、y を入力します。

   Do you want to proceed?, [y(yes), q(quit)] y

手順

1. 外部 Capsule から同期 するには、web UI で関連する組織とロケーションを選択するか、任意の組織 と 任意のロケーション を選択します。
2. インフラストラクチャー > Capsules (スマートプロキシー) に移動し、同期する Capsule 名をクリックします。
3. 概要 タブで 同期 を選択します。

手順

1. /etc/foreman/settings.yaml ファイルを編集します。

   1. ロギングレベルを "debug" に変更します。

      :logging:
        :level: debug

   2. 個別ロギングタイプを選択します。

      :loggers:
        :ldap:
          :enabled: true
        :permissions:
          :enabled: true
        :sql:
          :enabled: true

      ロガーの詳細については、「ロガーとデフォルト値のリスト」を参照してください。

2. Satellite サービスを再起動します。

   # foreman-maintain service restart

手順

1. LDAP サーバーから証明書を取得します。

   1. Active Directory 証明書サービスを使用する場合は、ベース 64 エンコード X.509 形式を使用してエンタープライズ PKI CA 証明書をエクスポートします。Active Directory サーバーでの CA 証明書の作成およびエクスポートについては、「How to configure Active Directory authentication with TLS on Satellite 6」を参照してください。

   2. LDAP サーバー証明書は、Satellite Server がインストールされている Red Hat Enterprise Linux システムの一時的な場所にダウンロードし、終了時に削除します。

      たとえば、/tmp/example.crt です。ファイル名の拡張子を .cer と .crt にすることが唯一の規則であり、この拡張子は、DER バイナリーまたは PEM ASCII の形式の証明書を参照できます。

2. LDAP サーバーからの証明書を信頼します。

   Red Hat Satellite Server では、LDAP 認証用の CA 証明書は /etc/pki/tls/certs/ ディレクトリー内の個別ファイルである必要があります。

   1. install コマンドを使用して適切なパーミッションでインポート済みの証明書を /etc/pki/tls/certs/ ディレクトリーにインストールします。

      # install /tmp/example.crt /etc/pki/tls/certs/

   2. root で以下のコマンドを実行して、LDAP サーバーから取得した example.crt 証明書を信頼します。

      # ln -s example.crt /etc/pki/tls/certs/$(openssl \
      x509 -noout -hash -in \
      /etc/pki/tls/certs/example.crt).0

   3. httpd サービスを再起動します。

      # systemctl restart httpd

手順

1. Network Information System (NIS) サービスのブール値を true に設定して SELinux により LDAP の送信接続がブロックされないようにします。

   # setsebool -P nis_enabled on

2. 管理 > LDAP 認証 に移動します。
3. 認証ソースの作成 をクリックします。
4. LDAP サーバータブで LDAP サーバーの名前、ホスト名、ポート、およびサーバータイプを入力します。デフォルトポートは 389、デフォルトサーバータイプは POSIX です (認証サーバーのタイプに応じて FreeIPA または Active Directory を選択することもできます)。TLS 暗号化接続に対しては、LDAPS チェックボックスを選択して暗号化を有効にします。ポートは LDAPS のデフォルト値である 636 に変更されるはずです。
5. アカウント タブでアカウント情報とドメイン名の詳細を入力します。説明と例については、「LDAP 設定の説明」を参照してください。
6. Attribute mappings タブで LDAP 属性を Satellite 属性にマッピングします。ログイン名、名、姓、メールアドレス、および写真の属性をマッピングできます。例については、「LDAP 接続の設定例」を参照してください。
7. ロケーション タブで、左側の表からロケーションを選択します。選択したロケーションは、LDAP 認証ソースから作成されたユーザーに割り当てられ、初回ログイン以降、利用可能となります。
8. 組織 タブで、左側の表から組織を選択します。選択した組織は、LDAP 認証ソースから作成されたユーザーに割り当てられ、初回ログイン以降、利用可能となります。
9. 送信 をクリックします。

10. LDAP ユーザーの新しいアカウントを設定します。

    • Onthefly Register チェックボックスを選択していない場合は、「ユーザーの作成」を参照してユーザーアカウントを手動で作成します。
    • Onthefly Register チェックボックスを選択した場合は、LDAP ユーザーは LDAP アカウントおよびパスワードを使用して Satellite にログインできます。最初にログインした後に、Satellite 管理者がロールを手動で割り当てる必要があります。Satellite でユーザーアカウントに適切なロールを割り当てる方法は、「ユーザーへのロールの割り当て」を参照してください。

手順

1. IdM サーバーで、次のコマンドを入力し、プロンプトが表示されたら、パスワードを入力して、認証します。

   # kinit admin

2. 認証されたことを確認するには、次のコマンドを入力します。

   # klist

3. 以下のように、IdM サーバー上で Satellite Server のホストエントリーを作成し、ワンタイムパスワードを生成します。

   # ipa host-add --random hostname

   注記

   IdM 登録を完了するには、生成されたワンタイムパスワードをクライアントで使用する必要があります。

   ホスト設定プロパティーの詳細は、『Red Hat Enterprise Linux 7 Linux ドメイン ID、認証、およびポリシーガイドのホストエントリー設定のプロパティー』を参照してください。

4. 以下のように、Satellite Server 向けの HTTP サービスを作成します。

   # ipa service-add servicename/hostname

   サービス管理の詳細については、『Red Hat Enterprise Linux 7 Linux ドメイン ID、認証、およびポリシー』ガイドの「サービスの管理」を参照してください。

5. Satellite Server で、IPA クライアントをインストールします。

   # yum install ipa-client

6. Satellite Server で、以下のコマンドを root として入力し、IdM 登録を設定します。

   # ipa-client-install --password OTP

   OTP を、IdM 管理者により提供されたワンタイムパスワードに置き換えます。

7. Satellite Server が Red Hat Enterprise Linux 7 で実行されている場合は、以下のコマンドを実行します。

   # subscription-manager repos --enable rhel-7-server-optional-rpms

   インストーラーは、オプションのリポジトリー rhel-7-server-optional-rpms (Red Hat Enterprise Linux 7 の場合) に含まれるパッケージに依存します。Red Hat Enterprise Linux 6 の場合、必要なすべてのパッケージは base リポジトリーに含まれます。

8. 以下のコマンドを使用して、foreman-ipa-authentication を true に設定します。

   # satellite-installer --foreman-ipa-authentication=true

9. Satellite サービスを再起動します。

   # foreman-maintain service restart

手順

1. IdM サーバーで、次のコマンドを入力し、プロンプトが表示されたら、パスワードを入力して、認証します。

   # kinit admin

2. 認証されたことを確認するには、次のコマンドを入力します。

   # klist

3. HBAC サービスおよびルールを IdM サーバーで作成し、リンクします。以下の例では、satellite-prod という PAM サービス名を使用しています。IdM サーバー上で以下のコマンドを実行してください。

   # ipa hbacsvc-add satellite-prod
   # ipa hbacrule-add allow_satellite_prod
   # ipa hbacrule-add-service allow_satellite_prod --hbacsvcs=satellite-prod

4. satellite-prod サービスへのアクセス権があるユーザーと Satellite Server のホスト名を追加します。

   # ipa hbacrule-add-user allow_satellite_prod --user=username
   # ipa hbacrule-add-host allow_satellite_prod --hosts=the-satellite-fqdn

   または、allow_satellite_prod ルールにホストグループとユーザーグループを追加します。

5. ルールのステータスを確認するために、以下のコマンドを実行します。

   # ipa hbacrule-find satellite-prod
   # ipa hbactest --user=username --host=the-satellite-fqdn --service=satellite-prod

6. IdM サーバーで allow_all ルールが無効であることを確認します。他のサービスに影響を与えずにこのルール無効にする方法については、Red Hat カスタマーポータルのアーティクル「How to configure HBAC rules in IdM」を参照してください。

7. 「Satellite Server での IdM 認証の設定」で説明されているように、Satellite Server で IdM 統合を設定します。Satellite Server で、root として PAM サービスを定義します。

   # satellite-installer --foreman-pam-service=satellite-prod

手順

1. 必要なパッケージをインストールします。

   # yum install sssd adcli realmd ipa-python-compat krb5-workstation

2. Satellite Server を AD サーバーに登録します。以下のコマンドを実行するには、管理者パーミッションが必要な場合があります。

   # realm join -v EXAMPLE.ORG

手順

1. /etc/ipa/ ディレクトリーと default.conf ファイルを作成します。

   # mkdir /etc/ipa
   # touch /etc/ipa/default.conf

2. default.conf ファイルに以下のコンテンツを追加します。

   [global]
   server = unused
   realm = EXAMPLE.ORG

3. 以下の内容で /etc/net-keytab.conf ファイルを作成します。

   [global]
   workgroup = EXAMPLE
   realm = EXAMPLE.ORG
   kerberos method = system keytab
   security = ads

4. Apache ユーザーの有効なユーザー ID を特定します。

   # id apache

   Apache ユーザーには keytab ファイルへのアクセス権を割り当てないでください。

5. 以下の内容で /etc/gssproxy/00-http.conf ファイルを作成します。

   [service/HTTP]
   mechs = krb5
   cred_store = keytab:/etc/krb5.keytab
   cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
   euid = ID_of_Apache_User

6. 以下の行を /etc/krb5.conf ファイルの先頭に挿入します。

   includedir /var/lib/sss/pubconf/krb5.include.d/

7. keytab エントリーを作成します。

   # KRB5_KTNAME=FILE:/etc/httpd/conf/http.keytab net ads keytab add HTTP -U administrator -d3 -s /etc/net-keytab.conf
   # chown root.apache /etc/httpd/conf/http.keytab
   # chmod 640 /etc/httpd/conf/http.keytab

8. Satellite の IPA 認証を有効にします。

   # satellite-installer --foreman-ipa-authentication=true

9. gssproxy サービスを起動して、有効にします。

   # systemctl restart gssproxy.service
   # systemctl enable gssproxy.service

10. Apache サーバーが gssproxy サービスを使用するように設定します。

    1. 以下の内容で /etc/systemd/system/httpd.service ファイルを作成します。

       .include /lib/systemd/system/httpd.service
       [Service]
       Environment=GSS_USE_PROXY=1

    2. 変更をサービスに適用します。

       # systemctl daemon-reload

11. httpd サービスを起動して、有効にします。

    # systemctl restart httpd.service

12. SSO が想定どおりに動作していることを確認します。

    Apache サーバーが実行中であり、クライアントに有効な Kerberos チケットがある場合、サーバーに対して HTTP 要求を行うユーザーは認証されます。

    1. 次のコマンドを使用して、LDAP ユーザーの Kerberos チケットを取得します。

       # kinit ldapuser

    2. 以下のコマンドを使用して、Kerberos チケットを表示します。

       # klist

    3. 以下のコマンドを使用して、SSO 認証に成功時の出力を表示します。

       # curl -k -u : --negotiate https://satellite.example.com/users/extlogin
       <html><body>You are being <a href="https://satellite.example.com/users/4-ldapuserexample-com/edit">redirected</a>.</body></html>

手順

1. HBAC を有効にします。

   1. 外部グループを作成して、この外部グループに AD グループを追加します。
   2. 新しい外部グループを POSIX グループに追加します。
   3. HBAC ルールで POSIX グループを使用します。

2. AD ユーザーの追加属性を転送するよう sssd を設定します。

   • この AD ユーザー属性を /etc/sssd/sssd.conf の nss セクションと domain セクションに追加します。

     例を示します。

     [nss]
     user_attributes=+mail, +sn, +givenname
     
     [domain/EXAMPLE]
     ldap_user_extra_attrs=mail, sn, givenname

Red Hat Satellite Server または Capsule Server での IdM レルムサポートの設定:

1. Satellite Server または Capsule Server に以下のパッケージをインストールします。

   # yum install ipa-client foreman-proxy ipa-admintools

2. IdM クライアントとして Satellite Server (または Capsule Server) を設定します。

   # ipa-client-install

3. Satellite Server または Capsule Server の Red Hat Identity Management で realm-capsule ユーザーと関連ロールを作成します。

   # foreman-prepare-realm admin realm-capsule

   foreman-prepare-realm を実行して、Capsule Server と使用するよう IdM サーバーを準備します。これにより、Satellite に必要なパーミッションを持つ専用ロールと、そのロールを持つユーザーが作成され、keytab ファイルが取得されます。この手順では Identity Management サーバー設定の詳細が必要になります。

   コマンドが正常に実行されると、以下の出力が表示されます。

   Keytab successfully retrieved and stored in: freeipa.keytab
   Realm Proxy User:    realm-capsule
   Realm Proxy Keytab:  /root/freeipa.keytab

   注記

   同じプリンシパルとレルムを使用して Satellite Server と、外部の Capsule Server 1 台以上を設定し、 IdM レルムをサポートするには、foreman-prepare-realm スクリプトを実行してから、これまでに登録したすべての Capsule Server に /root/freeipa.keytab ファイルをコピーする必要があります。

   # scp /root/freeipa.keytab your_username@capsule.example.com:/etc/foreman-proxy/freeipa.keytab

4. /root/freeipa.keytab を /etc/foreman-proxy ディレクトリーに移動し、ユーザーの foreman-proxy に所有者設定を行います。

   # mv /root/freeipa.keytab /etc/foreman-proxy
   # chown foreman-proxy:foreman-proxy /etc/foreman-proxy/freeipa.keytab

5. Satellite Server または Capsule Server のどちらを使用しているかに応じてレルムを設定します。

   • Satellite Server で統合された Capsule Server を使用している場合は、レルムを設定するために satellite-installer を使用します。

     # satellite-installer --foreman-proxy-realm true \
     --foreman-proxy-realm-keytab /etc/foreman-proxy/freeipa.keytab \
     --foreman-proxy-realm-principal realm-capsule@EXAMPLE.COM \
     --foreman-proxy-realm-provider freeipa

     注記

     これらのオプションは、Red Hat Satellite Server を初めて設定する場合にも実行できます。

   • 外部の Capsule Server を使用している場合は、レルムを設定するために satellite-installer --scenario capsule を使用します。

     # satellite-installer --scenario capsule \
     --foreman-proxy-realm true \
     --foreman-proxy-realm-keytab /etc/foreman-proxy/freeipa.keytab \
     --foreman-proxy-realm-principal realm-capsule@EXAMPLE.COM \
     --foreman-proxy-realm-provider freeipa

6. ca-certificates パッケージの最新バージョンがインストールされ、IdM 認証局が信頼されていることを確認します。

   # cp /etc/ipa/ca.crt /etc/pki/ca-trust/source/anchors/ipa.crt
   # update-ca-trust enable
   # update-ca-trust

7. (オプション) すでに存在する Satellite Server または Capsule Server で IdM を設定している場合は、設定の変更を反映するために以下の手順も実行する必要があります。

   1. foreman-proxy サービスを再起動します。

      # service foreman-proxy restart

   2. Satellite Server にログインし、インフラストラクチャー > Capsules (スマートプロキシー) に移動します。
   3. IdM 用に設定した Capsule Server の右側にあるドロップダウンメニューをクリックし、機能の更新 を選択します。

8. 最後に、Satellite Server ユーザーインターフェースで新規のレルムエントリーを作成します。

   1. インフラストラクチャー > レルム に移動し、メインページの右側にある 新規レルム をクリックします。

   2. 以下のサブタブのフィールドに値を入力します。

      • レルム サブタブで、レルム名、使用するレルムの種類、およびレルムプロキシーを指定します。
      • ロケーション サブタブで、新規レルムを使用する予定のロケーションを選択します。
      • 組織 サブタブで、新規レルムを使用する予定の組織を選択します。
   3. 送信 をクリックします。

IdM ホストグループへのホストの追加:

1. IdM サーバー上で、ホストグループを作成します。

   # ipa hostgroup-add hostgroup_name
   Description: hostgroup_description
   ----------------------------
   Added hostgroup "hostgroup_name"
   ----------------------------
   Host-group: hostgroup_name
   Description: hostgroup_description

   ここで、

   • hostgroup_name はホストグループの名前です。
   • hostgroup_description はホストグループの説明です。

2. automembership のルールを作成します。

   # ipa automember-add --type=hostgroup automember_rule
   ----------------------------------
   Added automember rule "automember_rule"
   ----------------------------------
   Automember Rule: automember_rule

   ここで、

   • automember-add は automember グループとしてグループにフラグを立てます。
   • --type=hostgroup は、ターゲットグループがユーザーグループではなく、ホストグループであることを特定します。
   • automember_rule は、automember ルールの特定に使用する名前です。

3. userclass 属性に基づいて automembership の条件を定義します。

   # ipa automember-add-condition --key=userclass --type=hostgroup --inclusive-regex=^webserver hostgroup_name
   ----------------------------------
   Added condition(s) to "hostgroup_name"
   ----------------------------------
   Automember Rule: automember_rule
   Inclusive Regex: userclass=^webserver
   ----------------------------
   Number of conditions added 1
   ----------------------------

   ここで、

   • automember-add-condition により、グループメンバーを特定するための正規表現の条件を追加することができます。
   • --key=userclass はキー属性を userclass に指定します。
   • --type=hostgroup は、ターゲットグループがユーザーグループではなく、ホストグループであることを特定します。
   • --inclusive-regex= ^webserver は、一致する値を特定するための正規表現パターンです。
   • hostgroup_name はターゲットホストグループの名前です。

タイムアウト設定を調整するには、以下を実行します。

1. 管理 > 設定 に移動します。
2. 検索ボックスに %_timeout を入力し、検索 をクリックします。検索では、説明を含む 4 つの設定が返されます。
3. 値 のコラムで、数字の横にあるアイコンをクリックして編集します。
4. 希望する秒数を入力したら、保存 をクリックします。

サービスのチェックを無効にするには、以下を実行します。

1. 管理 > 設定 に移動します。
2. 検索ボックスに check_services_before_actions を入力し、検索 をクリックします。
3. 値 コラムでアイコンをクリックして値を編集します。
4. ドロップダウンメニューから false を選択します。
5. 保存をクリックします。

ブックマークを作成するには、以下の手順に従います。

1. ブックマークを作成するページに移動します。
2. 検索 フィールドに保存する検索クエリーを入力します。
3. 検索 ボタンの右側にある矢印を選択し、この検索をブックマーク を選択します。
4. 名前 フィールドに 新規ブックマークの名前を入力します。
5. 検索クエリー フィールドに正しい検索クエリーがあることを確認します。

6. 公開 チェックボックスの設定を確認します。

   • 公開 にチェックを入れると、ブックマークが公開されて全ユーザーに見えるようになります。
   • 公開 のチェックを外すと、ブックマークが非公開となり、作成したユーザーのみに見えるようになります。
7. 送信 をクリックします。

ブックマークの削除手順

1. 管理 > ブックマーク に移動します。
2. ブックマークページで、削除するブックマークの 削除 をクリックします。
3. 確認ウィンドウが表示されたら、OK をクリックして削除を確認します。