1. Capsule をインストールするベースシステムにファイアウォールを設定します。

   # firewall-cmd --add-port="53/udp" --add-port="53/tcp" \
   --add-port="67/udp" --add-port="69/udp" \
   --add-port="80/tcp" --add-port="443/tcp" \
   --add-port="5000/tcp" --add-port="5647/tcp" \
   --add-port="8000/tcp" --add-port="8140/tcp" \
   --add-port="8443/tcp" --add-port="9090/tcp"

2. 変更を永続化します。

   # firewall-cmd --runtime-to-permanent

Satellite Server への登録

1. Capsule をインストールするベースシステムに Satellite Server の CA 証明書をインストールします。

   # rpm -Uvh http://satellite.example.com/pub/katello-ca-consumer-latest.noarch.rpm

2. 今後 Capsule を所属させる環境で、Capsule のインストール先のベースシステムを登録します。アクティベーションキーを使用して、環境の指定を簡素化します。

   # subscription-manager register --org=organization_name --activationkey=example_activation_key

1. Capsule Server のサブスクリプションを識別します。

   # subscription-manager list --all --available --matches='Red Hat Satellite Infrastructure Subscription'

   このコマンドを実行すると、以下のような出力が表示されます。

   Subscription Name:   Red Hat Satellite Infrastructure Subscription
   Provides:            Red Hat Beta
                        Red Hat Satellite
                        Red Hat Satellite with Embedded Oracle
                        Red Hat Satellite 5 Managed DB
                        Red Hat Satellite Proxy
                        Red Hat Software Collections (for RHEL Server)
                        Red Hat Satellite Capsule
                        Red Hat Software Collections Beta (for RHEL Server)
                        Red Hat Enterprise Linux High Availability for x86_64
                        Red Hat Ansible Engine
                        Red Hat Enterprise Linux Load Balancer (for RHEL Server)
                        Red Hat Enterprise Linux Server
   SKU:                 MCT3718
   Contract:
   Account:             540155
   Serial:              6960416325892182336
   Pool ID:             8a85f999655dc45a01658350d80d7164
   Provides Management: Yes
   Active:              True
   Quantity Used:       1
   Service Level:       Premium
   Service Type:        L1-L3
   Status Details:      Subscription is current
   Subscription Type:   Standard
   Starts:              08/28/2018
   Ends:                09/19/2019
   System Type:         Physical

2. 後で Satellite ホストに割り当てるために、プール ID をメモします。実際に使用するプール ID は、この例で使用されているものとは異なります。

3. プール ID を使用してサブスクリプションを Capsule Server に割り当てます。

   # subscription-manager attach --pool=pool_id

   この出力では、以下のような内容が表示されます。

   Successfully attached a subscription for: Red Hat Capsule Server

4. サブスクリプションが正しく割り当てられたことを確認するには、以下のコマンドを実行します。

   # subscription-manager list --consumed

1. 既存のリポジトリーをすべて無効にします。

   # subscription-manager repos --disable "*"

2. Red Hat Satellite Capsule、Red Hat Enterprise Linux、および Red Hat Software Collections リポジトリーを有効にします。

   Red Hat Software Collections リポジトリーは、リモート実行機能を含む一部の Red Hat Satellite Capsule 機能で必要な、新しいバージョンの Ruby を提供します。

   # subscription-manager repos --enable rhel-7-server-rpms \
   --enable rhel-7-server-satellite-capsule-6.5-rpms \
   --enable rhel-server-rhscl-7-rpms \
   --enable rhel-7-server-satellite-maintenance-6-rpms \
   --enable rhel-7-server-ansible-2.6-rpms

3. Red Hat 以外のすべての yum リポジトリーのメタデータをすべて削除します。

   # yum clean all

4. リポジトリーが有効になっていることを確認します。

   # yum repolist enabled

chronyd を使用した時間の同期

1. chronyd をインストールします。

   # yum install chrony

2. chronyd サービスを起動して、有効にします。

   # systemctl start chronyd
   # systemctl enable chronyd

1. すべてのパッケージを更新します。

   # yum update

2. インストールパッケージをインストールします。

   # yum install satellite-capsule

1. In the Satellite web UI, navigate to Content > Red Hat Repositories.
2. Use the Search field to enter the following repository name: Red Hat Satellite Tools 6.5 (for RHEL 7 Server) (RPMs).

3. In the Available Repositories pane, click on Red Hat Satellite Tools 6.5 (for RHEL 7 Server) (RPMs) to expand the repository set.

   If the Red Hat Satellite Tools 6.5 items are not visible, it may be because they are not included in the Subscription Manifest obtained from the Customer Portal. To correct that, log in to the Customer Portal, add these repositories, download the Subscription Manifest and import it into Satellite.

4. For the x86_64 entry, click the Enable icon to enable the repository.

1. In the Satellite web UI, navigate to Content > Sync Status.

   A list of product repositories available for synchronization is displayed.

2. Click the arrow next to the Red Hat Enterprise Linux Server product to view available content.
3. Select Red Hat Satellite Tools 6.5 (for RHEL 7 Server) RPMs x86_64.
4. Click Synchronize Now.

1. Install the katello-agent package:

   # yum install katello-agent

2. Start the goferd service :

   # systemctl start goferd

1. Satellite Web UI で、インフラストラクチャー > Capsule に移動し、ライフサイクルを追加する Capsule を選択します。
2. 編集 をクリックしてから、ライフサイクル環境 タブをクリックします。
3. 左のメニューから、Capsule に追加するライフサイクル環境を選択し、 送信 をクリックします。
4. Capsule のコンテンツを同期するには、概要 タブをクリックしてから 同期 ボタンをクリックします。
5. 最適化された同期 または 完全な同期 を選択します。

CLI をご利用の場合

1. Capsule Serverの全一覧を表示するには、以下のコマンドを入力します。

   # hammer capsule list

   返された ID をメモします。

2. その ID を使用して、Capsule Server の詳細を確認します。

   # hammer capsule info --id capsule_id

3. 利用可能なライフサイクル環境を確認し、環境 ID を書き留めます。

   # hammer capsule content available-lifecycle-environments \
   --id capsule_id

4. Capsule Server で利用可能なライフサイクル環境を表示するには、以下のコマンドを入力して、組織名と ID をメモします。

   # hammer capsule content available-lifecycle-environments --id capsule_id

5. ライフサイクル環境を Capsule Server に追加します。

   # hammer capsule content add-lifecycle-environment \
   --id capsule_id --organization "My_Organization" \
   --environment-id environment_id

   Capsule Server に追加する各ライフサイクル環境に対して手順を繰り返します。

   Satellite Server 環境のすべてのコンテンツを Capsule Server に同期するには、以下のコマンドを実行します。

   # hammer capsule content synchronize --id capsule_id

   Satellite Server 環境の特定のライフサイクル環境を Capsule Server と同期するには、以下のコマンドを実行します。

   # hammer capsule content synchronize --id external_capsule_id \
   --environment-id environment_id

管理対象ホスト上での電源管理の有効化

1. オプションを使用してインストーラーを実行し、BMC を有効にします。

   # satellite-installer --scenario capsule \
   --foreman-proxy-bmc "true" \
   --foreman-proxy-bmc-default-provider "freeipmi"

Capsule Server での DNS、DHCP、および TFTP の設定

1. ご使用の環境に該当するオプションを使用して Capsule インストーラーを実行します。

   以下の例は、完全なプロビジョニングサービスを示してます。

   # satellite-installer --scenario capsule \
   --foreman-proxy-dns true \
   --foreman-proxy-dns-managed true \
   --foreman-proxy-dns-interface eth0 \
   --foreman-proxy-dns-zone example.com \
   --foreman-proxy-dns-forwarders 172.17.13.1 \
   --foreman-proxy-dns-reverse 13.17.172.in-addr.arpa \
   --foreman-proxy-dhcp true \
   --foreman-proxy-dhcp-managed true \
   --foreman-proxy-dhcp-interface eth0 \
   --foreman-proxy-dhcp-range "172.17.13.100 172.17.13.150" \
   --foreman-proxy-dhcp-gateway 172.17.13.1 \
   --foreman-proxy-dhcp-nameservers 172.17.13.2 \
   --foreman-proxy-tftp true \
   --foreman-proxy-tftp-managed true \
   --foreman-proxy-tftp-servername $(hostname)

1. 「Capsule Server 向けの SSL 証明書の取得」
2. 「Capsule Server の SSL 証明書の検証」
3. 「Capsule サーバーの証明書アーカイブファイルの作成」
4. 「Capsule Server のカスタム証明書のインストール」
5. 「すべてのホストへの Capsule Server の新しい証明書のインストール」

1. ファイヤーウォールを設定します。

   # firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 27017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 27017 -j DROP \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 27017 -j DROP \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner apache -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 0 -o lo -p \
   tcp -m tcp --dport 28017 -m owner --uid-owner root -j ACCEPT \
   && firewall-cmd  --direct --add-rule ipv4 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 28017 -j DROP \
   && firewall-cmd  --direct --add-rule ipv6 filter OUTPUT 1 -o lo -p \
   tcp -m tcp --dport 28017 -j DROP

2. 変更を永続化します。

   # firewall-cmd --runtime-to-permanent

1. Red Hat Enterprise Linux Server で、ISC DNS サービスをインストールします。

   # yum install bind bind-utils

   nsupdate ユーティリティーがインストールされていることを確認します。Capsule は nsupdate ユーティリティーを使用してリモートサーバー上の DNS レコードを更新します。

2. サービスサーバーの /etc/rndc.key ファイルを Capsule Server にコピーします。

   # scp localfile username@hostname:remotefile

3. 所有者、パーミッション、SELinux コンテキストが正しいことを確認します。

   # restorecon -v /etc/rndc.key
   # chown -v root:named /etc/rndc.key
   # chmod -v 640 /etc/rndc.key

4. ホストをリモートで追加して nsupdate ユーティリティーをテストします。

   # echo -e "server 192.168.38.2\n \
   update add aaa.virtual.lan 3600 IN A 192.168.38.10\n \
   send\n" | nsupdate -k /etc/rndc.key
   # nslookup aaa.virtual.lan 192.168.38.2
   # echo -e "server 192.168.38.2\n \
   update delete aaa.virtual.lan 3600 IN A 192.168.38.10\n \
   send\n" | nsupdate -k /etc/rndc.key

5. satellite-installer スクリプトを実行して、以下の永続的な変更を /etc/foreman-proxy/settings.d/dns.yml ファイルに加えます。

   # satellite-installer --foreman-proxy-dns=true \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate \
   --foreman-proxy-dns-server="192.168.38.2" \
   --foreman-proxy-keyfile=/etc/rndc.key \
   --foreman-proxy-dns-ttl=86400

6. foreman-proxy サービスを再起動します。

   # systemctl restart foreman-proxy

7. Satellite Server Web インターフェースにログインします。
8. インフラストラクチャー > Capsules に移動します。適切な Capsule Server を見つけ、アクション ドロップダウンリストから 更新 を選択します。この結果、DNS 機能が現れます。
9. DNS サービスに適切なサブネットとドメインを関連付けます。

DHCP サーバーの設定、DHCP 設定およびリースファイルの共有

1. Red Hat Enterprise Linux Server をデプロイし、ISC DHCP サービスおよび BIND (Berkeley Internet Name Domain) をインストールします。

   # yum install dhcp bind

2. 空のディレクトリーでセキュリティートークンを生成します。

   # dnssec-keygen -a HMAC-MD5 -b 512 -n HOST omapi_key

   上記のコマンドが完了するまで、しばらく時間がかかることがあります。安全性が高くない概念実証のデプロイメントでは、非ブロック型乱数ジェネレーターを使用できます。

   # dnssec-keygen -r /dev/urandom -a HMAC-MD5 -b 512 -n HOST omapi_key

   これにより、キーペアが現行ディレクトリーに 2 つのファイルで作成されます。

3. キーからシークレットハッシュをコピーします。

   # cat Komapi_key.+*.private |grep ^Key|cut -d ' ' -f2

4. すべてのサブネットに対して dhcpd 設定ファイルを編集し、キーを追加します。例を示します。

   # cat /etc/dhcp/dhcpd.conf
   default-lease-time 604800;
   max-lease-time 2592000;
   log-facility local7;
   
   subnet 192.168.38.0 netmask 255.255.255.0 {
   	range 192.168.38.10 192.168.38.100;
   	option routers 192.168.38.1;
   	option subnet-mask 255.255.255.0;
   	option domain-search "virtual.lan";
   	option domain-name "virtual.lan";
   	option domain-name-servers 8.8.8.8;
   }
   
   omapi-port 7911;
   key omapi_key {
   	algorithm HMAC-MD5;
   	secret "jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw==";
   };
   omapi-key omapi_key;

5. 2 つのキーファイルを、それらを作成したディレクトリーから削除します。

6. Satellite Server で各サブネットを定義します。

   競合を回避するために、リース範囲と予約範囲は別々に設定することが推奨されます。たとえば、リース範囲を 192.168.38.10 から 192.168.38.100 とし、予約範囲 (Satellite Web UI で定義済み) を 192.168.38.101 から 192.168.38.250 とします。ここでは、定義されたサブネットに DHCP Capsule を設定しないでください。

7. ファイアウォールで DHCP サーバーへの外部アクセスを設定します。

   # firewall-cmd --add-service dhcp \
   && firewall-cmd --runtime-to-permanent

8. Capsule Server の foreman ユーザーの UID 番号と GID 番号を確認します。

   # id -u foreman
   993
   # id -g foreman
   990

9. ユーザー ID とグループ ID が同じユーザーとグループを、DHCP サーバーに作成します。

   # groupadd -g 990 foreman
   # useradd -u 993 -g 990 -s /sbin/nologin foreman

10. 設定ファイルを読み取り可能にするために、読み取りおよび実行フラグを復元します。

    # chmod o+rx /etc/dhcp/
    # chmod o+r /etc/dhcp/dhcpd.conf
    # chattr +i /etc/dhcp/ /etc/dhcp/dhcpd.conf

11. DHCP サービスを起動します。

    # systemctl start dhcpd

12. NFS を使用して DHCP 設定およびリースファイルをエクスポートします。

    # yum install nfs-utils
    # systemctl enable rpcbind nfs-server
    # systemctl start rpcbind nfs-server nfs-lock nfs-idmapd

13. NFS を使用して、エクスポートする DHCP 設定およびリースファイルを作成します。

    # mkdir -p /exports/var/lib/dhcpd /exports/etc/dhcp

14. /etc/fstab ファイルに以下の行を追加して、新規作成ディレクトリー用にマウントポイントを作成します。

    /var/lib/dhcpd /exports/var/lib/dhcpd none bind,auto 0 0
    /etc/dhcp /exports/etc/dhcp none bind,auto 0 0

15. /etc/fstab のファイルシステムをマウントします。

    # mount -a

16. /etc/exports に以下の行が存在することを確認します。

    /exports 192.168.38.1(rw,async,no_root_squash,fsid=0,no_subtree_check)
    
    /exports/etc/dhcp 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)
    
    /exports/var/lib/dhcpd 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)

17. NFS サーバーをリロードします。

    # exportfs -rva

18. ファイアウォールで Satellite Server 向けの DHCP omapi ポート 7911 を設定します。

    # firewall-cmd --add-port="7911/tcp" \
    && firewall-cmd --runtime-to-permanent

19. 必要な場合は、ファイアウォールで NFS への外部アクセスを設定します。

    クライアントは NFSv3 を使用して設定されます。

    • firewalld デーモンの NFS サービスを使用してファイアウォールを設定します。

      # firewall-cmd --zone public --add-service mountd \
      && firewall-cmd --zone public --add-service rpc-bind \
      && firewall-cmd --zone public --add-service nfs \
      && firewall-cmd --runtime-to-permanent

Capsule Server での外部 DHCP の設定

1. NFS クライアントをインストールします。

   # yum install nfs-utils

2. NFS 用の DHCP ディレクトリーを作成します。

   # mkdir -p /mnt/nfs/etc/dhcp /mnt/nfs/var/lib/dhcpd

3. ファイルの所有者を変更します。

   # chown -R foreman-proxy /mnt/nfs

4. NFS サーバーとの通信と RPC 通信パスを検証します。

   # showmount -e your_DHCP_server_FQDN
   # rpcinfo -p your_DHCP_server_FQDN

5. /etc/fstab ファイルに以下の行を追加します。

   your_DHCP_server_FQDN:/exports/etc/dhcp /mnt/nfs/etc/dhcp nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcp_etc_t:s0" 0 0
   
   your_DHCP_server_FQDN:/exports/var/lib/dhcpd /mnt/nfs/var/lib/dhcpd nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcpd_state_t:s0" 0 0

6. /etc/fstab 上のファイルシステムをマウントします。

   # mount -a

7. 関連するファイルを読み取ります。

   # su foreman-proxy -s /bin/bash
   bash-4.2$ cat /mnt/nfs/etc/dhcp/dhcpd.conf
   bash-4.2$ cat /mnt/nfs/var/lib/dhcpd/dhcpd.leases
   bash-4.2$ exit

8. satellite-installer スクリプトを実行して、以下の永続的な変更を /etc/foreman-proxy/settings.d/dhcp.yml ファイルに加えます。

   # satellite-installer --foreman-proxy-dhcp=true \
   --foreman-proxy-dhcp-provider=remote_isc \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-config /mnt/nfs/etc/dhcp/dhcpd.conf \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-leases /mnt/nfs/var/lib/dhcpd/dhcpd.leases \
   --foreman-proxy-plugin-dhcp-remote-isc-key-name=omapi_key \
   --foreman-proxy-plugin-dhcp-remote-isc-key-secret=jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw== \
   --foreman-proxy-plugin-dhcp-remote-isc-omapi-port=7911 \
   --enable-foreman-proxy-plugin-dhcp-remote-isc \
   --foreman-proxy-dhcp-server=your_DHCP_server_FQDN

9. foreman-proxy サービスを再起動します。

   # systemctl restart foreman-proxy

10. Satellite Server Web インターフェースにログインします。
11. インフラストラクチャー > Capsules に移動します。適切な Capsule Server を見つけ、アクション ドロップダウンリストから 更新 を選択します。この結果、DHCP 機能が現れます。
12. DHCP サービスに適切なサブネットとドメインを関連付けます。

1. NFS を準備するために TFTP ディレクトリーを作成します。

   # mkdir -p /mnt/nfs/var/lib/tftpboot

2. /etc/fstab ファイルで以下の行を追加します。

   192.168.38.2:/exports/var/lib/tftpboot /mnt/nfs/var/lib/tftpboot nfs rw,vers=3,auto,nosharecache,context="system_u:object_r:tftpdir_rw_t:s0" 0 0

3. /etc/fstab のファイルシステムをマウントします。

   # mount -a

4. satellite-installer スクリプトを実行して、以下の永続的な変更を /etc/foreman-proxy/settings.d/tftp.yml ファイルに加えます。

   # satellite-installer --foreman-proxy-tftp=true \
   --foreman-proxy-tftp-root /mnt/nfs/var/lib/tftpboot

5. DHCP サービスとは異なるサーバーで TFTP サービスを実行している場合は、tftp_servername 設定をそのサーバーの FQDN または IP アドレスで更新します。

   # satellite-installer --foreman-proxy-tftp-servername=new_FQDN

   この結果、すべての設定ファイルが新しい値で更新されます。

6. Satellite Server Web インターフェースにログインします。
7. インフラストラクチャー > Capsules に移動します。適切な Capsule Server を見つけ、アクション ドロップダウンリストから 更新 を選択します。この結果、TFTP 機能が現れます。
8. TFTP サービスに適切なサブネットとドメインを関連付けます。