第3章 Satellite Server での追加設定の実行

手順

1. Satellite Web UI で、インフラストラクチャー > HTTP プロキシー に移動します。
2. 新規 HTTP プロキシーをクリックします。
3. 名前 フィールドには、プロキシー名を入力します。
4. Url フィールドに、以下の形式で HTTP プロキシーの URL を入力してください (https://proxy.example.com:8080)。
5. オプション: 認証が必要な場合には、ユーザ名 フィールドに認証に使用するユーザー名を入力します。
6. オプション: 認証が必要な場合には、パスワード フィールドに認証に使用するパスワードを入力します。
7. プロキシーへの接続をテストするには、接続のテスト ボタンをクリックします。
8. Submit をクリックします。
9. 管理 > 設定 に移動して、コンテンツ タブをクリックします。
10. デフォルトの HTTP プロキシー オプションを作成した HTTP プロキシーに設定します。

CLI をご利用の場合

1. http_proxy、https_proxy、no_proxy 変数が設定されていないことを確認します。

   # unset http_proxy
   # unset https_proxy
   # unset no_proxy

2. HTTP プロキシーエントリーを Satellite に追加します。

   # hammer http-proxy create --name=myproxy \
   --url http://myproxy.example.com:8080  \
   --username=proxy_username \
   --password=proxy_password

3. Satellite がデフォルトでこの HTTP プロキシーを使用するように設定します。

   # hammer settings set --name=content_default_http_proxy --value=myproxy

手順

1. ネットワークゲートウェイと HTTP プロキシーで、以下のホスト名に対して TCP を有効にします。

   ホスト名	ポート	プロトコル
   subscription.rhsm.redhat.com	443	HTTPS
   cdn.redhat.com	443	HTTPS
   *.akamaiedge.net	443	HTTPS
   cert-api.access.redhat.com (Red Hat Insights を使用している場合)	443	HTTPS
   api.access.redhat.com (Red Hat Insights を使用している場合)	443	HTTPS

   Satellite Server は、SSL を使用して安全に Red Hat CDN と通信します。SSL インターセプトプロキシーを使用すると、この通信が妨害されます。これらのホストは、プロキシーでホワイトリスト化されている必要があります。

   Red Hat CDN (cdn.redhat.com) で使用されている IP アドレスの一覧は、Red Hat カスタマーポータルのナレッジベース記事「Red Hat が公開している CIDR の一覧」を参照してください。

2. Satellite Server の /etc/rhsm/rhsm.conf ファイルで、以下の詳細を記入します。

   # an http proxy server to use (enter server FQDN)
   proxy_hostname = myproxy.example.com
   
   # port for http proxy server
   proxy_port = 8080
   
   # user name for authenticating to an http proxy, if needed
   proxy_user =
   
   # password for basic http proxy auth, if needed
   proxy_password =

手順

1. Satellite で以下のコマンドを実行して、SELinux で HTTP キャッシュに許可されているポートを確認します。

   # semanage port -l | grep http_cache
   http_cache_port_t       tcp    8080, 8118, 8123, 10001-10010
   [output truncated]

2. 以下のコマンドを実行して、SELinux が HTTP キャッシュにポート (たとえば、8088) を許可するよう設定します。

   # semanage port -a -t http_cache_port_t -p tcp 8088

手順

1. Satellite Web UI で、管理 > 設定に移動します。
2. HTTP(S) プロキシー の行で、隣接する Value 列を選択して、プロキシーの URL を入力します。
3. チェックのアイコンをクリックして変更を保存します。

手順

1. Satellite Web UI で、管理 > 設定に移動します。
2. ホスト以外の HTTP(S) プロキシー の行で、隣接する Value の列を選択して、プロキシー要求から除外する、1 つまたは複数のホストの名前を入力します。
3. チェックのアイコンをクリックして変更を保存します。

手順

1. 管理 > 設定 に移動して、コンテンツ タブをクリックします。
2. デフォルトの HTTP プロキシー 設定を グローバルデフォルトなし に設定します。

1. ソースの証明書ファイルすべてを保存するには、root ユーザーだけがアクセスできるディレクトリーを作成します。

   # mkdir /root/satellite_cert

2. Certificate Signing Request (CSR) を署名する秘密鍵を作成します。

   秘密鍵は暗号化する必要がないことに注意してください。パスワードで保護された秘密鍵を使用する場合は、秘密鍵のパスワードを削除します。

   この Satellite Server の秘密鍵がすでにある場合は、この手順を省略します。

   # openssl genrsa -out /root/satellite_cert/satellite_cert_key.pem 4096

3. 証明書署名要求 (CSR) 用の /root/satellite_cert/openssl.cnf 設定ファイルを作成して、以下のコンテンツを追加します。

   [ req ]
   req_extensions = v3_req
   distinguished_name = req_distinguished_name
   x509_extensions = usr_cert
   prompt = no
   
   [ req_distinguished_name ] 1
   C  = Country Name (2 letter code)
   ST = State or Province Name (full name)
   L  = Locality Name (eg, city)
   O  = Organization Name (eg, company)
   OU = The division of your organization handling the certificate
   CN = satellite.example.com 2
   
   [ v3_req ]
   basicConstraints = CA:FALSE
   keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
   extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
   subjectAltName = @alt_names
   
   [ usr_cert ]
   basicConstraints=CA:FALSE
   nsCertType = client, server, email
   keyUsage = nonRepudiation, digitalSignature, keyEncipherment
   extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
   nsComment = "OpenSSL Generated Certificate"
   subjectKeyIdentifier=hash
   authorityKeyIdentifier=keyid,issuer
   
   [ alt_names ]
   DNS.1 = satellite.example.com 3

   1

   [ req_distinguished_name ] セクションに、貴社の組織の情報を入力します。

   2

   証明書のコモンネーム CN を、Satellite Server の完全修飾ドメイン名 (FQDN) と一致するように設定します。FQDN を確認するには、対象の Satellite Server で hostname -f コマンドを入力します。これは、katello-certs-check コマンドが証明書を正しく検証することを確認するために必要です。

   3

   サブジェクトの別名 (SAN: Subject Alternative Name) DNS.1 を、お使いのサーバーの完全修飾ドメイン名 (FQDN) に一致する用に設定します。

4. 証明書署名要求 (CSR) を作成します。

   # openssl req -new \
   -key /root/satellite_cert/satellite_cert_key.pem \ 1
   -config /root/satellite_cert/openssl.cnf \ 2
   -out /root/satellite_cert/satellite_cert_csr.pem 3

   1

   秘密鍵へのパス

   2

   設定ファイルへのパス

   3

   生成する CSRへのパス

5. 証明局に証明書署名要求を送信します。同じ証明局が Satellite Server と Capsule Server の証明書に署名する必要があります。

   要求を送信する場合は、証明書の有効期限を指定してください。証明書要求を送信する方法は異なるため、推奨の方法について認証局にお問い合わせください。要求への応答で、認証局バンドルと署名済み証明書を別々のファイルで受け取ることになります。

1. カスタムの SSL 証明書入力ファイルを検証します。katello-certs-check コマンドが正しく実行されるには、証明書のコモンネーム (CN) が Satellite Server の FQDN と一致する必要があることに注意してください。

   # katello-certs-check \
   -c /root/satellite_cert/satellite_cert.pem \      1
   -k /root/satellite_cert/satellite_cert_key.pem \  2
   -b /root/satellite_cert/ca_cert_bundle.pem        3

   1

   認証局が署名した Satellite Server の証明書ファイルへのパス

   2

   Capsule Server 証明書の署名に使用した秘密鍵へのパス

   3

   認証局バンドルへのパス

   このコマンドに成功すると、2 つの satellite-installer コマンドが返されます。1 つは、Satellite Server に証明書をデプロイするのに使用する必要があります。

   katello-certs-check の出力例

   Validation succeeded.
   
   To install the Red Hat Satellite Server with the custom certificates, run:
   
     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem"
   
   To update the certificates on a currently running Red Hat Satellite installation, run:
   
     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem" \
       --certs-update-server --certs-update-server-ca

2. 要件に合わせて katello-certs-check コマンドの出力から、satellite-installer コマンドを入力し、カスタムの SSL 証明書で新しい Satellite をインストールするか、現在実行中の Satellite の証明書を更新します。

   実行するコマンドが不明な場合には、/etc/foreman-installer/scenarios.d/.installed が存在するかをチェックし、Satellite がインストールされていることが確認できます。ファイルが存在する場合には、2 番目の satellite-installer コマンドを実行すると証明書が更新されます。

   重要

   証明書のデプロイ後に、証明書のアーカイブファイルを削除しないでください。Satellite Server のアップグレード時などに必要です。

3. Satellite Server にネットワークでアクセスできるコンピューターで、この URL ( https://satellite.example.com) に移動します。
4. ブラウザーで、証明書の詳細を表示して、デプロイした証明書を確認します。

手順

1. 「Satellite Infrastructure サブスクリプションのアタッチ」の説明を使用して、サーバーに Satellite サブスクリプションをアタッチします。

2. すべてのリポジトリーを無効にし、以下のリポジトリーのみを有効にします。

   # subscription-manager repos --disable '*'
   # subscription-manager repos --enable=rhel-server-rhscl-7-rpms \
   --enable=rhel-7-server-rpms

手順

1. MongoDB をインストールするには、以下のコマンドを入力します。

   # yum install rh-mongodb34 rh-mongodb34-syspaths

2. rh-mongodb34 サービスを起動して有効にします。

   # systemctl start rh-mongodb34-mongod
   # systemctl enable rh-mongodb34-mongod

3. pulp_database データベース用に、MongoDB に Pulp ユーザーを作成します。

   # mongo pulp_database \
   --eval "db.createUser({user:'pulp',pwd:'pulp_password',roles:[{role:'dbOwner', db:'pulp_database'},{ role: 'readWrite', db: 'pulp_database'}]})"

4. /etc/opt/rh/rh-mongodb34/mongod.conf ファイルでバインド IP を指定します。

   bindIp: your_mongodb_server_bind_IP,::1

5. /etc/opt/rh/rh-mongodb34/mongod.conf ファイルを編集して security セクションの認証を有効にします。

   security:
     authorization: enabled

6. rh-mongodb34-mongod サービスを再起動します。

   # systemctl restart rh-mongodb34-mongod

7. MongoDB にポート 27017 を開きます。

   # firewall-cmd --add-port=27017/tcp
   # firewall-cmd --runtime-to-permanent

8. Satellite Server からデータベースにアクセスできることをテストします。接続が成功すると、コマンドから 1 が返ります。

   # scl enable rh-mongodb34 " mongo --host mongo.example.com \
   -u pulp -p pulp_password --port 27017 --eval 'ping:1' pulp_database"

手順

1. PostgreSQL をインストールするには、以下のコマンドを入力します。

   # yum install postgresql-server

2. PostgreSQL サービスを初期化して起動し、有効にするには、以下のコマンドを実行します。

   # postgresql-setup initdb
   # systemctl start postgresql
   # systemctl enable postgresql

3. /var/lib/pgsql/data/postgresql.conf ファイルを編集します。

   # vi /var/lib/pgsql/data/postgresql.conf

4. # を削除して、着信接続をリッスンするようにします。

   listen_addresses = '*'

5. /var/lib/pgsql/data/pg_hba.conf ファイルを編集します。

   # vi /var/lib/pgsql/data/pg_hba.conf

6. 以下の行をファイルに追加します。

     host  all   all   Satellite_ip/24   md5

7. PostgreSQL サービスを再起動して、変更を適用します。

   # systemctl restart postgresql

8. 外部 PostgreSQL サーバーで postgresql ポートを開きます。

   # firewall-cmd --add-service=postgresql
   # firewall-cmd --runtime-to-permanent

9. postgres ユーザーに切り替え、PostgreSQL クライアントを起動します。

   $ su - postgres -c psql

10. Satellite と Candlepin 用にそれぞれ、データベース、および専用ロールを作成します。

    CREATE USER "foreman" WITH PASSWORD 'Foreman_Password';
    CREATE USER "candlepin" WITH PASSWORD 'Candlepin_Password';
    CREATE DATABASE foreman OWNER foreman;
    CREATE DATABASE candlepin OWNER candlepin;

11. postgres ユーザーをログアウトします。

    # \q

12. Satellite Server から、データベースにアクセスできることをテストします。接続に成功した場合には、コマンドは 1 を返します。

    # PGPASSWORD='Foreman_Password' psql -h postgres.example.com  -p 5432 -U foreman -d foreman -c "SELECT 1 as ping"
    # PGPASSWORD='Candlepin_Password' psql -h postgres.example.com -p 5432 -U candlepin -d candlepin -c "SELECT 1 as ping"

手順

1. Satellite の外部データベースを設定するには以下のコマンドを入力します。

   satellite-installer --scenario satellite \
     --foreman-db-host postgres.example.com \
     --foreman-db-password Foreman_Password \
     --foreman-db-database foreman \
     --katello-candlepin-db-host postgres.example.com \
     --katello-candlepin-db-name candlepin \
     --katello-candlepin-db-password Candlepin_Password \
     --katello-candlepin-manage-db false \
     --katello-pulp-db-username pulp \
     --katello-pulp-db-password pulp_password \
     --katello-pulp-db-seeds mongo.example.com:27017 \
     --katello-pulp-db-name pulp_database

2. データベースのステータスを確認します。

   • PostgreSQL の場合は、以下のコマンドを実行します。

     # satellite-maintain service status --only postgresql

   • MongoDB の場合は、以下のコマンドを実行します。

     # satellite-maintain service status --only rh-mongodb34-mongod