第3章 ホストの登録

手順

1. Satellite Web UI で、ホスト > プロビジョニングテンプレート に移動し、Linux 登録デフォルト テンプレートを検出してクリックします。
2. 関連付け タブをクリックします。
3. 登録するオペレーティングシステムが 選択項目 列にあることを確認します。
4. 送信 をクリックします。
5. ホスト > オペレーティングシステム に移動し、登録するオペレーティングシステムを選択します。
6. テンプレート タブをクリックします。
7. 登録テンプレート リストから、Linux 登録デフォルト が選択されていることを確認します。
8. 送信 をクリックします。
9. ホスト > すべてのホスト > ホストの登録 に移動します。

10. オプション: Capsule を使用してホストを登録する場合は、この Capsule で 登録 機能が有効になっていることを確認してください。

    インフラストラクチャー > Capsules に移動して、使用する Capsule をクリックし、アクティブな機能 リストから 登録 機能を特定します。

    オプション: 登録 機能が Capsule で有効になっていない場合は、Capsule で以下のコマンドを入力して有効にします。

    # satellite-installer --foreman-proxy-registration \
    --foreman-proxy-templates \
    --foreman-proxy-template-url 'http://capsule.example.com'

11. オプション: Host Groupリストから、ホストと関連付けるホストグループを選択します。
12. オペレーティングシステム リストから、登録するホストのオペレーティングシステムを選択します。
13. Capsule 一覧から、ホストの登録に使用する Capsule を選択します。外部 Capsule を使用しない場合は、内部の Capsule を選択する必要があります。
14. Insights 一覧から、ホストを Insights に登録したいかどうかを選択します。
15. Remote Execution リストから、Satellite SSH 鍵をホストにデプロイするかどうかを選択します。

16. オプション: Satellite は認証に JSON Web Tokens (JWT) を使用します。このトークンの期間は、生成された curl コマンドが機能する期間を定義します。トークンの期間を変更する場合は、トークンライフタイム (時間単位) フィールドに必要な期間を入力します。期間は、時間単位で設定できます。

    Satellite は、ホストの認証に curl コマンドを生成するユーザーのパーミッションを使用する点に注意してください。ユーザーが追加のパーミッションを失ったり取得したりすると、JWT のパーミッションも変わってきます。そのため、トークン期間中にユーザーのパーミッションを削除、ブロック、または変更しないでください。

17. オプション: リモート実行インターフェイス フィールドに、ホストが SSH 接続に使用する必要があるネットワークインターフェイスを入力します。このフィールドが空の場合、Satellite はデフォルトのネットワークインターフェイスを使用します。
18. アクティベーションキー フィールドで、ホストに割り当てるアクティベーションキーを 1 つ以上入力します。
19. コマンドの生成 をクリックします。
20. 生成された curl コマンドをコピーして、ホストに入力します。

21. 以下のいずれかの方法で、CA 証明書でホストを設定します。

    • --insecure オプションを curl コマンドに追加します。これにより、初回呼び出しは安全ではなくなりますが、この初回呼び出し時に、ホストは Satellite から CA ファイルをダウンロードします。ホストは、この CA ファイルを使用して Satellite に接続し、今後のすべての呼び出しは安全になります。

      Satellite とホスト間のネットワークに存在する攻撃者が、初回の安全ではない呼び出しから CA ファイルをフェッチする場合、攻撃者は登録したホストと JWT 間の API 呼び出しの内容にアクセスできます。そのため、登録中の SSH 鍵のデプロイを選択した場合、攻撃者は SSH 鍵を使用してホストにアクセスできます。以下は、--insecure オプションを指定した curl コマンドの例です。

      curl -X GET --insecure https://satellite.example.com/register...

    • --insecure オプションを指定して curl コマンドを呼び出す必要がない場合は、各ホストに CA ファイルを手動でコピーし、インストールできます。

      そのためには、管理 > 設定 > 認証 に移動し、SSL CA ファイル 設定を特定することで、Satellite が CA ファイルを保存する場所を検出します。

      CA ファイルをホストの /etc/pki/ca-trust/source/anchors/ ディレクトリーにコピーし、以下のコマンドを入力します。

      # update-ca-trust enable
      # update-ca-trust

22. 登録するホストで、curl コマンドを root として入力します。