「カーネルレベルの作業に深く踏み込む前に、Linuxの基礎に立ち返った。K8sクラスターとeBPFプローブの下で動いているのはこれだ——理解することは必須だ。」
今週の4つの問題：CentOS StreamでのSELinux設定、Cronジョブの自動化、複数サーバーへのパスワードなしSSH、Ansibleのバージョン管理とグローバルインストール。すべてリファレンスとしてここに記録する。
Day 5：CentOS StreamでのSELinux設定
問題
LabがAppArmorの無効化、SELinuxのインストール、設定を要求した。落とし穴：環境はUbuntuではなくCentOS Stream 9だった。これまでのチュートリアル、ブートキャンプ、labはすべてUbuntuを使っていた。筋肉記憶は深く刻まれている。
# 最初の試み
sudo apt update
sudo apt install -y selinux-basics selinux-policy-default auditd
コマンドが見つからない。何かを実行する前は必ずOSを確認しろ。
cat /etc/os-release
NAME="CentOS Stream"
VERSION="9"
ID="centos"
ID_LIKE="rhel fedora"
RHELベース。apt ではなく dnf。パス、パッケージ名、すべてが違う。
解決
sudo dnf install -y selinux-policy selinux-policy-targeted policycoreutils
sudo vi /etc/selinux/config
# SELINUX=enforcing → SELINUX=disabled
確認
getenforce
sestatus
期待される出力：Disabled
なぜ重要か
クラウドとコンテナのコンテキストではUbuntuに当たることが多く、エンタープライズインフラ——銀行、通信、レガシー企業環境——ではRHEL系に当たる。ツールの違いは大きく、一方を前提にするともう一方が壊れる。何かを実行する前に /etc/os-release を確認しろ。常に。
診断リファレンス
# 何かを触る前にディストリビューションを確認
cat /etc/os-release
# SELinuxの状態を確認
getenforce
sestatus
# 現在のポリシーを表示
cat /etc/selinux/config
本番環境の注意： SELinuxを無効にするな。必要なものを許可するようにポリシーを設定しろ。無効化はlabのショートカットであって、本番の答えではない。
Day 6：Cronジョブの自動化
タスク
3台のアプリサーバーで5分ごとに /tmp/cron_text に "hello" をエコーする。
セットアップ
sudo dnf install -y cronie
sudo systemctl enable --now crond
間違った方法
# rootなしで直接書き込みを試みた
echo "*/5 * * * * echo hello > /tmp/cron_text" >> /var/spool/cron/root
# Permission denied
正しい方法
sudo su -
echo "*/5 * * * * echo hello > /tmp/cron_text" >> /var/spool/cron/root
crontab -l
Cron構文リファレンス
*/5 * * * * — 毎分5分、毎時間、毎日、毎月、毎曜日。
| フィールド | 値 | 意味 |
|---|---|---|
| 分 | */5 | 5分ごと |
| 時 | * | 毎時間 |
| 日 | * | 毎日 |
| 月 | * | 毎月 |
| 曜日 | * | 毎曜日 |
覚えておく価値のある一般的なパターン：
# 毎時0分
0 * * * * command
# 毎日深夜0時
0 0 * * * command
# 毎月曜日午前9時
0 9 * * 1 command
# 15分ごと
*/15 * * * * command
デプロイ前にcrontab.guruで式を検証しろ。
本番環境への改善点： このスクリプトは動く。本番バージョンにはタイムスタンプ付き出力、ログローテーション、失敗時のアラートが必要だ——裸の echo リダイレクトではなく。labのパターンを本番に持ち込むな。
Day 7：パスワードなしSSH
タスク
ジャンプホスト（thor）から3台のアプリサーバーへのパスワードなしSSH。自動化が無人で実行される前の前提条件だ。
セットアップ
# ジャンプホストでバックアップユーザーとして鍵ペアを生成
ssh-keygen -t rsa -b 4096
# 各サーバーに公開鍵をコピー
ssh-copy-id tony@stapp01
ssh-copy-id steve@stapp02
ssh-copy-id banner@stapp03
# 確認——パスワードプロンプトなしで返ってくる必要がある
ssh tony@stapp01 hostname
ssh-copy-idが失敗した場合
# 手動フォールバック
cat ~/.ssh/id_rsa.pub | ssh user@host "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"
パーミッション要件
パーミッションが間違っているとSSHはパスワード認証にサイレントにフォールバックする。エラーがないのにパスワードを求められるので最も時間を無駄にする失敗パターンだ。
~/.ssh/ → 700
~/.ssh/authorized_keys → 600
~/.ssh/id_rsa → 600
~/.ssh/id_rsa.pub → 644
テストの前にこれを設定しろ。認証が機能しない場合は何より先にパーミッションを確認しろ。
診断リファレンス
# Verboseなssh出力——認証がどこで失敗するか正確に表示
ssh -vvv user@host
# authorized_keysの内容を確認
cat ~/.ssh/authorized_keys
# パーミッションを一度に確認
stat ~/.ssh ~/.ssh/authorized_keys ~/.ssh/id_rsa
本番環境への改善点： 実際の環境では、authorized_keys への手動コピーの代わりにシークレットマネージャーか認証局を使え。ssh-copy-id はlabには問題ない、フリートには向かない。
Day 8：Ansible——バージョン管理とグローバルインストール
タスク
特定バージョンのAnsibleをインストールし、すべてのサーバーでグローバルに利用可能にする。
事前確認
python3 -m pip -V
pipが利用可能でない場合は先にインストールしろ。あることを前提にするな。
ユーザーインストール vs グローバルインストール
# ユーザーインストール——現在のユーザーのみ利用可能
python3 -m pip install --user "ansible==4.8.0"
# 場所を確認
which ansible
# ~/.local/bin/ansible — グローバルに利用不可
labはグローバルでの利用可能性を要求した。ユーザーインストールではカバーできない。
グローバルインストール
# まずユーザーインストールを削除
python3 -m pip uninstall -y ansible ansible-core
rm -f ~/.local/bin/ansible ~/.local/bin/ansible-playbook
# グローバルにインストール
sudo python3 -m pip install "ansible==4.8.0"
# 確認
which ansible
# /usr/local/bin/ansible
ansible --version
アンインストール時は ansible と ansible-core の両方を削除しろ。ansible は ansible-core に依存していて、片方だけ削除するとpipが不整合な状態になる。
| タイプ | コマンド | 場所 | スコープ |
|---|---|---|---|
| ユーザー | pip install --user |
~/.local/bin |
現在のユーザーのみ |
| グローバル | sudo pip install |
/usr/local/bin |
全ユーザー |
バージョン固定
バージョン指定子は常にクォートしろ：
# 正しい
sudo python3 -m pip install "ansible==4.8.0"
# シェル展開でこれが壊れる可能性がある
sudo python3 -m pip install ansible==4.8.0
# インストールされたバージョンを確認
ansible --version
python3 -m pip list | grep ansible
本番環境への改善点： グローバルpipインストールの代わりにプロジェクトごとに専用のvirtualenvを使え。グローバルインストールは同じホスト上のツール間で依存関係の競合を生む。
全体的な診断リファレンス
# OS識別
cat /etc/os-release
# SELinux
getenforce
sestatus
cat /etc/selinux/config
# Cron
crontab -l
systemctl status crond
grep CRON /var/log/syslog
# SSH認証デバッグ
ssh -vvv user@host
stat ~/.ssh ~/.ssh/authorized_keys
ls -la ~/.ssh/
# Ansible
ansible --version
python3 -m pip list | grep ansible
which ansible
より詳細なケーススタディはこちらで公開しています。
Elijah Udom (@elijahu_) — ラゴス拠点のインフラ・クラウドエンジニア。AWS、Kubernetes、eBPFセキュリティ、AI/MLインフラ。