はじめに
以下記事の続きです。
[Hinemos(監視ツール)を構築するまで① ~RHEL8 インストール~](https://qiita.com/railgun19772/items/492564c50902518cff62 "Hinemos(監視ツール)を構築するまで① ~RHEL8 インストール~")
今回は、以下の作業をしていきます。
1.SSH有効化
2.ライセンス登録 (RHEL Developer Subscription)
3.システムアップデート
4.ADドメイン参加
5.SSH 接続許可ADグループ指定 & rootログイン無効化
（もしかしたら、作業追加するかも・・・）
RHEL8 初期設定
0.コンソールログイン
前回インストールして、以下の画面まで表示されているので
rootアカウントでログインします。
login:root
Password:<インストール時に設定したrootパスワード>
1.SSH有効化
以下のコマンドを実行して、SSH設定ファイルを編集モードにします。
# vi /etc/ssh/sshd.config
編集モード移行後、17行目のコメントを削除します。
# Port 22
↓
Port 22
設定ファイルを保存後、インストール時に設定したIPアドレスにSSH接続し
rootアカウントで認証することで、SSH接続が可能になります。
自分はADドメイン参加させるためにローカルアカウントを別には作成していないので
この時点ではrootログインNGの設定はしません。
2.ライセンス登録 (RHEL Developer Subscription)
RHELはサブスクリプション登録しないと機能に制限がかかるので、初めに実施しておきます。
登録作業は、2段階に分けて実施します。
2.1.システムをポータルへ登録
2.2.サブスクリプションを登録
2.1.システムをポータルへ登録
以下のコマンドを実行して、作成したVMをポータルに登録します。
# subscription-manager register --username <ユーザ名>
登録中: subscription.rhsm.redhat.com:443/subscription
パスワード:<パスワード>
↓ 出力結果
このシステムは、次の ID で登録されました: XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXX893e
登録したシステム名: PRC-Hinemos11
ちなみに、ユーザ名はメールアドレスではないです。
（過去にメールアドレスだと思って失敗し続けました・・・）
2.2.サブスクリプションを登録
まずは、以下のコマンドを実行して、自身のプールIDを確認します。
# subscription-manager list --available
↓ 出力結果
+-------------------------------------------+
利用可能なサブスクリプション
+-------------------------------------------+
サブスクリプション名: Red Hat Developer Subscription for Individuals
提供: Red Hat Developer Tools (for RHEL Server for ARM)
～～～～～なんかたくさん出てくる～～～～～
Red Hat OpenShift Enterprise JBoss EAP add-on Beta
SKU: RH99999
契約:
プール ID: XXXXXXXXXXXXXXXXXXXXXXXXXXXX5296
管理の提供: いいえ
数量: 15
推奨: 1
サービスタイプ:
ロール: Red Hat Enterprise Linux Server
Red Hat Enterprise Linux Workstation
Red Hat Enterprise Linux Compute Node
サービスレベル: Self-Support
使用方法: Development/Test
アドオン:
サブスクリプションタイプ: Standard
開始: 2021年08月04日
終了: 2022年08月04日
エンタイトルメントタイプ: 物理
出力結果のプールIDを元に、以下のコマンドを実行してサブスクリプションを登録します。
# subscription-manager attach --pool=XXXXXXXXXXXXXXXXXXXXXXXXXXXX5296
↓ 出力結果
サブスクリプションが正しく割り当てられました: Red Hat Developer Subscription for Individuals
サブスクリプションが正しく割り当てられましたと出力されれば、作業完了です。
3.システムアップデート
インストール直後なので、セキュリティパッチの適用とパッケージアップデートをしていきます。
こちらは必要ありませんでした。（この次のコマンドで、合わせてアップデートされます）
# dnf update --security -y
～～～～～出力結果は長いので省略～～～～～
ちなみに、yumとdnfは何が違うんでしょ？と気になったので調べたところ
yumはpython2系、dnfはpython3系で、最終的にyumは消えゆく存在らしい・・・（ざっくり）
ちなみに、RHELの公式サイトはyumのままですね。（混在しているっぽい）
[セキュリティー更新のインストール] (https://access.redhat.com/documentation/ja-jp/red_hat_enterprise_linux/8/html/managing_and_monitoring_security_updates/installing-security-updates_managing-and-monitoring-security-updates "セキュリティー更新のインストール")
この後、パッケージアップデートをするために以下のコマンドを実行
# dnf update -y
～～～～～出力結果は長いので省略～～～～～
また、たくさん更新が入りましたが、これは最初から下のコマンドを実行するだけでも良い？
いまいち、違いが分かっていないです。（よろしければどなたかご教示ください）
両方更新が完了したら、一応再起動しておきます。
# reboot now
4.ADドメイン参加
我が家ではWindows ServerによるActive Directoryサーバが稼働しているので
ドメインユーザでログイン出来るようにします。（別にRadius認証でも良いんですけど・・・）
4.1.必要なパッケージの追加
ドメイン参加するには、以下のパッケージが必要見たいです。
- realmd
- sssd
- oddjob
- oddjob-mkhomedir
- adcli
- samba-common-tools
- krb5-workstation
今回インストールした構成だと、samba-common-toolsとkrb5-workstationが不足してたので
追加でインストールするために以下のコマンドを実行します。
# dnf install -y samba-common-tools krb5-workstation
～～～～～出力結果は長いので省略～～～～～
追加パッケージのインストールが完了出来たら、設定をしていきます。
4.2.DNS向き先設定
まずは、DNSサーバがADサーバに向いていることを確認するために、以下のコマンドを実行します。
（出力結果は例です）
# nmcli device show ens192 | grep DNS
↓ 出力結果
IP4.DNS[1]: 1.1.1.1
IP4.DNS[2]: 2.2.2.2
インストール時に設定しているので、問題なく反映されています。
ADサーバ以外を向いている場合は以下のコマンドを実行して、DNSサーバを設定します。
# nmcli connection modify ens192 ipv4.dns 1.1.1.1,2.2.2.2
設定が出来たら、NICの設定内容をリロードして、設定を反映させるために以下のコマンドを実行します。
# nmcli connection reload ens192
設定内容をリロードしたらSSH接続は切断されるので、再接続してください。
4.3.ドメイン参加
続いて、ドメインを確認するために、以下のコマンドを実行します。
# realm discover CONTOSO.COM
↓ 出力結果
contoso.com
type: kerberos
realm-name: CONTOSO.COM
domain-name: contoso.com
configured: no
server-software: active-directory
client-software: sssd
required-package: oddjob
required-package: oddjob-mkhomedir
required-package: sssd
required-package: adcli
required-package: samba-common-tools
続いて、ドメインに参加させていくために以下のコマンドを実行します。
デフォルトではAdministratorアカウントが使用されますが
我が家では無効化しているので、-Uオプションで認証ユーザを指定します。
コマンド実行後パスワードを求められるので、パスワードを入力します。
# realm join contoso.com -U <Domain Adminsのユーザ>
<Domain Adminsのユーザ> に対するパスワード:
正常にドメイン参加が完了した場合は、何も表示されないので
以下のコマンドを実行して、ドメインユーザが参照可能かを確認します。
# id <Domain User>
↓ 出力結果（見やすいように改行してますが、実際は1行で表示されます）
uid=0000000004(<Domain User>@contoso.com)
gid=0000000013(domain users@contoso.com)
groups=0000000013(domain users@contoso.com),
0000000012(domain admins@contoso.com)
4.4.ドメインアカウント認証時のドメイン入力省略設定
最後に、ドメイン入力の省略設定をしていきます。（@consto.com の入力を不要にする）
これは設定しなくても良いのですが、私はローカルにアカウントを作成しないのと
少しでも楽をしたいので必須の設定です・・・
以下のコマンドを実行して、設定ファイルを編集モードにします。
# vi /etc/sssd/sssd.conf
編集モード移行後、16行目の設定をtrueからfalseに変更します。
use_fully_qualified_names = True
↓
use_fully_qualified_names = False
設定ファイルを保存後、以下のコマンドを実行してsssdのサービスを再起動します。
# systemctl restart sssd
sssdサービスの再起動が完了したら、ドメインアカウントを使用してSSH接続し
正常に接続出来ることを確認出来ればOKです。
5.SSH 接続許可ADグループ指定 & rootログイン無効化
5.1.SSH 接続許可ADグループ指定
今の状態では、ドメインに所属する全ユーザがSSH接続出来てしまうため
接続を許可するグループを指定するために、以下のコマンドを実行します。
# realm permit -g 'domain admins'
試しに、domain adminsに所属しないアカウントでログインしたところ
アカウント認証後に即切断されました。（上記コマンド実行前は、きちんとSSH接続出来ました）
5.2.SSH rootログイン無効化
さて、ドメインユーザでの接続も設定完了したので、rootで直接SSHは接続出来ないようにします。
以下のコマンドを実行し、SSH設定ファイルを編集モードにします。
# vi /etc/ssh/sshd_config
編集モード移行後、43行目の設定をyesからnoに変更します。
PermitRootLogin yes
↓
PermitRootLogin no
設定ファイルを保存後、以下のコマンドを実行してSSHサービスを再起動します。
# systemctl status sshd
サービス再起動後は、無事rootログインが出来なくなりました。
最後に
とりあえず、普段している（はずの）設定までは実施しました。
有識者の方々からすると、他にもこういう設定した方が良いよなどあるかもしれません。
その際は、コメントにてご教示頂けますと幸いです。
次回は、いよいよHinemosをインストールしていきます。
（インストールしてないのに、Hinemosタグつけるのもどうなんだか・・・）