개시하다

다음은 문장의 계속이다.
Hinemos(모니터링 도구)를 구축하기 전에 ①~RHEL8을 설치합니다.
이번에는 다음과 같은 작업을 진행할 것이다.
1. SSH 유효성
2. 라이센스 등록(RHEL Developer Subscription)
3. 시스템 업데이트
4. AD 도메인 가입
5. SSH 연결 허가 지정 AD 그룹 & 루트 로그인 무효화
(추가 작업 가능...)

RHEL8 초기 설정

0. 콘솔 로그인

마지막 설치 후 다음 화면으로 표시
루트 계정으로 로그인합니다.

login:root
Password:<インストール時に設定したrootパスワード>

1. SSH 유효성

다음 명령을 실행하여 SSH 설정 파일을 편집 모드로 설정합니다.

# vi /etc/ssh/sshd.config

편집 모드에 들어가면 17번째 줄의 주석을 삭제합니다.

#Port 22
↓
Port 22

설정 파일을 저장한 후 SSH를 설치할 때 설정된 IP 주소에 연결
루트 계정 인증을 통해 SSH 연결이 가능합니다.
AD 도메인에 추가 로컬 계정을 만들지 않았습니다.
로그인 NG를 설정하지 않습니다.

2. 라이센스 등록(RHEL Developer Subscription)

RHEL을 미리 등록하지 않으면 기능이 제한되기 때문에 먼저 실시한다.
등록 작업은 두 단계로 나누어 진행된다.
2.1.포털에 시스템 등록
2.2.등록 서브루틴

2.1.포털에 시스템 등록

다음 명령을 실행하여 만든 VM을 포털에 로그인합니다.

# subscription-manager register --username <ユーザ名>
登録中: subscription.rhsm.redhat.com:443/subscription
パスワード:<パスワード>
　↓ 出力結果

このシステムは、次の ID で登録されました: XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXX893e
登録したシステム名: PRC-Hinemos11

참고로 사용자 이름은 메일 주소가 아닙니다.
(과거에는 메일 주소인 줄 알았는데 계속 실패...)

2.2.등록 서브루틴

먼저 다음 명령을 실행하여 자신의 수영장 ID를 확인하세요.

# subscription-manager list --available

　↓ 出力結果

+-------------------------------------------+
    利用可能なサブスクリプション
+-------------------------------------------+
サブスクリプション名:       Red Hat Developer Subscription for Individuals
提供:                     Red Hat Developer Tools (for RHEL Server for ARM)
                          ～～～～～なんかたくさん出てくる～～～～～
                         Red Hat OpenShift Enterprise JBoss EAP add-on Beta
SKU:                     RH99999
契約:
プール ID:                XXXXXXXXXXXXXXXXXXXXXXXXXXXX5296
管理の提供:               いいえ
数量:                    15
推奨:                    1
サービスタイプ:
ロール:                   Red Hat Enterprise Linux Server
                         Red Hat Enterprise Linux Workstation
                         Red Hat Enterprise Linux Compute Node
サービスレベル:            Self-Support
使用方法:                 Development/Test
アドオン:
サブスクリプションタイプ: Standard
開始:                     2021年08月04日
終了:                     2022年08月04日
エンタイトルメントタイプ: 物理

출력 결과의 풀 ID를 기반으로 다음 명령을 실행하여 스크립트를 등록합니다.

# subscription-manager attach --pool=XXXXXXXXXXXXXXXXXXXXXXXXXXXX5296

　↓ 出力結果

サブスクリプションが正しく割り当てられました: Red Hat Developer Subscription for Individuals

출력이 하위 프로그램을 정확하게 분배했다면 작업이 끝납니다.

3. 시스템 업데이트

방금 설치했기 때문에 보안 패치를 적용하고 포장 업데이트를 진행합니다.
나 이거 필요 없어.(이하 명령은 함께 업데이트됩니다.)

# dnf update --security -y
～～～～～出力結果は長いので省略～～～～～

그나저나 yum과 dnf는 뭐가 달라요?신경 쓰여서 찾아봤어요.
yum은 pytohon2계, dnf는 pytohon3계, 결국 yum는 사라진 것 같아요.
그나저나 RHEL의 공식 사이트는 Yum이다.(섞인 것 같다)
보안 업데이트 설치
이후 패키지 업데이트를 위해 다음 명령을 실행합니다

# dnf update -y
～～～～～出力結果は長いので省略～～～～～

또 업데이트가 많지만 처음부터 다음 지령을 수행해도 될까요?
아직 구별을 모른다.(괜찮으시면 누구한테 알려주세요.)
두 개의 업데이트가 완료되면 잠시 다시 시작합니다.

# reboot now

4. AD 도메인 가입

우리 집에는 Windows Server의 Active Directory 서버가 실행 중입니다.
도메인 이름 사용자의 로그인을 허용합니다.(또한 Radius 인증도 가능합니다.)

4.1.필요한 매크로 패키지 추가

도메인 이름을 추가하려면 다음 패키지가 필요합니다.

realmd

sssd

oddjob

oddjob-mkhomedir

adcli

samba-common-tools

krb5-workstation

이번 설치의 구성은samb-common-tools와krb5-workstation이 부족합니다
추가 설치를 위해 다음 명령을 실행합니다.

# dnf install -y samba-common-tools krb5-workstation 
～～～～～出力結果は長いので省略～～～～～

추가 포장의 설치가 완료되면 설정합니다.

4.2.DNS 대상 설정

먼저 DNS 서버가 AD 서버로 향하는지 확인하기 위해 다음 명령을 실행합니다.
(출력 결과의 예)

# nmcli device show ens192 | grep DNS

　↓ 出力結果

IP4.DNS[1]:                             1.1.1.1
IP4.DNS[2]:                             2.2.2.2

설치 시 설정된 것이기 때문에 문제 없이 반영되었습니다.
AD 서버 외부로 향할 경우 다음 명령을 실행하여 DNS 서버를 설정합니다.

# nmcli connection modify ens192 ipv4.dns 1.1.1.1,2.2.2.2

설정이 완료되면 NIC의 설정 내용을 다시 로드하고 설정을 반영하기 위해 다음 명령을 실행합니다.

# nmcli connection reload ens192

설정 내용을 다시 로드하면 SSH 연결이 끊어집니다. 다시 연결하십시오.

4.3.도메인 가입

다음은 도메인 이름을 확인하기 위해 다음 명령을 실행합니다.

# realm discover CONTOSO.COM

　↓ 出力結果

contoso.com
  type: kerberos
  realm-name: CONTOSO.COM
  domain-name: contoso.com
  configured: no
  server-software: active-directory
  client-software: sssd
  required-package: oddjob
  required-package: oddjob-mkhomedir
  required-package: sssd
  required-package: adcli
  required-package: samba-common-tools

다음에 가입역을 위해 다음 명령을 실행합니다.
기본적으로 Administrator 계정이 사용됩니다.
우리 집은 이미 비활성화되어 있기 때문에 인증 사용자를 - U 옵션으로 지정합니다.
명령을 실행하면 비밀번호가 요구됩니다. 비밀번호를 입력하십시오.

# realm join contoso.com -U <Domain Adminsのユーザ>
<Domain Adminsのユーザ> に対するパスワード:

도메인 가입이 정상적으로 완료된 경우 정보가 표시되지 않습니다.
다음 명령을 실행하여 도메인 사용자가 참조할 수 있는지 확인합니다.

# id <Domain User>

　↓ 出力結果（見やすいように改行してますが、実際は1行で表示されます）

uid=0000000004(<Domain User>@contoso.com)
gid=0000000013(domain [email protected])
groups=0000000013(domain [email protected]),
       0000000012(domain [email protected])

4.4.도메인 계정 인증 시 도메인 입력 생략 설정

마지막으로 필드 입력의 생략 설정을 진행합니다.(@consto.com을 입력할 필요가 없음)
이것은 설정하지 않아도 되지만, 나는 로컬에서 계정과
조금 가볍게 하고 싶으니까 필수 설정이죠
다음 명령을 실행하여 설정 파일을 편집 모드로 설정합니다.

# vi /etc/sssd/sssd.conf

편집 모드를 변환한 후 16번째 줄의 설정을 진짜에서 가짜로 변경합니다.

use_fully_qualified_names = True
　↓
use_fully_qualified_names = False

프로필을 저장한 후 다음 명령을 실행하여 sssd 서비스를 다시 시작합니다.

# systemctl restart sssd

sssd 서비스 재시작이 완료되면 도메인 계정을 사용하여 SSH 연결
제대로 연결되는지 확인되면 OK.

5. SSH 연결 허가 지정 AD 그룹 & 루트 로그인 무효화

5.1.SSH를 통해 AD 그룹 지정 연결 가능

현재 상태에서는 도메인에 속한 모든 사용자가 SSH 연결을 수행할 수 있습니다.
연결을 허용하는 그룹을 지정하기 위해 다음 명령을 실행합니다.

# realm permit -g 'domain admins'

domain admins에 속하지 않는 계정으로 로그인을 시도해보세요.
계좌 인증 후 즉시 끊깁니다.(이 명령을 실행하기 전에 SSH가 올바르게 연결되어 있음)

5.2.SSH 로그인 무효화

또한 도메인 사용자의 연결 설정도 완료되어 루트에서 SSH를 직접 연결할 수 없습니다.
다음 명령을 실행하여 SSH 설정 파일을 편집 모드로 설정합니다.

# vi /etc/ssh/sshd_config

편집 모드가 바뀌면 43번째 줄의 설정을 yes에서 no로 변경합니다.

PermitRootLogin yes
　↓
PermitRootLogin no

설정 파일을 저장한 후 다음 명령을 실행하여 SSH 서비스를 다시 시작합니다.

# systemctl status sshd

서비스가 다시 시작된 후 루트에 순조롭게 로그인할 수 없습니다.

최후

어쨌든 평소에 하던 설정이 실시되었다.
유식한 사람들의 입장에서 볼 때 이런 설정이 더 좋을 수도 있다.
그때 댓글로 알려주시면 정말 좋을 것 같아요.
다음에는 드디어 Hinemos를 설치합니다.
(분명히 설치하지 않았는데 Hinemos 라벨을 붙이니 기분이 어때...)