フォローしよう
◆はじめに
前回の「SELinux無効化、開発ツールパッケージのインストール及びシステムアップデート自動化
」に引き続き、Rocky Linux 9 サーバ構築手順の次のステップとして、サーバの初期設定を行います。
本記事では、Rocky Linux 9における以下の３項目について設定を行います。
◆環境情報
当ブログサイトを運用しているサーバは、「KAGOYA JAPAN」で提供されている「KAGOYA CLOUD VPS」を利用しています。
◆初期設定
・ホスト名（FQDN）設定
ドメイン名を省略しないホスト名（FQDN:Fully Qualified Dmain Name）を設定します。
ホスト名設定
# hostnamectl set-hostname marusrv.maruweb.jp.net1行目：hostnamectlコマンドでホスト名を設定
設定確認
# hostnamectl
Static hostname: marusrv.maruweb.jp.net
Icon name: computer-vm
Chassis: vm
Machine ID: 213xxxxxxxx14ecxxxxxxxx1dc4ea6xx
Boot ID: 3d96xxxxxxxx4802xxxxxxxx36fcxxxx
Virtualization: kvm
Operating System: Rocky Linux 9.5 (Blue Onyx)
CPE OS Name: cpe:/o:rocky:rocky:9::baseos
Kernel: Linux 5.14.0-503.40.1.el9_5.x86_64
Architecture: x86-64
Hardware Vendor: RDO
Hardware Model: OpenStack Compute
Firmware Version: 1.16.3-2.el91行目：hostnamectlコマンドでホスト名を確認
2行目：設定したホスト名（FQDN形式）が表示されていることを確認
システム再起動
# reboot再起動後の確認
# hostname
marusrv.maruweb.jp.net・SSHサーバ
セキュリティを向上させるため、rootログインの無効化とSSH鍵認証の設定を行います。
コンソールログインへの影響
KAGOYA KVMのコンソールでログインする場合、ログイン用認証キーを使用しますが、rootログインを無効化設定しても影響がないことを確認しました。
サーバ作業
SSH設定ファイル編集
$ sudo vi /etc/ssh/sshd_config
'～ 抜粋 ～'
#PermitRootLogin without-password
PermitRootLogin no
AuthorizedKeysFile .ssh/authorized_keys
PasswordAuthentication no6行目：rootログインを無効化
7行目：SSH鍵ファイルの場所を指定
8行目：パスワード認証を無効化
管理ユーザ（maruuser）SSH鍵生成
$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/maruuser/.ssh/id_rsa):
Created directory '/home/maruuser/.ssh'.
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/maruuser/.ssh/id_rsa
Your public key has been saved in /home/maruuser/.ssh/id_rsa.pub
The key fingerprint is:
SHA256:WUzPMcbEyd931Ou+Bf7qGxIqSVe0Tl44B3dyhqmjecU maruuser@v133-18-226-221.vir.kagoya.net
The key\'s randomart image is:
+---[RSA 3072]----+
| . ..BB= ..|
| . .o+*Xo. .|
| . ==oo. + |
| . +=+E o +|
| o S+o .. .o|
| o .o... .. |
| o ... .. o. |
| .. . .o ..|
| .+o .. |
+----[SHA256]-----+SSH鍵確認
$ ll ~/.ssh
total 8
-rw------- 1 maruuser maruuser 2675 Aug 16 22:24 id_rsa
-rw-r--r-- 1 maruuser maruuser 594 Aug 16 22:24 id_rsa.pub公開鍵のファイル名変更
$ mv ~/.ssh/id_rsa.pub ~/.ssh/authorized_keysパスワード認証の一時的有効化
秘密鍵をクライアント側に転送するため一時的にパスワード認証を有効化します。
$ sudo vi /etc/ssh/sshd_config
'～ 抜粋 ～'
PasswordAuthentication yesSSHサービス再起動
$ sudo systemctl restart sshdクライアント側での作業
ホスト作業をするにあたり、前に記事を書いた「Chromebook（ChromOS Flex）の設定」を使用して作業します。
Linuxコンソールでの作業
$ mkdir ~/.ssh
$ scp maruuser@133.18.226.221:/home/maruuser/.ssh/id_rsa ~/.ssh/
maruuser@133.18.226.221\'s password:
id_rsa 100% 2675 39.6KB/s 00:00
$ ssh maruuser@133.18.226.221
Enter passphrase for key '/home/maru/.ssh/id_rsa':
Last login: Fri Aug 16 23:01:57 2024
[maruuser@v133-18-226-221 ~]$ 1行目：ユーザディレクトリに.sshディレクトリ作成
2行目：scpコマンドでサーバから作成した.sshディレクトリに秘密鍵を転送
5行目：sshコマンドでサーバに接続確認
サーバ側でのパスワード認証無効化
SSH設定ファイル編集
$ sudo vi /etc/ssh/sshd_config
'～ 抜粋 ～'
PasswordAuthentication noSSHサービス再起動
$ sudo systemctl restart sshd・NTPサーバ
システムの時刻同期を行うため、NTPサーバを設定します。
chronyインストール
# dnf install -y chrony
'～ 中略 ～'
Installed:
chrony-4.5-1.el9.x86_64
Complete!設定ファイル編集
# vi /etc/chrony.conf
# Use public servers from the pool.ntp.org project.
# Please consider joining the pool (https://www.pool.ntp.org/join.html).
#pool 2.rocky.pool.ntp.org iburst
pool ntp.nict.jp iburst
server ntp.jst.mfeed.ad.jp
'～ 略 ～'4行目：デフォルトのNTPサーバをコメントアウト
5行目：プライマリのNTPサーバ指定「pool」は複数サーバの集まりを指定
6行目：バックアップのNTPサーバ指定「server」は個別指定
サービス起動と自動起動設定
# systemctl start chronyd
# systemctl enable chronyd動作確認
# chronyc sources
MS Name/IP address Stratum Poll Reach LastRx Last sample
===============================================================================
^+ ntp-a2.nict.go.jp 1 6 37 63 -60us[ -29us] +/- 4646us
^- ntp-a3.nict.go.jp 1 6 37 62 -521us[ -521us] +/- 5105us
^* 2001:ce8:78::2 1 6 37 63 +33us[ +65us] +/- 2417us
^- ntp-a2.nict.go.jp 1 6 37 63 -250us[ -250us] +/- 4107us
^- ntp2.jst.mfeed.ad.jp 2 6 7 4 -776us[ -776us] +/- 50msMS欄の記号の意味:
- ^* : 現在の同期先サーバ
- ^+ : 良好な同期候補サーバ
- ^- : 同期候補から除外されたサーバ
◆次のステップ
システムの初期設定は次回以降もまだ続きます。次は以下の手順を実行します。
- セキュリティ強化
- Tripwireによるファイル改竄検知
- RKHunterによるrootkit検知
- ClamAVアンチウィルスソフト
- メール転送設定
- rootメール転送設定
これらの手順により、安全で管理しやすいLinuxサーバ環境を構築できます。
コメント