Cockpitを使用したSUSE Linux Enterprise Serverの管理
- 概要
Cockpitを使用すると、システムの基本的な概要からストレージの管理、システムを最新の状態に保つことまで、多くの管理タスクを便利な方法で実行できます。
- 目的
この記事は、Cockpit Webインタフェースから実行できるタスクの概要を包括的に説明することを目的としています。
- 所要時間
この記事の理解には平均して40分ほどを要します。
- 目標
Cockpitを使用してシステムを管理できるようになります。
- 要件
Cockpitを使用してシステムを完全に管理するには、
sudo特権が必要です。
1 Cockpitについて #
Cockpitは、ほとんどの管理タスクを1カ所で管理できるWebベースのグラフィカルインタフェースです。Cockpit用の資格情報を作成する必要はありません。Cockpitでは、サーバへのログインに使用する資格情報と同じ資格情報をデフォルトで使用するためです。また、Cockpitはシステムにすでに存在するAPIを使用し、システムにレイヤを追加しません。
Cockpitでは、次のタスクを実行できます。
コンテナイメージのダウンロードとコンテナの実行
サーバストレージの管理
ネットワーク設定の検査と変更
ユーザアカウントの管理
システムログの表示
systemdサービスの検査と操作SELinuxのモードの切り替え
Webブラウザでの、リモートサーバ上の端末の使用
2 Cockpitのインストール #
Cockpitは、Agamaを使用してシステムインストール中にインストールすることも、実行中のシステムから後でインストールすることもできます。Cockpitがシステムにインストールされていることを確認するには、次のコマンドを実行します。
>zypper se -i cockpit
Cockpitがインストールされていない場合は、2.1項 「Cockpitのインストール」の説明に従って続行します。
2.1 Cockpitのインストール #
Cookpitがシステムに存在しない場合は、次の手順に従ってインストールできます。
次のコマンドを実行して、Cockpitパターンをインストールします。
>sudozypper in -t pattern cockpitこのCockpitインスタンスをプライマリインスタンスとして使用する場合は、次のコマンドを実行して、
systemdでCockpitソケットを有効にする必要があります。>sudosystemctl enable --now cockpit.socketこのコマンドを実行すると、サーバでデフォルトの9090ポートが公開され、
systemdは9090ポートをリスンするcockpit-wsサービスを開始します。ファイアウォールを有効にしている場合は、次の手順に従います。
Cockpitのファイアウォールを開きます。
>sudofirewall-cmd --permanent --zone=public --add-service=cockpit次のコマンドを実行して、ファイアウォール設定を再ロードします。
>sudofirewall-cmd --reload
これで、Webブラウザで次のアドレスを開いてCockpit Webインタフェースにアクセスできるようになります。
https://IP_ADDRESS_OF_MACHINE:9090
2.1.1 Cockpitのプラグイン #
Cockpitはシステムの管理にプラグインを使用します。プラグインはインストールパターンに含まれています。ただし、システムにインストールされているテクノロジによっては、一部のプラグインが表示されない場合があります。たとえば、NFSが存在しない場合、対応するNFSパネルは表示されません。
3 Cockpitへのアクセス #
Cockpitでは、9090ポートを公開できる各マシンに直接ログインできます。このマシンはプライマリサーバと呼ばれることもあります。cockpit-wsを実行し、それを介して追加サーバへの接続を確立するのがプライマリサーバです。デフォルトでは、CockpitはHTTP接続とHTTPS接続の両方をリスンします。ただし、ローカルホストアクセスなどの例外を除き、ほとんどのHTTP接続はHTTPSにリダイレクトされます。
特定のマシンでこのポートにアクセスできなくても、そのマシンをセカンダリサーバとして使用することで、Cockpitを使用してマシンを管理できます。サーバをセカンダリとして追加する手順については、手順2「セカンダリとしてのサーバの追加」を参照してください。
1つのプライマリサーバから管理できるセカンダリサーバの数は20台に制限されています。それより多くのサーバを管理する必要がある場合は、別のプライマリサーバを追加するか、クラスタ管理に別のツールを使用します。
3.1 TLS証明書 #
デフォルトでは、Cockpitはディレクトリ/etc/cockpit/ws-certs.dから.certまたは.crt証明書をロードします。対応する秘密キーは、同じファイル名で接尾辞.keyが付いた別のファイルである必要があります。このキーが暗号化されていないことを確認します。
ディレクトリに証明書が見つからない場合、Cockpitは自己署名証明書(0-self-signed.cert)を生成してセキュリティ保護された接続を確立します。
Cockpitが使用する証明書を確認するには、次のコマンドを実行します。
>sudo/usr/libexec/cockpit-certificate-ensure --check
3.2 認証 #
Cockpitにログインするために、別の資格情報は必要ありません。SUSE Linux Enterprise Serverへのログインに使用するのと同じ資格情報を使用します。ただし、新規インストールでは、rootを使用したログインはデフォルトで許可されません。3.2.2項 「パスワードを使用したrootでのログインを有効にする」の説明に従ってパスワードによるrootログインを有効にするか、Cockpitにアクセスするための非特権ユーザを作成します。以前のリリースからアップグレードされたインスタンスでは、rootログインが引き続き許可されます。いずれの場合も、3.2.1項 「2FA認証の有効化」で説明されているように2FAを追加してセキュリティを強化することをお勧めします。
非特権ユーザは、アクセスが制限された状態でCockpitにログインします。管理タスクを実行するには、右上のメニューのをクリックし、rootパスワードを入力して管理モードのロックを解除します。
3.2.1 2FA認証の有効化 #
SUSE Linux Enterprise Serverで2FAを設定するには、利用可能な任意のTOTPアプリケーションが必要です。次に、コマンドを実行して認証を設定します。次のセクションでは、2FAの設定を進める方法の詳細と、2FAが失敗した場合の手順について説明します。
3.2.1.1 TOTP 2FAを提供するアプリケーション #
2FAを提供する次のアプリケーションは、SUSE Linux Enterprise Serverでサポートされています。
- クラウドストレージを使用
PSONO - Firefox、Chrome、Docker、iOS、Androidで利用可能
Google 認証システム - Android、iOS、Wear OSで利用可能
Okta Verify - Android、iOS、macOS、Windowsで利用可能
- ローカルストレージのみを使用
Yubico Authenticator - ハードウェアキーを使用
KeePassXC - Linuxデスクトップ、Windows、macOSで利用可能
KeePassDX - Androidで利用可能
FreeOTP Plus - Android用
FreeOTP - iOS用
3.2.1.2 2FAの設定 #
各ユーザが独自の2FAを設定することも、rootがシステム上の任意の通常ユーザに対して2FAを設定することもできます。実行中のシステムからユーザの2FAを設定するには、次の手順に従います。
次のコマンドを実行します。
>sudo/sbin/jeos-config otp上記の任意のTOTPアプリケーションでコードをスキャンします。
OTPコードを入力してプロセスを確認します。
3.2.1.3 アクセスの回復 #
2FAの設定はオプションです。ただし、一度設定すると、Cockpitへのログインには2番目の要素が必須になります。2番目の要素が使用できなくなった場合は、変更するか無効にすることができます。2番目の要素がなくても、SSHを使用して、またはコンソールから直接マシンにログインできます。ログイン後、次の2つのオプションを使用できます。
- 2番目の要素を変更する
rootとして、またはsudoを使用してユーザ名を用いてコマンドを実行します。>sudo/sbin/jeos-config otp- 2FAを無効にする
影響を受けるユーザのホームディレクトリからファイル
.pam_oath_usersfileを削除します。
3.2.2 パスワードを使用したrootでのログインを有効にする #
rootログインは安全ではありません
セキュリティ上の理由から、パスワードによるrootログインを有効にしないことを強くお勧めします。
新しいSLESインストールでは、セキュリティ上の理由から、パスワードを使用したrootログインはデフォルトで無効になっています。パスワードによるrootログインを許可するには、次の手順に従います。
/etc/cockpit/disallowed-usersファイルを開きます。ファイルから
rootを削除します。
3.3 プライマリサーバへの直接ログイン #
9090ポートにネットワークで直接アクセスできる場合は、常に資格情報を使用してサーバに直接ログインできます。そのためには、手順1「プライマリサーバへのログイン」に従います。
デフォルトでは、アクセスは/usr/lib/pam.d/cockpitにあるCockpit固有のPAMスタックで制御されます。デフォルト設定では、そのシステムのローカルアカウントに使用するものと同じユーザ名とパスワードでログインできます。
ブラウザで次のアドレスを開いて、Cockpitのログインページに移動します。
https://IP_ADDRESS_OF_MACHINE:9090
資格情報を入力します。
3.4 セカンダリサーバへのログイン #
ご使用のマシンが9090ポートに直接アクセスできない場合は、このマシンをセカンダリサーバとして使用できます。Cockpitがマシンにインストールされていることを確認します。
セカンダリサーバにログインする方法は2つあります。セカンダリサーバに直接ログインする方法と、プライマリサーバを使用する方法です。
3.4.1 セカンダリサーバへの直接ログイン #
最初にプライマリサーバにログインすることなく、セカンダリサーバにログインできます。このソリューションは、プライマリサーバの資格情報がない場合に便利です。プライマリサーバをブリッジとして使用し、SSHを使用してセカンダリサーバに接続します。
セカンダリサーバに接続するには、次の手順に従います。
ブラウザで次のアドレスを開いて、Cockpitのログインページに移動します。
https://IP_ADDRESS_OF_MACHINE:9090
セカンダリサーバの資格情報を入力します。
ログイン画面でを展開します。
セカンダリサーバのIPアドレスを入力します。
をクリックして続行します。
初めてログインしようとする場合は、指紋の検証を求められます。その後、をクリックします。
3.4.2 プライマリサーバからセカンダリサーバへのアクセス #
プライマリサーバの資格情報がある場合は、プライマリサーバからセカンダリサーバにアクセスできます。手順2「セカンダリとしてのサーバの追加」で説明されているように、まずセカンダリサーバを追加する必要があります。
システム管理者の役割を持つアカウントを使用してプライマリサーバにログインします。
左上隅にあるUSERNAME@HOSTNAMEをクリックします。
をクリックします。
サーバへのログインに使用するホストIDと、オプションでユーザ名を入力します。マシンに色を割り当てることができます。詳細をすべて入力したら、をクリックします。
追加するサーバで指紋を検証します。指紋が一致する場合、またはSSH接続を設定していない場合は、をクリックして続行します。
パスワードを入力し、必要に応じてをオンにします。Cockpitにより、ユーザの新しいSSHキーが生成され、次回から自動的にログインします。
3.5 管理モードへの切り替え #
デフォルトでは、通常のユーザは制限付きのアクセスでCockpitにログインできますが、このアクセス権ではユーザアカウントの管理、システムの更新などの管理タスクを実行できません。
管理アクセスに切り替えるには、次の手順を実行します。
ボタンをクリックします。
rootパスワードを入力します。をクリックして確定します。
管理モードをオフにするには、次の手順に従います。
をクリックします。
確認のため、をクリックします。
4 Cockpitを使用したサーバの設定 #
Cockpitのの部分を使用して、デフォルトのサーバ設定や、手動インストール中に指定した設定を変更できます。この部分では、ホスト名を変更したり、システムの日付やタイムゾーンを変更したりできます。
4.1 サーバのホスト名の変更 #
ホスト名を変更するには、次の手順に従います。
ページに移動します。
部分で、をクリックします。
次の情報を入力します。
- ユーザ定義のフリーフォームのホスト名
- ネットワーク内でのデバイスの名前
4.2 システムの時間またはタイムゾーンの変更 #
システムの時間またはタイムゾーンを変更するには、次の手順に従います。
ページに移動します。
の値をクリックします。
ポップアップウィンドウで、以下を変更できます。
- 手動インストール中に設定した値、または生イメージの場合はUTCに設定します。
- デフォルトでは、NTPが時刻の同期に使用されます。時刻を手動で設定できます。代替NTPサーバを定義している場合は、それらのNTPサーバを時刻の同期に使用できます。
5 Cockpitログのフィルタ #
次の条件に従ってログをフィルタできます。
時間。詳細については、5.1項 「時間によるフィルタ」を参照してください。
優先度。詳細については、5.2項 「優先度によるフィルタ」を参照してください。
識別子。特定のサービス、デーモン、またはプロセスのログをフィルタできます。利用可能な識別子は、現在表示されているログから、設定したフィルタに従って解析されます。
フリーフォームのフィルタ。詳細については、5.3項 「ログフィルタ」を参照してください。
時間、優先度、または識別子のいずれかの条件を変更しても、他の条件は引き続き適用されます。たとえば、時間の条件をに変更しても、優先度と識別子の条件は同じままです。
5.1 時間によるフィルタ #
特定の時間に従ってログをフィルタするには、次の値から選択できます。
- 現在の起動
現在の起動のログのみを表示します。ボタンをクリックすると、現在表示されているログを継続的に更新できます。
- 以前のブート
以前のブートに関連するログを表示します。
- 過去 24 時間
過去24時間以内に記録されたログを表示します。
- 過去 7 日間
過去7日以内に記録されたログを表示します。
5.2 優先度によるフィルタ #
syslogの標準の重要度レベルが使用されます(重要度が最も高いものから最も低いものへソートされます)。
- 緊急のみ
システムは使用できません。これはパニック状態です。
- アラート以上のレベル
このログには早急な対応が必要です。
- 重大以上のレベル
プライマリシステムの障害。直ちに問題を修正する必要があります。
- エラー以上のレベル
緊急のエラーではないものの、特定の時間内に処理する必要があります。
- 警告以上
エラーではないものの、対応しなければエラーが発生する可能性があることを示します。
- 注意以上のレベル
エラーではない異常なイベント。すぐに対応する必要はありません。
- 情報以上のレベル
システムが適切に動作していることの確認として機能する通常の操作メッセージ。
- デバッグ以上のレベル
これらのメッセージは、システムをデバッグする目的でのみ使用します。
5.3 ログフィルタ #
次の条件に従ってログの表示を絞り込むことができます。
- フィルタ開始時刻
指定した日付以降のログが表示されます。次の方法で時間を指定できます。
YYYY-MM-DDの形式で絶対日付を使用する。
yesterday、today、tomorrow、およびnowのいずれかの条件を使用する。値に-または+のプレフィクスを付けて単位を指定し、相対時間を使用する。使用できる単位は、
secondsまたはs、minutesまたはmin、hoursまたはh、daysまたはd、weeksまたはw、monthsまたはm、およびyearsまたはyです。
- フィルタ終了時刻
指定した日付以前のログが表示されます。次の方法で時間を指定できます。
YYYY-MM-DDの形式で絶対日付を使用する。
yesterday、today、tomorrow、およびnowのいずれかの条件を使用する。値に-または+のプレフィクスを付けて単位を指定し、相対時間を使用する。使用できる単位は、
secondsまたはs、minutesまたはmin、hoursまたはh、daysまたはd、weeksまたはw、monthsまたはm、およびyearsまたはyです。
- ブート
整数を入力します。0は現在のブート、-1は直前のブート、1は最初のブート、2は2番目のブートなどを意味します。
- ユニット
ログを表示するために使用する
systemdユニットを指定します。次のいずれかの形式を使用します。_SYSTEMD_UNIT=NAME.serviceCOREDUMP_UNIT=NAME.serviceUNIT=NAME.service
- フリーフォーム検索
ログメッセージ内で検索する文字列を入力します。PERL互換の正規表現を使用することもできます。または、FIELD=VALUEという形式のメッセージのログフィールドに従ってメッセージをフィルタできます。たとえば、「
CODE_LINE=349」と入力すると、この値が含まれるログが表示されます。
6 Cockpitを使用したストレージの管理 #
ページでは、ドライブ上のトラフィックの監視、システムの再パーティション、NFSマウントの管理、ストレージログの表示、およびRAIDまたは論理ボリューム管理の作成を行うことができます。
6.1 ディスク上のデータフローの監視 #
ページのグラフには、デバイスに対する読み込みおよび書き込みデータフローが表示されます。グラフ内のデバイスごとに色が異なります。表示されるデータフローのピークにカーソルを合わせると、デバイス名を特定できます。
6.2 ファイルシステムの管理 #
ビューでは、パーティションテーブルを作成したり、ファイルシステムをフォーマットまたはマウントしたりできます。マウントされたパーティションをまたはに従ってソートできます。
6.2.1 Cockpitを使用したパーティションのフォーマット #
パーティションをフォーマットするには、次の手順に従います。
ページに移動します。
ビューで、フォーマットするパーティションをクリックします。
特定のパーティションの説明の横にあるをクリックして、[フォーマット]ウィンドウを開きます。
パーティションの固有の名前を入力します。
で、パーティションをマウントするディレクトリを指定します。フィールドは必須です。
で、ファイルシステムのタイプを選択します。
/パーティションではBtrfsが必須です。必要に応じて、暗号化を設定します。
- [パスフレーズ]および[確認]
暗号化されたパーティションのロックを解除するためのパスフレーズを入力します。
- パスフレーズの保存
パスフレーズは、
/etc/luks-keysに保存され、次回のブート時にパスフレーズの入力は求められません。- 暗号化オプション
サポートされている暗号化オプションで説明されているオプションのリストを渡すことができます。
を選択します。テキストフィールドに、オプションのコンマ区切りリストを入力できます。一般的なオプションについては、ファイルシステムに依存しないマウントオプションを参照してください。これらのオプションは、
/etc/fstabファイルのoptionsの部分で使用されます。
6.2.2 Cockpitを使用したパーティションのマウント #
パーティションまたはディスクをマウントしようとする前に、まずデバイスをフォーマットする必要があります。詳細については、手順5「パーティションのフォーマット」を参照してください。
パーティションをマウントするには、次の手順に従います。
ページに移動します。
ビューで、マウントするデバイスをクリックします。
をクリックして、ウィンドウを開きます。
を指定します。
テキストフィールドでマウントオプションを選択します。オプションのコンマ区切りリストを入力できます。一般的なオプションについては、ファイルシステムに依存しないマウントオプションを参照してください。これらのオプションは、
/etc/fstabファイルのoptionsの部分で使用されます。どのブートステージでパーティションをマウントする必要があるかを選択します。
をクリックして続行します。
6.3 NFSマウントポイントの管理 #
ページの下にあるビューで、NFSマウントを追加、編集、または削除できます。
6.3.1 NFSマウントポイントの追加 #
NFSマウントポイントを追加するには、次の手順に従います。
ページに移動します。
3本線メニューからビューを選択します。
次の値を指定します。
- サーバアドレス
NFSサーバのIPアドレスまたは名前を指定します。
- サーバのパス
NFSサーバ上で利用可能な、マウントできるパスを選択します。
- ローカルマウントポイント
パスをマウントする、ローカルシステム上のディレクトリを指定します。
- マウントオプション
いずれかのオプションをオンにします。
- システムが起動または再起動するたびにパスを自動的にマウントします。
- NFSパス上のデータに変更を加えることができなくなります。
-
mountコマンドオプションのコンマ区切りリストです。
6.3.2 既存のNFSマウントポイントの編集 #
NFSマウントを編集するには、次の手順に従います。
ページに移動します。
ビューで、特定のNFSマウントをクリックします。
次の画面で、をクリックし、NFS mount detailsに記載されている詳細を指定します。
6.4 Cockpitを使用したRAIDの管理 #
Cockpitを使用して、さまざまなレベルのソフトウェアRAIDを作成または変更できます。
6.4.1 Cockpitを使用したRAIDの作成 #
RAIDレベルに応じて十分な数のディスクが利用可能であることを確認してください。
ソフトウェアRAIDを作成するには、次の手順に従います。
ページに移動します。
ビューの3本線メニューからを選択します。
RAIDの次のパラメータを入力します。
- 名前
RAIDの固有の名前を入力します。
- RAIDレベル
いずれかのRAIDレベルを選択します。
- チャンクサイズ
KB単位のチャンクのサイズ。チャンクとは、1回の読み込み/書き込み操作中にアレイ内の各データディスクに対して読み込まれるか書き込まれるデータの最小量です。
- ディスク
RAIDに含めるディスクを選択します。必要なディスク数は、選択したRAIDレベルによって異なります。
をクリックして、パラメータを確認します。これにより、RAIDが部分に表示されます。
6.4.2 RAIDの変更 #
Cockpitのプラグインを使用して、RAIDを停止または削除できます。ここでアレイからディスクを削除したり、アレイにディスクを追加したりすることもできます。
既存のRAIDを変更するには、次の手順に従います。
ページに移動します。
でRAIDをクリックし、RAIDの詳細ビューを開きます。
詳細ビューでは、RAIDの停止または削除、ディスクの追加または削除、およびデバイスのフォーマットを行うことができます。
特定のRAIDレベルでは、ディスクが一時的に切断された後に変更のみを同期できるオプションをオンにすることができます。がオフの場合は、ディスク上のすべてのデータが同期されます。
アレイのディスク数を変更すると、再同期が実行されます。これには多少時間がかかる場合があります。各RAIDレベルでは最小限の数のディスクが必要であるため、特定のRAIDレベルで必要なディスクをCockpitで削除することはできないことに注意してください。
6.5 ボリュームグループと論理ボリューム管理の管理 #
6.5.1 ボリュームグループの作成 #
ディスクのボリュームグループを作成するには、次の手順に従います。
をクリックします。
の3本線メニューで、を選択します。
ボリュームグループ名を入力します。
ボリュームグループに参加させるディスクを選択します。
でデータを確認します。ボリュームグループがビューに表示されます。
6.5.2 論理ブロックボリュームの作成 #
ボリュームグループがある場合は、そこから論理ブロックボリュームを作成できます。次の手順に従います。
ページに移動します。
で、使用するボリュームグループをクリックします。
をクリックします。
論理ボリューム名を指定します。ブロックデバイスを選択し、使用するサイズを選択します。
を選択します。
使用するサイズを選択します。
をクリックして、詳細を確認します。
をクリックし、ステップ 4の説明に従って詳細を入力して、ブロックボリュームをフォーマットします。
6.5.3 シン論理ボリュームの作成 #
ボリュームグループがある場合は、以下の説明に従ってシン論理ボリュームを作成できます。
ページに移動します。
でボリュームグループをクリックします。
ボリュームグループの詳細で、をクリックします。
論理ボリューム名を指定します。
シンプロビジョニングされたボリュームのプールを選択します。
使用するサイズを選択します。
をクリックして、詳細を確認します。
をクリックして、シンボリュームを作成します。
固有の名前を入力します。
ボリュームのサイズを選択します。
をクリックして、シンボリュームを確認します。
再度をクリックして上記の手順を繰り返すことで、特定のボリュームグループの複数のボリュームを作成できます。
をクリックし、ステップ 4の説明に従って詳細を入力して、ボリュームをフォーマットします。
6.5.4 論理ボリュームの管理 #
既存の論理ボリュームで管理タスクを実行するには、次の手順に従います。
ページに移動します。
ビューで、論理ボリュームをクリックします。
ここで、既存の論理ボリュームに対して次の操作を実行できます。
- Deactivate/Activate (解除/有効化)
縦3点リーダメニューで、またはを選択します。
- マウント
をクリックしてマウントポイントとオプションを入力すると、ボリュームがマウントされます。
- 縮小/増加
[縮小]/[増加]機能は、すべてのファイルシステムで利用できるわけではありません。
ボリュームに関する展開された詳細で、またはをクリックします。
- 削除
縦3点リーダメニューで、を選択します。
7 Cockpitを使用したネットワーキングの管理 #
をクリックすると、システム上のトラフィックの表示、ファイアウォールの管理、ネットワークインタフェースの管理、ネットワークログの表示を行うことができます。
7.1 ファイアウォールルールとゾーンの管理 #
Cockpitでは、新しいゾーンの作成や既存のゾーンの更新を行うことができます。ファイアウォールの設定で、ゾーンにサービスを追加したり、ポートへのアクセスを許可したりできます。
Cockpitサービスをデフォルトのファイアウォールゾーンから削除しないでください。Cockpitサービスがブロックされ、サーバから切断される可能性があります。
7.1.1 ファイアウォールゾーンの追加 #
はデフォルトのファイアウォールゾーンです。新しいゾーンを追加するには、次の手順に従います。
ページに移動します。
をクリックします。
をクリックします。
を選択します。ネットワーク接続の各信頼レベルには、付属するサービスの事前定義済みのセットがあります(Cockpitサービスはすべての信頼レベルに付属します)。
ゾーン内で許可するアドレスを定義します。次のいずれかの値を選択します。
- サブネット内のすべてのアドレスを許可します。
- IPアドレスとルーティングプレフィクスのコンマ区切りリスト。たとえば、192.0.2.0/24, 2001:db8::/32です。
を選択して続行します。
7.1.2 ゾーンへの許可するサービスとポートの追加 #
次に説明するように、既存のファイアウォールゾーンにサービスを追加できます。
ページに移動します。
をクリックします。
をクリックします。
サービスを追加するには、をオンにして、リストからサービスを選択します。
カスタムポートを許可するには、をオンにして、UDPまたはTCP、あるいはその両方のポート値を指定します。このポートに識別子を割り当てることができます。
変更を確認するには、またはをそれぞれクリックします。
7.2 ネットワークボンドについて #
ボンドインタフェースとは、複数のネットワークインタフェースを1つのボンドに組み合わせたものです。によっては、ネットワークボンディングを使用してネットワークのスループットと帯域幅を増やし、パフォーマンスを向上させることができます。さらに、ボンディングしたインタフェースの一部が機能しなくなっても全体的な接続性が維持され、耐障害性も向上させることができます。
7.2.1 ボンドの管理 #
7.2.1.1 ボンドの追加 #
ネットワークボンドを作成しようとすると、次の条件が満たされるとIPアドレスが変更されるため、Cockpitから切断されます。
DHCPがCockpitを実行中のサーバで使用されている
現在使用されているネットワークインタフェースが新しいネットワークボンドに追加される
ボンドを追加するには、次の手順に従います。
ページに移動します。
をクリックします。
ボンドインタフェースの次のパラメータを指定します。
- 名前
インタフェースの固有の名前を入力します。
- インタフェース
ボンドでグループ化するネットワークインタフェースを選択します。
- MAC
基礎となるインタフェースの特定のMACアドレスを選択するか、または次のオプションのいずれかを使用することができます。
- 永続
デバイスにMACアドレスがある場合は、永続的なハードウェアアドレスを使用します。
- 保存
ボンドを有効化する際にMACアドレスを変更しません。
- ランダム
接続を試行するたびにランダムなMACアドレスを作成します。
- 安定
ハッシュされたMACアドレスを作成します。
- モード
デフォルトのモードを維持するか、次のいずれかのモードを選択します。
- ラウンドロビン
利用可能な最初のインタフェースから最後のインタフェースにパケットを転送します。このモードは耐障害性と負荷分散を提供します。
- アクティブなバックアップ
ボンディング内の1つのインタフェースのみがアクティブになります。アクティブなインタフェースに障害が発生すると、バックアップが有効になります。
- XOR
送信ハッシュポリシーを使用した負荷分散。デフォルトはデバイス数のモジュロです。別のポリシーを選択するには、フィールドで[
xmit_hash_policy]オプションを指定します。- ブロードキャスト
すべての情報がすべてのインタフェースで送信されます。
- 適応送信のロードバランス
特別なスイッチのサポートを必要としないチャネルボンディング。発信トラフィックは、各インタフェースの現在の負荷に従って分散されます。
- 適応ロードバランス
アダプティブ送信負荷分散と受信負荷分散が含まれ、特別なスイッチのサポートは必要ありません。
- プライマリ
これは、アクティブなバックアップモードでのみ選択できます。プライマリとして使用する特定のインタフェースを選択し、ボンド内の他のインタフェースはセカンダリとして使用できます。
- リンクのモニタリング
リンクの監視のタイプを選択します。
- 監視間隔
特定のリンクモニタがチェックを実行する間隔を指定します。値はミリ秒単位です。
- リンクアップの遅延
リンクが有効になってからボンドが無効になるまでの時間をミリ秒単位で定義します。値はの値の倍数である必要があります。そうでない場合、最も近い値に丸められます。MIIリンクモニタでのみ利用可能です。
- リンクダウンの遅延
リンクの障害が検出された場合にボンドが無効になる時間をミリ秒単位で定義します。値はの値の倍数である必要があります。そうでない場合、最も近い値に丸められます。MIIリンクモニタでのみ利用可能です。
- ターゲットの監視
監視するホストIPアドレスのリストを指定します。ARPリンクモニタでのみ利用可能です。
で続行します。
7.2.1.2 ボンドの変更 #
ボンドを変更するには、次の手順に従います。
ページに移動します。
特定のボンド名をクリックして、詳細を開きます。
ボンドの次のパラメータを変更できます。
- ボンディング
リストからMACアドレスを選択します。
- 自動的に接続
ボンドはデフォルトで自動的に接続されます。自動接続を無効にするには、このボックスのチェックを外します。
- IPv4およびIPv6
をクリックすると、IPアドレスを設定して、特定のDNS、DNS検索ドメイン、およびルートを設定できます。
- MTU
をクリックすると、最大送信単位の特定の値をバイト単位で指定できます。
- ボンディング
をクリックすると、ボンドインタフェース作成時と同じパラメータを編集できます。
7.3 ネットワークブリッジの管理 #
ネットワークブリッジは、複数のネットワークから単一の集約ネットワークを作成するデバイスです。
7.3.1 ネットワークブリッジの作成 #
ネットワークブリッジを作成しようとすると、次の条件が満たされるとIPアドレスが変更されるため、Cockpitから切断されます。
DHCPがCockpitを実行中のサーバで使用されている
現在使用されているネットワークインタフェースが新しいネットワークブリッジ に追加される
ネットワークブリッジを作成するには、次の手順に従います。
ページに移動します。
ビューでをクリックします。
次の項目を指定します。
- 名前
ブリッジの固有の名前を入力します。
- ポート
ブリッジに含めるインタフェースを選択します。
- スパニングツリープロトコル(STP)
STPはEthernetネットワークで使用されるネットワークプロトコルです。ネットワークスイッチが複数のリンクで接続されている場合は常に優先リンクを設定し、ブリッジループを防止します。この優先リンクは、障害が発生しない限り、すべてのEthernetトラフィックに使用されます。障害が発生した場合は、代わりに冗長リンクが使用されます。STPに関する詳細については、STPを参照してください。
STPプロトコルを有効にした場合は、次の設定を編集できます。
- STP 優先度
優先度が低いほど、そのスイッチがルートスイッチになる確率が高くなります。
- STP フォワード遅延
リスンおよび学習状態で費やす時間(秒単位)を指定します。デフォルト値は15秒ですが、4~30秒の任意の値を使用できます。
- STP Hello タイム
ポート上で送信される各ブリッジプロトコルデータユニット(BDPU)の間隔を秒単位で指定します。デフォルト値は2秒ですが、推奨される範囲は1~10秒です。
- STP メッセージ最大期間
ブリッジポートがその設定BPDU情報を保存するまでの最大経過時間を指定します。
7.3.2 既存のブリッジの変更または削除 #
ブリッジを変更または削除するには、次の手順に従います。
ページに移動します。
ビューで、ブリッジ名をクリックして詳細を開きます。
をクリックしてブリッジを削除するか、次のいずれかの詳細を変更してブリッジを変更できます。
- 全般
ブリッジはデフォルトで自動的に接続されます。自動接続を無効にするには、このオプションをオフにします。
- IPv4およびIPv6
をクリックすると、IPアドレスを設定して、特定のDNS、DNS検索ドメイン、およびルートを設定できます。
- ブリッジ
をクリックして、ブリッジのすべてのパラメータを編集できます。
7.4 Cockpitを使用したVLANの管理 #
仮想ローカルエリアネットワークは、別の物理LANのデバイスをグループ化する論理サブネットワークです。
7.4.1 仮想ローカルエリアネットワークの作成 #
VLANを追加するには、次の手順に従います。
ページに移動します。
ビューでをクリックします。
VLANの詳細を入力します。
- 親
親ネットワークインタフェースを選択します。
- VLAN ID
1~4094の範囲のIDを指定します。
- 名前
VLANの名前を入力します。
7.4.2 既存のVLANの変更または削除 #
既存のVLANを変更または削除するには、次の手順に従います。
ページに移動します。
ビューでVLANの名前をクリックします。
をクリックしてVLANを削除するか、VLANの詳細を変更します。
- 親
親ネットワークインタフェースを選択します。
- VLAN ID
1~4094の範囲のIDを指定します。
- 名前
VLANの名前を入力します。
8 コンテナの操作 #
Cockpitの初回ログイン後に、Podmanを起動する必要があります。デフォルトのチェックボックスをオンにしたままにしておくと、ブートするたびにPodmanが自動的に起動します。
ページでは、レジストリからイメージをプルしたり、コンテナを管理したりできます。フィルタフィールドにフィルタ条件を入力して、ビューをフィルタすることもできます。
8.1 コンテナイメージの管理 #
openSUSEレジストリとDocker Hubはデフォルトのインストールでは設定されません。これらのレジストリからコンテナイメージをダウンロードするには、次のように/etc/containers/registries.confファイルにレジストリを追加する必要があります。
unqualified-search-registries = ["registry.suse.com", "registry.opensuse.org", "docker.io"]
ビューでは、すでにプルされたイメージを、ダウンロード、更新、または削除できます。各機能は縦3点リーダメニューで利用できます。メニューをクリックすると、次のオプションが表示されます。
:イメージのダウンロードの進め方は、手順10「新しいイメージのダウンロード」で説明しています。
:Cockpitは、すでにダウンロードしたコンテナイメージの新しいバージョンをプルします。
:どのコンテナでも使用されていないイメージはすべて削除されます。
› ビューで、縦3点リーダメニューを開き、を選択します。
を選択し、ダウンロードしたイメージを表示できるユーザを定義します。では、イメージの表示が管理アクセスを持つユーザに制限されます。の所有者でダウンロードしたイメージは、通常のユーザだけでなく、管理アクセスを持つ他のすべてのユーザにも表示されます。
優先イメージレジストリを選択するか、
All registriesで続行します。を定義します。デフォルト値は、
latestです。フィールドにイメージ名と説明を入力し、検索を開始します。
入力した名前、レジストリ、およびタグに従って、可能性のあるイメージが提案されます。
目的のイメージを選択して、をクリックします。
8.2 Cockpitを使用したコンテナの管理 #
8.2.1 イメージからの新しいコンテナの実行 #
コンテナを実行するにはコンテナイメージが必要です。イメージは、PodmanまたはCockpitを使用してプルできます。Cockpitを使用する場合は、手順10「新しいイメージのダウンロード」で説明するように事前にイメージをプルするか、または以下で説明するようにフォームから直接イメージをプルすることができます。
新しいコンテナを実行するには、次の手順に従います。
ページに移動します。
事前にイメージをプルした場合:
ビューで、をクリックします。
使用するイメージの横にあるをクリックします。
イメージがない場合は、ビューでをクリックします。
ウィンドウで、次の説明に従ってコンテナの詳細を入力します。一部のオプションは、システム管理者のみが利用できることに注意してください。
タブで、次の詳細を入力します。
- 所有者
sudo特権を持つユーザにのみコンテナを表示するかどうかを選択するには、を選択します。では、特権ユーザと通常のユーザにコンテナを表示するように定義されます。- 名前
コンテナに固有の名前を指定します。
- イメージ
このフィールドは、イメージがない場合に有効になります。イメージ名の入力を開始すると、Cockpitは設定されたレジストリ内のイメージの提案を行います。
- 最新イメージのプル
このチェックボックスは、ダウンロード済みのイメージからコンテナを作成している場合に使用できます。選択すると、コンテナが起動する前に最新のイメージバージョンがプルされます。
- コマンド
コンテナで実行するコマンドを指定できます。
- 端末の使用
このオプションは、端末を使用してコンテナにアクセスできる場合に選択します。選択しない場合、コンテナは切断された状態になります。
- メモリ制限
このボックスをオンにして制限を指定すると、コンテナの最大メモリ消費量を制限できます。
- CPU 共有
CPU時間を使用するためのコンテナの重みを指定します。デフォルトの重みは1024です。この重みは、コンテナの負荷が高い場合にのみ適用されます。あるコンテナ内のタスクがアイドル状態の場合、そのコンテナのCPU時間を他のコンテナで使用できます。
コンテナが4つあり、2つのCPU共有が512で、その他2つのCPU共有が1024であるとします。したがって、高負荷時には、CPU共有の低いコンテナは16.5%のCPU時間しか得られないのに対し、CPU共有が1024のコンテナは33%のCPU時間が得られます。
タブで、次のパラメータを入力できます。
- ポートマッピング
ボタンをクリックしてから、ホストIPアドレス、コンテナポートをマップするホストポート、コンテナポートを指定し、プロトコルを選択します。ホストIPアドレスを設定しないか、値を0.0.0.0に設定すると、ポートは「すべて」のホストIPアドレスにバインドされます。ホストポートを省略すると、ランダムなポートがマッピングに使用されます。
- ボリューム
このフィールドは、コンテナ内のパスをホストマシン上のパスにマップします。ホストパス、コンテナパスを入力し、SELinuxラベルを選択します。
SELinuxラベルのを選択すると、特定のコンテナからのみ、そのボリュームにアクセスできるように定義されます。ラベルは、すべてのコンテナがボリュームにアクセスできることを意味します。
- 環境変数
コンテナ内の環境変数を定義するには、をクリックして、とに入力します。行を追加して、複数の変数を入力できます。
タブで、コマンドをトリガしてコンテナのステータスをチェックする期間を設定できます。次のパラメータを入力します。
- コマンド
コンテナのステータスをチェックするためにトリガするコマンドを指定します。
- 間隔
チェックの間隔を秒単位で指定します。
- タイムアウト
間隔を失敗と見なすまでの最大時間を秒単位で指定します。
- 開始期間
コンテナの起動後にヘルスチェックを実行しない間隔。
- 再試行回数
ステータスを「異常」と見なすまでに何回チェックを実行できるかを指定します。
- 異常な場合
コンテナが「異常」と見なされた後に実行するアクションを選択します。
コンテナを作成するには、またはをクリックして、コンテナを作成して起動します。
8.2.2 実行中のコンテナでの他のアクション #
縦3点リーダメニューで、次のアクションを実行できます。
コンテナの削除。
コンテナの一時停止。
コンテナに対して実行した変更のコミット(コンテナへのパッケージのインストールなど)。
コンテナのチェックポイント - コンテナの状態をディスクに書き込み、コンテナを停止する。
コンテナの再起動。通常のではコンテナ内で実行中のプロセスが停止されます。ではプロセスが強制終了され、データが失われる可能性があります。
コンテナの停止。通常の、、またはを使用すると、コンテナ内のすべてのプロセスの状態がディスクに書き込まれ、次回起動後に、コンテナが停止前の同じポイントに復元されます。
コンテナの詳細を展開すると、タブでコンテナの端末にアクセスし、他のタブでその情報を表示できます。
8.3 ポッドの管理 #
8.3.1 ポッドの作成 #
Cockpitでポッドを作成し、そのポッドの中にコンテナを作成できます。ポッドを作成するには、次の手順に従います。
ページに移動します。
をクリックします。
ポッドの詳細を入力します。
- 名前
ポッドの固有の名前を入力します。
- 所有者
ポッドを
root特権でのみ表示するか、通常のユーザにも表示するかを指定します。- ポートマッピング
をクリックすると、ポッドポートをホストポートにマップできます。コンテナポートを指定し、目的のホストポートとIPアドレスを割り当てます。ホストIPアドレスを設定しないか、0.0.0.0に設定すると、ポートはすべてのホストIPアドレスにバインドされます。ホストポート番号を省略すると、ランダムなポート番号がマッピングに割り当てられます。
- ボリューム
をクリックすると、ホスト上のディレクトリをコンテナのボリュームにマップできます。ホストパスを選択し、コンテナ内のパスを入力して、SELinuxラベルを選択します。
をクリックして、ポッドの作成を確認します。
8.3.2 ポッド内でのコンテナの作成 #
計画の際には、ポッド内で実行できるのは新しいコンテナだけであることに注意してください。ポッドで実行されていない作成済みのコンテナをポッドに追加することはできません。
ポッド内にコンテナを作成するには、次の手順に従います。
ページに移動します。
目的のポートグループで、をクリックします。
8.2.1項 「イメージからの新しいコンテナの実行」の説明に従ってコンテナの詳細を入力します。新しいコンテナの所有者はその特定のポッドの所有者と同じになることに注意してください。
9 Cockpitを使用したユーザ管理 #
Cockpitの画面で、ユーザアカウントとグループを管理できます。
を持つユーザのみが他のユーザを編集できます。
Cockpitの画面を使用して、次のタスクを実行できます。
システムの新しいユーザの作成(9.2項 「Cockpitを使用したユーザアカウントの作成」を参照)
ユーザアカウントへの
sudo特権の割り当て(9.1項 「既存のユーザアカウントの変更」を参照)ユーザパスワードの変更の強制(9.1項 「既存のユーザアカウントの変更」を参照)
特定のユーザアカウントのロック(9.1項 「既存のユーザアカウントの変更」を参照)
9.1 既存のユーザアカウントの変更 #
ユーザアカウントを変更するには、次の手順に従います。
ページに移動します。
変更したいアカウントをクリックします。
ユーザの詳細ビューで、次のアクションを実行できます。
- ユーザの削除
をクリックして、システムからユーザを削除します。
- ユーザのセッションの終了
をクリックすることで、特定のユーザをシステムからログアウトできます。
- アカウントへのアクセスの管理
アカウントが失効する日付を設定できます。デフォルトでは失効しません。
ユーザがパスワードを使用してログインできないようにすることができます。その場合、ユーザは別の認証方法を使用する必要があります。
- ユーザのパスワードの管理
をクリックして、アカウントの新しいパスワードを設定します。
をクリックすると、ユーザは次回ログイン時にパスワードの変更が必要になります。
をクリックして、パスワードを失効させるかどうか、またはパスワードの有効期限を設定します。
- SSHキーの追加
SSHを介してパスワードレス認証を行うためのSSHキーを追加できます。をクリックして、SSH公開鍵の内容を貼り付けて、をクリックして確認します。
9.2 Cockpitを使用したユーザアカウントの作成 #
新しいユーザをシステムに追加するには、次の手順に従います。
ページに移動します。
をクリックして、新しいユーザを追加できるウィンドウを開きます。
ユーザアカウントの詳細を入力します。ドロップダウンメニューで、ユーザに別のホームディレクトリを割り当てることができます。ディレクトリを指定しない場合、標準の
/home/USERNAMEパスが使用されます。を選択した場合、ユーザはパスワードを入力する以外の認証方法(SSHログインなど)を使用する必要があります。
をクリックして、アカウントを確認します。
SSHキーをアカウントに追加するには、9.1項 「既存のユーザアカウントの変更」の説明に従ってアカウントを変更する必要があります。
9.3 ユーザグループの作成 #
このトピックでは、ユーザグループの作成について説明します。
ユーザグループを作成するには、次の手順に従います。
ページに移動します。
をクリックします。
グループの固有の名前を入力して指定するか、デフォルトの名前のままにします。
注記既存のグループIDは上書きできません。1000未満のグループIDは通常、システムアカウントやサービスなどのために予約されています。1000未満のIDでグループを作成した場合、後でCockpitを使用してそのグループを削除することはできません。
10 Cockpitを使用したサービスの管理 #
以下のセクションでは、サービス、ターゲット、ソケット、タイマ、またはパスを起動、停止、および再起動する方法について説明します。
10.1 systemdユニットの管理 #
systemdユニットを管理するには、次の手順に従います。
ページをクリックします。
適切なタブ、、、、または)を選択します。
管理したいユニットをクリックします。
ユニットの詳細で、他の
systemdユニットとの関係やユニットのステータスを表示したり、縦3点リーダメニューにある次のアクションを実行したりできます。- ユニットが実行されていない場合。
- 実行中のユニットが対象。
- 実行中のユニットが対象。
- すべての依存関係を含む、サービスを完全に停止します。依存サービスは他のユニットで使用されている可能性があります。そのため、ユニットを禁止すると、システムに深刻な問題が発生する可能性があることに注意してください。
10.2 新しいタイマの作成 #
systemdタイマは繰り返しタスクを自動化するのに役立ちます。systemdタイマは、systemdサービスのトリガとイベントの処理を制御できます。
systemdタイマのデフォルトセットは、/usr/lib/systemdに保存されています。すでに存在する名前でタイマを作成した場合、デフォルトのユニットファイルは上書きされませんが、新しいユニットファイルが/etc/systemd/system/に作成され、こちらがデフォルトのユニットファイルよりも優先されます。デフォルトのタイマに戻すには、/etc/systemd/system/にあるタイマユニットファイルを削除します。
/etc/systemd/system/ディレクトリにすでに存在するタイマを作成しようとすると、ユニットファイルが上書きされ、以前に行った変更が失われます。
Cockpitを使用してsystemdタイマを作成するには、次の手順に従います。
に移動します。
タブで、をクリックします。
次の詳細を入力します。
- 名前
タイマの名前。ユニット名およびサービスユニット名にも使用されます。たとえば、exampleという名前を指定すると、ユニットファイル
/etc/systemd/system/example.timerと/etc/systemd/system/example.serviceが作成されます。- 説明
タイマの簡単な説明を入力できます。
- コマンド
タイマがトリガされたときに呼び出されるコマンド。
- トリガ
マシンを再起動するたびに、または特定の時間にタイマをトリガできます。オプションでは、サービスを呼び出すまでの遅延を定義できます。オプションでは、サービスを呼び出す時間を指定します。
11 SELinuxモードとポリシー #
SELinuxツールを使用すると、SELinuxのモードを切り替えたり、SELinuxポリシーの現在の変更内容を表示したりできます。
SELinux Cockpitモジュールは、システムでSELinuxが有効になっている場合にのみ表示されます。モジュールにアクセスできない場合は、SELinuxが無効になっている可能性があります。SELinuxが有効になっていることを確認するには、次のコマンドを実行します。
> sestatus
SUSE Linux Enterprise Serverでは、SELinuxはデフォルトで強制モードになっています。一時的に許容モードに切り替えるには、Enforcingというラベルが付いたボタンをクリックします。この変更は次回のブートまでしか持続しないことに注意してください。モードを永続的に変更する必要がある場合は、設定ファイル/etc/selinux/configを編集します。
には、デフォルトのSELinuxポリシーに対して実行された変更すべてが一覧にされます。変更をエクスポートして別のサーバで再利用する場合は、をクリックします。新しいウィンドウで、他のサーバに適用可能なシェルスクリプトやAnsible設定ファイルをコピーできます。
11.1 SELinuxのアクセスに関する問題の解決 #
ページで、監査ログからアクセス拒否メッセージを表示できます。さらに、Cockpitはアクセス拒否を解決可能な方法を提供します。これを行うには、次の手順に従います。
ページに移動します。
で、アクセス拒否に関する詳細を展開します。
監査ログレコードを表示するには、をクリックします。
考えられる解決策を表示するには、をクリックします。一部のソリューションは、をクリックすることで、Cockpit経由で直接適用できます。
12 法的事項 #
Copyright© 2006–2025 SUSE LLC and contributors. All rights reserved.
この文書は、GNU Free Documentation Licenseのバージョン1.2または(オプションとして)バージョン1.3の条項に従って、複製、頒布、および/または改変が許可されています。ただし、この著作権表示およびライセンスは変更せずに記載すること。ライセンスバージョン1.2のコピーは、「GNU Free Documentation License」セクションに含まれています。
SUSEの商標については、https://www.suse.com/company/legal/を参照してください。その他の第三者のすべての商標は、各社の所有に帰属します。商標記号(®、™など)は、SUSEおよび関連会社の商標を示します。アスタリスク(*)は、第三者の商標を示します。
本書のすべての情報は、細心の注意を払って編集されています。しかし、このことは正確性を完全に保証するものではありません。SUSE LLC、その関係者、著者、翻訳者のいずれも誤りまたはその結果に対して一切責任を負いかねます。
