Amazon Linuxクライアントの登録

このセクションでは、Amazon Linuxオペレーティングシステムを実行している従来のクライアントおよびSaltクライアントの登録について説明します。

  • Amazon Linux repository URLs are available from SUSE Customer Center.

  • パッケージおよびメタデータはSUSEではなくAmazonから提供されます。

  • サポートされている製品については、サポートされているAmazon Linuxの機能にあるリリースノートとサポートテーブルを参照してください。

従来のクライアントはAmazon Linux 2では使用できません。 Amazon Linux 2クライアントはSaltクライアントとしてのみサポートされます。

AWSで作成するとき、Amazon Linuxインスタンスには、/etc/machine-idで常に同じmachine-id IDが割り当てられます。 インスタンスを作成した後に、必ずmachine-idを再生成してください。 詳細については、クローンクライアントの登録のトラブルシューティングを参照してください。

1. ソフトウェアチャンネルの追加

Amazon LinuxクライアントをSUSE Managerサーバに登録する前に、必要なソフトウェアチャンネルを追加して同期する必要があります。

現在サポートされているアーキテクチャは、「 x86_64」と「 aarch64」です。 サポートされている製品およびアーキテクチャの完全な一覧については、サポートされているクライアントと機能を参照してください。

次のセクションでは、x86_64アーキテクチャに基づく説明が多いです。 必要に応じて他のアーキテクチャに置き換えてください。

たとえば、「x86_64」アーキテクチャを使用する場合は、次の製品が必要です。

Table 1. Amazon Linux製品 - WebUI
OSバージョン 製品名

Amazon Linux 2

Amazon Linux 2 x86_64
プロシージャ: ソフトウェアチャンネルの追加

  1. SUSE ManagerのWeb UIで、管理  セットアップウィザード  製品に移動します。

  2. 検索バーを使用してクライアントのオペレーティングシステムおよびアーキテクチャに適切な製品を探し、適切な製品にチェックを付けます。 こうすることによって、すべての必須チャンネルに自動的にチェックが付きます。 また、include recommendedトグルがオンになっている場合、すべての推奨チャンネルにもチェックが付きます。 矢印をクリックして関連製品の一覧を表示し、必要な追加製品にチェックが付いていることを確認します。

  3. 製品の追加をクリックし、製品の同期が完了するまで待機します。

または、コマンドプロンプトでチャンネルを追加できます。 このプロシージャで必要なチャンネルは次のとおりです。

Table 2. Amazon Linuxチャンネル - CLI
OSバージョン ベースチャンネル

Amazon Linux 2

amazonlinux2-core-x86_64
プロシージャ: コマンドプロンプトからのソフトウェアチャンネルの追加

  1. SUSE Manager サーバのコマンドプロンプトで root になり、mgr-sync コマンドを特定のチャンネルに対して実行します:

    mgr-sync add channel <channel_label_1>
mgr-sync add channel <channel_label_2>
mgr-sync add channel <channel_label_n>

  2. 同期は自動的に開始されます。 チャンネルを手動で同期する場合、次のコマンドを使用します。

    mgr-sync sync --with-children <channel_name>

  3. 続行前に、同期が完了していることを確認してください。

2. 同期ステータスの確認

プロシージャ: Web UIからの同期の進捗状況の確認

  1. SUSE ManagerのWeb UIで、管理  セットアップウィザードに移動し、［製品］タブを選択します。 このダイアログには、同期中の各製品の完了バーが表示されます。

  2. 代わりに、ソフトウェア  管理  チャンネルに移動し、リポジトリに関連付けられているチャンネルをクリックします。 ［リポジトリ］タブに移動し、［同期］をクリックし、［同期状態］をクリックします。

プロシージャ: コマンドプロンプトから同期の進捗状況を確認する

  1. SUSE Managerサーバのコマンドプロンプトで、rootとして、tailコマンドを使用して同期ログファイルを確認します。

    tail -f /var/log/rhn/reposync/<channel-label>.log

  2. それぞれの子チャンネルは、同期の進捗中にそれぞれのログを生成します。 同期が完了したことを確認するには、ベースチャンネルと子チャンネルのログファイルをすべて確認する必要があります。

3. アクティベーションキーの作成

Amazon Linuxチャンネルと関連付けられているアクティベーションキーを作成する必要があります。

アクティベーションキーの詳細については、アクティベーションキーを参照してください。

4. クライアントでGPGキーを信頼する

オペレーティング システムは、独自のGPGキーを直接信頼するか、少なくとも最小限のシステムでインストールされて出荷されます。 ただし、別のGPGキーで署名されたサードパーティのパッケージは手動で処理する必要があります。 クライアントは、GPGキーを信頼していなくても正常にブートストラップできます。 ただし、キーが信頼されるまで、新しいクライアントツールパッケージをインストールしたり、更新したりできません。

Saltクライアントは、ソフトウェアチャンネル用に入力されたGPGキー情報を使用して、信頼できるキーを管理するようになりました。 GPGキー情報を持つソフトウェアチャンネルがクライアントに割り当てられると、チャンネルが更新されるか、このチャンネルから最初のパッケージがインストールされるとすぐに、キーが信頼されます。

ソフトウェアチャンネルページのGPGキーのURLには、「空白」で区切られた複数のキーのURLを含めることができます。 ファイルURLの場合は、ソフトウェアチャンネルを使用する前に、GPGキーファイルをクライアントに配備する必要があります。

Red Hatベースのクライアントのクライアントツールチャンネル用GPG キーは、クライアントの/etc/pki/rpm-gpg/に配備され、ファイルURLで参照できます。 拡張サポートクライアントのGPGキーの場合も同様です。 ソフトウェアチャンネルがクライアントに割り当てられている場合にのみ、インポートされ、システムによって信頼されます。

Debianベースのシステムはメタデータのみに署名するため、単一チャンネルに追加のキーを指定する必要はありません。 リポジトリメタデータの署名の「独自のGPGキーを使用する」で説明されているように、ユーザが独自のGPGキーを設定してメタデータに署名すると、そのキーの配備と信頼が自動的に実行されます。

4.1. ユーザ定義のGPGキー

ユーザは、クライアントに配備する独自のGPGキーを定義できます。

いくつかのpillarデータを提供し、SaltファイルシステムにGPGキーファイルを提供することで、自動的にクライアントに配備されます。

これらのキーは、RPMベースのオペレーティングシステムでは/etc/pki/rpm-gpg/に、Debianシステムでは/usr/share/keyrings/に配備されます。

キーを配備するクライアントのpillarキーcustom_gpgkeysを定義し、キーファイルの名前を一覧にします。

cat /srv/pillar/mypillar.sls
custom_gpgkeys:
  - my_first_gpg.key
  - my_second_gpgkey.gpg

さらに、Saltファイルシステムでは、gpgという名前のディレクトリを作成し、custom_gpgkeys pillarデータで指定された名前のGPGキーファイルを保存します。

ls -la /srv/salt/gpg/
/srv/salt/gpg/my_first_gpg.key
/srv/salt/gpg/my_second_gpgkey.gpg

これでキーは/etc/pki/rpm-gpg/my_first_gpg.keyおよび/etc/pki/rpm-gpg/my_second_gpgkey.gpgでクライアントに配備されます。

最後のステップでは、ソフトウェアチャンネルのGPGキーのURLフィールドにURLを追加します。 ソフトウェア  管理  チャンネルに移動し、変更するチャンネルを選択します。 ［GPGキーのURL］に値file:///etc/pki/rpm-gpg/my_first_gpg.keyを追加します。

4.2. ブートストラップスクリプトのGPGキー

プロシージャ: ブートストラップスクリプトを使用してクライアントでGPGキーを信頼する

  1. SUSE Managerサーバのコマンドプロンプトで、/srv/www/htdocs/pub/ディレクトリの内容を確認します。 このディレクトリには、使用できるすべての公開鍵が含まれています。 登録クライアントに割り当てるチャンネルに適用するキーをメモします。

  2. 関連するブートストラップスクリプトを開き、ORG_GPG_KEY=パラメータを見つけて、必要なキーを追加します。 次に例を示します。

    uyuni-gpg-pubkey-0d20833e.key

    以前保存したキーを削除する必要はありません。

クライアントのセキュリティにとってGPGキーを信頼することは重要です。 必要かつ信頼できるキーを決定するのは管理者のタスクです。 GPGキーが信頼されていない場合、ソフトウェアチャンネルをクライアントに割り当てることはできません。

5. GPGキーの管理

クライアントではGPGキーを使用して、ソフトウェアパッケージをインストールする前にパッケージ認証の確認が行われます。 信頼されているソフトウェアのみクライアントにインストールできます。

クライアントのセキュリティにとってGPGキーを信頼することは重要です。 必要かつ信頼できるキーを決定するのは管理者のタスクです。 GPGキーが信頼されていない場合、ソフトウェアチャンネルをクライアントに割り当てることはできません。

GPGキーの詳細については、GPGキーを参照してください。

6. クライアントの登録

クライアントを登録するには、ブートストラップリポジトリが必要です。 デフォルトでは、ブートストラップリポジトリは自動的に作成され、すべての同期製品に対して毎日再生成されます。 次のコマンドを使用して、コマンドプロンプトからブートストラップリポジトリを手動で作成できます。

mgr-create-bootstrap-repo

クライアントの登録については、クライアントの登録を参照してください。