Mitzyuki's Blog :: CentOS 6.3 インストール直後にする作業

Nov 02, 2012

CentOS 6.3 インストール直後にする作業

仕事では Linux サーバ、特に CentOS の導入~初期設定の機会が多いので、全ての CentOS 6.3 サーバの導入時に必ず行っている作業をメモする。

インストール作業は CentOS 6.3 の DVD から起動して行う。
CentOS 6 からはテキストベースのインストーラの場合、パーティションの設定やファイルシステムの指定、初期インストールされるパッケージの追加・削除など指定できないので、 GUI を利用した通常のインストールを実行する。

インストールが終了したら初期環境設定を行う。
以下の作業は CentOS 6.3 を導入したマシンでほぼ必ず実施する作業。

自分のユーザを作製する

# adduser アカウント
# password アカウント

自分のアカウントを wheel グループに追加する

sudo (1) 可能な様に自分のアカウントを wheel グループに追加する。

# (rm /etc/group; sed 's/^wheel.*/&,アカウント/g' > /etc/group) < /etc/group

sudo(1) の設定を変更する

sudo(1) しても元の環境変数を保持する様設定

Defaults env_reset を Defaults !env_reset に変更
# Defaults env_keep += "HOME" のコメント記号 `#' を削除

wheel グループのアカウントのみ sudo (1) 可能にする

# %wheel  ALL=(ALL)   ALL のコメント記号 `#' を削除

# visudo

termcap を使用するアプリケーション対応

# ln -s /usr/lib/libtinfo.so /usr/lib/libtermcap.so.2

selinux を無効にする

# (rm /etc/sysconfig/selinux; sed 's/^SELINUX=.*/SELINUX=disabled/' > /etc/sysconfig/selinux) < /etc/sysconfig/selinux
# ex -s /etc/syconfig/selinux << EOF
> /^SELINUX=/s/.*/SELINUX=disabled
> wq
> EOF

2012/11/09 追記

CentOS の /etc/sysconfig/selinux は /etc/selinux/config へのシンボリックリンクで実際は /etc/selinux/config を参照しているのだが、 rm (1) と sed (1) を使った方法だと /etc/sysconfig/selinux が通常ファイルになって書き換わってしまい、元の /etc/selinux/config が変更されていないために selinux が無効にならないという問題を指摘して頂いたので編集方法を修正しました。

システム更新

# yum update

最低限必要なソフトウェアのインストール

システムを運用する上でこれだけは必要だとうソフトウェアを導入する。

# yum install openssh-clients libtermcap-devel tcpdump
# yum install ntpdate telnet wget tcpdump unzip mlocate rsync bind-utils

開発環境のインストール

ソフトウェアを開発する場合は導入する。
通常はサーバでは開発しないので導入は不要な筈…

# yum install make gcc bison flex

ファイアウォールの設定

グローバル環境に晒されるサーバであれば最低限のファイアウォールは設定する必要がある。
基本的には以下のポリシーで必要に応じて追加・削除する。

#!/bin/sh
iptables=/sbin/iptables

# 全て初期化
${iptables} -F

# デフォルトルール
${iptables} -P INPUT DROP
${iptables} -P OUTPUT ACCEPT
${iptables} -P FORWARD DROP

# ループバックを有効にする 
${iptables} -A INPUT -i lo -p all -j ACCEPT

# 接続済みのパケットを受け付ける
${iptables} -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

# http, httpsはどこからでもアクセス可
${iptables} -A INPUT -p tcp --dport 80 -j ACCEPT
${iptables} -A INPUT -p tcp --dport 443 -j ACCEPT
${iptables} -A INPUT -p tcp --dport 8080 -j ACCEPT
${iptables} -A INPUT -p tcp --dport 9080 -j ACCEPT

# dns パケットを許可
${iptables} -A INPUT -p tcp --sport 53 -j ACCEPT
${iptables} -A INPUT -p udp --sport 53 -j ACCEPT
${iptables} -A INPUT -p tcp --dport 53 -j ACCEPT
${iptables} -A INPUT -p udp --dport 53 -j ACCEPT

# ntp パケットを許可
${iptables} -A INPUT -p tcp --dport 123 -j ACCEPT
${iptables} -A INPUT -p udp --dport 123 -j ACCEPT

# そのほか必要なルールを記載
    :
    :

上記設定を /tmp/firewall.sh に格納した場合、ファイアウォールを有効にして設定をセーブする。

# sh /tmp/firewall.sh
# /etc/init.d/iptables save
iptables: ファイアウォールのルールを /etc/sysconfig/iptableに保存中: [  OK  ]

起動サービスの設定

起動サービスを設定する。
基本的には atd crond iptables network ntpd rsyslog sshd のみを有効にする

# for i in `chkconfig --list | awk '/:on/{ print $1 }'`
> do
>  case $i in
>      atd|crond|iptables|network|ntpd|rsyslog|sshd )
>          ;;
>      * )
>          chkconfig $i off
>          chkconfig --del $i
>          ;;
>  esac
> done

ここまで設定して再起動する。
MTA や httpd など固有のサービスは個々に設定する。

Posted at 00:00 in Computer | コメント/トラックバック(0) | 編集

Edit this entry...

wikieditish message: Ready to edit this entry.

Title:

Body:

仕事では Linux サーバ、特に CentOS の導入~初期設定の機会が多いので、
	全ての CentOS 6.3 サーバの導入時に必ず行っている作業をメモする。


	インストール作業は CentOS 6.3 の DVD から起動して行う。 
	CentOS 6 からはテキストベースのインストーラの場合、
	パーティションの設定やファイルシステムの指定、
	初期インストールされるパッケージの追加・削除など指定できないので、
	GUI を利用した通常のインストールを実行する。

インストールが終了したら初期環境設定を行う。 
	以下の作業は CentOS 6.3 を導入したマシンでほぼ必ず実施する作業。
	 
	<dl>
		<dt>
			自分のユーザを作製する
		</dt>
		<dd>
			<code prompt='#'>
# adduser \<u\>アカウント\</u\>
# password \<u\>アカウント\</u\>
			</code>
		</dd>

<dt>
			自分のアカウントを <tt>wheel</tt> グループに追加する
		</dt>
		<dd>
			sudo (1) 可能な様に自分のアカウントを
			<tt>wheel</tt> グループに追加する。

<code prompt='#'>
# (rm /etc/group; sed 's/^wheel.*/&,\<u\>アカウント\</u\>/g' > /etc/group) < /etc/group
			</code>
		</dd>

<dt>
			sudo(1) の設定を変更する
		</dt>
		<dd>
			sudo(1) しても元の環境変数を保持する様設定 
			<file>
Defaults env_reset を Defaults !env_reset に変更
# Defaults env_keep += "HOME" のコメント記号 `#' を削除
			</file>

<tt>wheel</tt> グループのアカウントのみ sudo (1) 可能にする
			<file>
# %wheel ALL=(ALL) ALL のコメント記号 `#' を削除
			</file>

<code prompt='#'>
# visudo
			</code>
		</dd>

<dt>
			termcap を使用するアプリケーション対応
		</dt>
		<dd>
			<code prompt='#'>
# ln -s /usr/lib/libtinfo.so /usr/lib/libtermcap.so.2
			</code>
		</dd>

<dt>
			selinux を無効にする
		</dt>
		<dd>
			<code prompt='>'>
\<s\># (rm /etc/sysconfig/selinux; sed 's/^SELINUX=.*/SELINUX=disabled/' > /etc/sysconfig/selinux) < /etc/sysconfig/selinux\</s\>
# ex -s /etc/syconfig/selinux \<\< EOF
\> /^SELINUX=/s/.*/SELINUX=disabled
\> wq
\> EOF
			</code>
			
				<h3 class='addedit'>2012/11/09 追記</h3>
				
					CentOS の <tt>/etc/sysconfig/selinux</tt> は
					<tt>/etc/selinux/config</tt> へのシンボリックリンクで
					実際は <tt>/etc/selinux/config</tt> を参照しているのだが、
					rm (1) と sed (1) を使った方法だと
					<tt>/etc/sysconfig/selinux</tt> が通常ファイルになって
					書き換わってしまい、元の <tt>/etc/selinux/config</tt> が
					変更されていないために selinux が無効にならない
					という問題を指摘して頂いたので編集方法を修正しました。
				
			
		</dd>

<dt>
			システム更新
		</dt>
		<dd>
			<code prompt='#'>
# yum update
			</code>
		</dd>

<dt>
			最低限必要なソフトウェアのインストール
		</dt>
		<dd>
			システムを運用する上でこれだけは必要だとうソフトウェアを導入する。
			 
			<code prompt='#'>
# yum install openssh-clients libtermcap-devel tcpdump
# yum install ntpdate telnet wget tcpdump unzip mlocate rsync bind-utils
			</code>
		</dd>

<dt>
			開発環境のインストール
		</dt>
		<dd>
			ソフトウェアを開発する場合は導入する。 
			
				通常はサーバでは開発しないので導入は不要な筈…
			
			 
			<code prompt='#'>
# yum install make gcc bison flex
			</code>
		</dd>

<dt>
			ファイアウォールの設定
		</dt>
		<dd>
			グローバル環境に晒されるサーバであれば
			最低限のファイアウォールは設定する必要がある。 
			基本的には以下のポリシーで必要に応じて追加・削除する。
			 
			<file lang='sh'>
#!/bin/sh
iptables=/sbin/iptables

# 全て初期化
${iptables} -F

# デフォルトルール
${iptables} -P INPUT DROP
${iptables} -P OUTPUT ACCEPT
${iptables} -P FORWARD DROP

# ループバックを有効にする 
${iptables} -A INPUT -i lo -p all -j ACCEPT

# 接続済みのパケットを受け付ける
${iptables} -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

# http, httpsはどこからでもアクセス可
${iptables} -A INPUT -p tcp --dport 80 -j ACCEPT
${iptables} -A INPUT -p tcp --dport 443 -j ACCEPT
${iptables} -A INPUT -p tcp --dport 8080 -j ACCEPT
${iptables} -A INPUT -p tcp --dport 9080 -j ACCEPT

# dns パケットを許可
${iptables} -A INPUT -p tcp --sport 53 -j ACCEPT
${iptables} -A INPUT -p udp --sport 53 -j ACCEPT
${iptables} -A INPUT -p tcp --dport 53 -j ACCEPT
${iptables} -A INPUT -p udp --dport 53 -j ACCEPT

# ntp パケットを許可
${iptables} -A INPUT -p tcp --dport 123 -j ACCEPT
${iptables} -A INPUT -p udp --dport 123 -j ACCEPT

# そのほか必要なルールを記載
	:
	:
			</file>

上記設定を <tt>/tmp/firewall.sh</tt> に格納した場合、
			ファイアウォールを有効にして設定をセーブする。
			<code prompt='#'>
# sh /tmp/firewall.sh
# /etc/init.d/iptables save
iptables: ファイアウォールのルールを /etc/sysconfig/iptableに保存中: [ OK ]
			</code>
		</dd>

<dt>
			起動サービスの設定
		</dt>
		<dd>
			起動サービスを設定する。 
			基本的には <tt>atd</tt> <tt>crond</tt> <tt>iptables</tt>
			<tt>network</tt> <tt>ntpd</tt> <tt>rsyslog</tt> <tt>sshd</tt>
			のみを有効にする
			 
				<code prompt='>'>
# for i in `chkconfig --list | awk '/:on/{ print $1 }'`
\> do
\>	case $i in
\>		atd|crond|iptables|network|ntpd|rsyslog|sshd )
\>			;;
\>		* )
\>			chkconfig $i off
\>			chkconfig --del $i
\>			;;
\>	esac
\> done
				</code>
		</dd>
	</dl>

ここまで設定して再起動する。 
	MTA や httpd など固有のサービスは個々に設定する。

Excerpt:

仕事では Linux サーバ、特に CentOS の導入~初期設定の機会が多いので、	全ての CentOS 6.3 サーバの導入時に必ず行っている作業をメモする。	インストール作業は CentOS 6.3 の DVD から起動して行う。	CentOS 6 からはテキストベースのインストーラの場合、	パーティションの設定やファイルシステムの指定、	初期インストールされるパッケージの追加・削除など指定できないので、	GUI を利用した通常のインストールを実行する。	インストールが終了したら初期環境設定を行う。	以下の作業は CentOS 6.3 を導入したマシンでほぼ必ず実施する作業。							自分のユーザを作製する							# adduser アカウント# password アカウント 							自分のアカウントを wheel グループに追加する							sudo (1) 可能な様に自分のアカウントを			wheel グループに追加する。			# (rm /etc/group; sed 's/^wheel.*/&,アカウント/g' > /etc/group) < /etc/group 							sudo(1) の設定を変更する							sudo(1) しても元の環境変数を保持する様設定			Defaults env_reset を Defaults !env_reset に変更# Defaults env_keep += "HOME" のコメント記号 `#' を削除 			wheel グループのアカウントのみ sudo (1) 可能にする			# %wheel ALL=(ALL) ALL のコメント記号 `#' を削除 			# visudo 							termcap を使用するアプリケーション対応							# ln -s /usr/lib/libtinfo.so /usr/lib/libtermcap.so.2 							selinux を無効にする							# (rm /etc/sysconfig/selinux; sed 's/^SELINUX=.*/SELINUX=disabled/' > /etc/sysconfig/selinux) < /etc/sysconfig/selinux# ex -s /etc/syconfig/selinux > /^SELINUX=/s/.*/SELINUX=disabled> wq> EOF 							2012/11/09 追記									CentOS の /etc/sysconfig/selinux は					/etc/selinux/config へのシンボリックリンクで					実際は /etc/selinux/config を参照しているのだが、					rm (1) と sed (1) を使った方法だと					/etc/sysconfig/selinux が通常ファイルになって					書き換わってしまい、元の /etc/selinux/config が					変更されていないために selinux が無効にならない					という問題を指摘して頂いたので編集方法を修正しました。														システム更新							# yum update 							最低限必要なソフトウェアのインストール							システムを運用する上でこれだけは必要だとうソフトウェアを導入する。						# yum install openssh-clients libtermcap-devel tcpdump# yum install ntpdate telnet wget tcpdump unzip mlocate rsync bind-utils 							開発環境のインストール							ソフトウェアを開発する場合は導入する。							通常はサーバでは開発しないので導入は不要な筈…									# yum install make gcc bison flex 							ファイアウォールの設定							グローバル環境に晒されるサーバであれば			最低限のファイアウォールは設定する必要がある。			基本的には以下のポリシーで必要に応じて追加・削除する。						#!/bin/shiptables=/sbin/iptables# 全て初期化${iptables} -F# デフォルトルール${iptables} -P INPUT DROP${iptables} -P OUTPUT ACCEPT${iptables} -P FORWARD DROP# ループバックを有効にする ${iptables} -A INPUT -i lo -p all -j ACCEPT# 接続済みのパケットを受け付ける${iptables} -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT# http, httpsはどこからでもアクセス可${iptables} -A INPUT -p tcp --dport 80 -j ACCEPT${iptables} -A INPUT -p tcp --dport 443 -j ACCEPT${iptables} -A INPUT -p tcp --dport 8080 -j ACCEPT${iptables} -A INPUT -p tcp --dport 9080 -j ACCEPT# dns パケットを許可${iptables} -A INPUT -p tcp --sport 53 -j ACCEPT${iptables} -A INPUT -p udp --sport 53 -j ACCEPT${iptables} -A INPUT -p tcp --dport 53 -j ACCEPT${iptables} -A INPUT -p udp --dport 53 -j ACCEPT# ntp パケットを許可${iptables} -A INPUT -p tcp --dport 123 -j ACCEPT${iptables} -A INPUT -p udp --dport 123 -j ACCEPT# そのほか必要なルールを記載 : : 			上記設定を /tmp/firewall.sh に格納した場合、			ファイアウォールを有効にして設定をセーブする。			# sh /tmp/firewall.sh# /etc/init.d/iptables saveiptables: ファイアウォールのルールを /etc/sysconfig/iptableに保存中: [ OK ] 							起動サービスの設定							起動サービスを設定する。			基本的には atd crond iptables			network ntpd rsyslog sshd			のみを有効にする							# for i in `chkconfig --list | awk '/:on/{ print $1 }'`> do> case $i in> atd|crond|iptables|network|ntpd|rsyslog|sshd )> ;;> * )> chkconfig $i off> chkconfig --del $i> ;;> esac> done 				ここまで設定して再起動する。	MTA や httpd など固有のサービスは個々に設定する。

Ping URLs:

Password:

A quick preview will be rendered here when you click "Preview" button.