Rocky Linux / SSH・Wi-Fi・パスワードポリシーとテキストインストールのメモ

Rocky Linux

Rocky Linuxの管理では、SSHポート・SELinux・ファイアウォールの整合性をそろえ、パスワード規則やネットワーク管理の適用範囲を確認します。ここではそれらの設定と、Rocky Linux 10.1の画面例を基にしたテキストインストールの操作を整理します。SSH認証の準備はLinux講座のSSH接続も参照してください。関連する条件と手順は、rootアカウントでSSH接続可能に設定する方法を参照できます。関連する条件と手順は、SELinuxを無効にする方法を参照できます。関連する条件と手順は、ファイアウォールの管理方法を参照できます。

SSH接続ポートの変更方法

SSH（Secure Shell）のポートを22から50022へ変える例です。コンソールなどの復旧経路を確保し、既存設定をバックアップして、接続中のセッションを残します。ポート変更だけで認証の強化や更新を代替できるわけではありません。

/etc/ssh/sshd_configと読み込まれる追加設定を確認します。次はコメント行の例です。

#Port 22

使用するポートが競合していないことを確認し、有効なPort設定を次のように指定します。

Port 50022

SELinux（Security-Enhanced Linux）が有効な環境では、SSH用ポートのラベルも確認します。sudo semanage port -lで既存登録を調べ、50022が未登録の新規ポートである場合に次を使います。別サービスのラベルが既にあるポートを安易に変更しないでください。semanageがない場合はpolicycoreutils-python-utilsの提供状況を確認します。

sudo semanage port -a -t ssh_port_t -p tcp 50022

firewalldを使っている場合は、sudo firewall-cmd --get-active-zonesで実際の接続に対応するゾーンを確認します。次はpublicゾーンの例で、現在の設定と永続設定の両方へ許可を追加します。必要に応じて接続元を制限し、クラウド側などのファイアウォールも確認してください。

sudo firewall-cmd --zone=public --add-port=50022/tcp &&
sudo firewall-cmd --permanent --zone=public --add-port=50022/tcp

許可設定を用意した後にSSH設定の構文を検査し、成功した場合だけサービスを再起動します。手順の前提はRHEL系でのSSHポート変更の説明も確認してください。

sudo sshd -t &&
sudo systemctl restart sshd

sudo ss -lntpで待ち受けを確認し、別の端末からssh -p 50022 ユーザー@ホストで接続します。新しい接続を確認するまで22番側の許可と復旧経路を閉じないでください。失敗した場合はコンソールから変更した設定をバックアップへ戻し、今回追加した許可だけを記録に従って戻します。

Wi-Fiを使いたいなら

NetworkManagerにWi-Fi機能を追加するパッケージはNetworkManager-wifiです。まずdnfでパッケージと配布元を確認し、必要な環境で導入します。

sudo dnf install NetworkManager-wifi

パッケージの導入だけでは、無線機器のドライバーやファームウェアまで必ずそろうとは限りません。nmcli device statusで無線機器が認識・管理されているか、nmcli radio wifiで無線が有効か確認します。接続はnmcli device wifi listで表示を調べ、nmcli --ask device wifi connect "SSID"のように実際のSSIDを指定します。パスワードは確認画面へ入力し、コマンド引数へ直接残さないようにします。

パスワードの複雑さの設定方法

libpwqualityの設定ファイルを管理者権限で編集します。変更前にバックアップし、追加設定とPAM（Pluggable Authentication Modules）のpam_pwqualityの利用状況も確認します。

/etc/security/pwquality.conf

次は設定ファイルのコメント部分の例で、実行するシェルコマンドではありません。#付きの値は有効な設定行ではなく、内容と既定値はバージョンによって異なります。必要な項目だけをpwquality.confの仕様と照合してください。

# The check is disabled if the value is 0.
# maxclassrepeat = 0
#
# Whether to check for the words from the passwd entry GECOS string of the user.
# The check is enabled if the value is not 0.
# gecoscheck = 0
#
# Whether to check for the words from the cracklib dictionary.
# The check is enabled if the value is not 0.
# dictcheck = 1
#
# Whether to check if it contains the user name in some form.
# The check is enabled if the value is not 0.
# usercheck = 1
#
# Length of substrings from the username to check for in the password
# The check is enabled if the value is greater than 0 and usercheck is enabled.
# usersubstr = 0
#
# Whether the check is enforced by the PAM module and possibly other
# applications.
# The new password is rejected if it fails the check and the value is not 0.
# enforcing = 1
#
# Path to the cracklib dictionaries. Default is to use the cracklib default.
# dictpath =
#
# Prompt user at most N times before returning with error. The default is 1.
# retry = 3
#
# Enforces pwquality checks on the root user password.
# Enabled if the option is present.
# enforce_for_root
#
# Skip testing the password quality for users that are not present in the
# /etc/passwd file.
# Enabled if the option is present.
# local_users_only

長さの条件はminlenで設定しますが、dcredit・ucredit・lcredit・ocreditが正数の場合は文字種による加点も長さ判定に関係します。純粋な長さとして扱うなら、それらを0または必要な文字数を表す負数にする条件も確認します。例えばminlen = 15は設定値の説明用で、組織の要件や他の検査条件に合わせて判断してください。

dictcheckは辞書検査、usercheckはユーザー名の検査、enforcingは不適合を拒否するか警告だけにするかに関係します。rootによる変更にも検査を強制するにはenforce_for_rootの適用条件を確認します。設定ファイルだけで全サービスの認証に適用されるとは限らず、利用するPAM構成やアプリケーションも関係します。

複製した検証環境のテスト用アカウントでパスワード変更を試し、想定した不適合が拒否され、要件を満たすものが許可されるか確認します。管理用の接続を保持してから本番へ適用し、問題があれば変更したファイルだけをバックアップへ戻します。

テキストモードでインストールする方法

以下は元原稿のRocky Linux 10.1のGRUB・インストーラー画面の操作を、日本語の説明図にしたものです。実際の画面の再現ではありません。インストールは選択したディスクへ書き込むため、対象とバックアップを確認します。テキストモードは選べる設定が限られ、独自のパーティション構成などを細かく指定したい場合はグラフィカルな方法を検討してください。