Red Hat Certified System Administrator (RHCSA) #16 フルスケール模擬試験: 16 のタスク + 解説

find でファイルを探して一覧を保存します。

find /etc -type f -name '*.conf' > /root/conf-list.txt

保存した一覧から文字列を含む行だけを抜き出します。

grep network /root/conf-list.txt > /root/conf-network.txt

解説: find の -name '*.conf' は、シェルがワイルドカードを先に展開しないように必ず引用符で囲む必要があります。標準出力を > で redirection すると結果が画面ではなくファイルに保存され、grep network でもう一度絞って 2 つ目のファイルを作ります。権限拒否メッセージが混ざらないように root で作業するのがすっきりします。

スクリプトを書きます。

#!/usr/bin/bash
if [ -z "$1" ] || [ ! -d "$1" ]; then
    echo "Usage: $0 <directory>" >&2
    exit 1
fi
du -sh "$1"
exit 0

実行権限を付与して動作を確認します。

mkdir -p /root/bin
chmod +x /root/bin/diskcheck.sh
/root/bin/diskcheck.sh /etc
/root/bin/diskcheck.sh ; echo $?

解説: [ -z "$1" ] は引数が空かを、[ ! -d "$1" ] はディレクトリではないかを検査し、2 つの条件を || で結んでどちらか一方でも真ならエラーとして処理します。変数は空白を含むパスに備えて常に二重引用符で囲み、使い方は >&2 で標準エラーに送ります。du -sh の -s は合計、-h は人が読みやすい単位を意味し、終了コードは採点項目なので exit で明示します。

ブート時に GRUB2 メニューでカーネル行 (linux で始まる行) を e で編集して末尾に rd.break を追加し、Ctrl+x でブートします。switch_root シェルに入ったら次を実行します。

mount -o remount,rw /sysroot
chroot /sysroot

passwd root
# 新しいパスワードとして Redhat123 を入力

touch /.autorelabel
exit
exit

解説: rd.break は initramfs の段階で止まるため、実際のルートは /sysroot に読み取り専用でマウントされています。したがって remount,rw で書き込み可能にして chroot で入ってこそ passwd が実際のシステムに反映されます。/.autorelabel を作らないと SELinux コンテキストがずれて /etc/shadow の更新が無視され、次のブートでログインが塞がれるのが最もよくある落とし穴です。autorelabel 後の最初のブートは、ラベルの再付与のためにもう一度再起動されます。

デフォルト target を設定して確認します。

systemctl set-default multi-user.target
systemctl get-default

解説: set-default は /etc/systemd/system/default.target シンボリックリンクを新しい target に張り直すため、それ自体で永続設定であり再起動後も維持されます。今のセッションをすぐそのモードに切り替えるには systemctl isolate multi-user.target を追加で使いますが、デフォルト値の変更だけが要求なら set-default で十分です。isolate だけ使って set-default を抜かすと、再起動時に元のモードに戻るのが落とし穴です。

service ユニットと timer ユニットを作ります。

cat > /etc/systemd/system/backup.service <<'EOF'
[Unit]
Description=Daily backup job

[Service]
Type=oneshot
ExecStart=/usr/local/bin/backup.sh
EOF

cat > /etc/systemd/system/backup.timer <<'EOF'
[Unit]
Description=Run backup daily at 03:30

[Timer]
OnCalendar=*-*-* 03:30:00
Persistent=true

[Install]
WantedBy=timers.target
EOF

timer を有効化して予定時刻を確認します。

systemctl daemon-reload
systemctl enable --now backup.timer
systemctl list-timers backup.timer

解説: timer は同じ名前の service (backup.timer ↔ backup.service) を自動でトリガーするため、service は Type=oneshot でジョブだけ定義すれば大丈夫です。timer 側にだけ [Install] と WantedBy=timers.target を置いて enable --now で点けてこそブート時に自動起動し、service を enable するのではないという点が落とし穴です。Persistent=true は予定時刻にシステムが落ちていた場合、ブート後に一度実行を補います。cron で解くなら crontab -e に 30 3 * * * /usr/local/bin/backup.sh を入れても大丈夫です。

物理ボリューム・ボリュームグループ・論理ボリュームを順に作ります。

pvcreate /dev/vdb
vgcreate vgdata /dev/vdb
lvcreate -L 500M -n lvweb vgdata

XFS でフォーマットしてマウントポイントを作ります。

mkfs.xfs /dev/vgdata/lvweb
mkdir /web

UUID で fstab に登録した後、検証のためマウントします。

blkid /dev/vgdata/lvweb
echo 'UUID=<上で確認した UUID> /web xfs defaults 0 0' >> /etc/fstab
mount -a
df -h /web

解説: LVM の作成順序は pvcreate → vgcreate → lvcreate で、論理ボリュームのデバイスパスは /dev/<vg>/<lv> または /dev/mapper/<vg>-<lv> の形です。fstab にはデバイス名ではなく UUID を使うほうが安全で、mount -a で fstab の文法エラーを事前に捕まえます。fstab に誤字があると次のブートが emergency モードに落ちるため、登録直後に mount -a がエラーなく終わるかを必ず確認するのが核心です。

ボリュームグループの余裕を確認して論理ボリュームを拡張します。

vgs vgdata
lvextend -L 800M /dev/vgdata/lvweb

XFS ファイルシステムをオンラインで大きくします。

xfs_growfs /web
df -h /web

解説: 論理ボリュームの拡張は lvextend でメタデータ上のサイズだけを大きくするため、ファイルシステムがその空間を実際に使うには別途の拡張が必要です。XFS は xfs_growfs (引数にマウントポイント)、ext4 は resize2fs (引数にデバイス) を使う点が核心的な違いで、XFS は縮小できず拡張だけできます。lvextend -r -L 800M のように -r を付ければファイルシステムの拡張を一度に処理することもできます。余裕が足りないと lvextend が失敗するため、vgs で Free 空間を先に確認します。

ディスクを LUKS で初期化してロックを開きます。

cryptsetup luksFormat /dev/vdc
# YES を入力した後、パスフレーズ Secret123 を設定

cryptsetup luksOpen /dev/vdc cryptdata

マッピングされたデバイスをフォーマットしてマウントします。

mkfs.ext4 /dev/mapper/cryptdata
mkdir /secure
mount /dev/mapper/cryptdata /secure

crypttab と fstab に登録します。

blkid /dev/vdc
echo 'cryptdata UUID=<vdc の LUKS UUID> none' >> /etc/crypttab
echo '/dev/mapper/cryptdata /secure ext4 defaults 0 0' >> /etc/fstab
mount -a

解説: LUKS は 2 段階で永続化します。/etc/crypttab がブート時に /dev/vdc を cryptdata としてロック解除し (3 番目のフィールドが none ならブート中にパスフレーズを尋ねる)、/etc/fstab はそうして解かれた /dev/mapper/cryptdata をマウントします。crypttab の UUID は、マッピングされたデバイスではなく暗号化元 (/dev/vdc) の UUID でなければならない点が最もよくある落とし穴です。crypttab を抜かすとブート時にマッピングがなく、fstab のマウントが失敗します。

パッケージをインストールしてマスターマップにマウントポイントを登録します。

dnf install -y autofs
echo '/mnt /etc/auto.shared' >> /etc/auto.master.d/shared.autofs

直接マップファイルを書きます。

echo 'shared -rw nfs.example.com:/exports/shared' > /etc/auto.shared

サービスを有効化し、アクセスで自動マウントを確認します。

systemctl enable --now autofs
ls /mnt/shared
mount | grep shared

解説: AutoFS はマスターマップ (/etc/auto.master または auto.master.d/*.autofs) に「マウントの親パス + マップファイル」を登録し、マップファイルに「下位キー + オプション + リモートパス」を書く 2 段階の構造です。マスターマップに /mnt を置いてマップファイルに shared を置くと、実際のマウントポイントは /mnt/shared になり、そのディレクトリを自分で作る必要はありません (AutoFS が管理)。サービスを enable --now で点けてこそ再起動後も維持され、NFS クライアントユーティリティがなければ dnf install nfs-utils も必要です。

利用できるストリームを確認してバージョン 15 をインストールします。

dnf module list postgresql
dnf module install -y postgresql:15

有効化されたストリームを確認します。

dnf module list postgresql --enabled

解説: AppStream のモジュールは同じソフトウェアの複数のバージョンをストリームとして提供し、dnf module install postgresql:15 はストリーム 15 を有効化してデフォルトプロファイルを併せてインストールします。1 つのモジュールでは 1 つのストリームだけが有効化されるため、別のバージョンがすでに点いていれば dnf module reset postgresql で初期化した後、望むストリームをインストールします。--enabled の一覧で 15 の横に [e] の表示が見えれば正常です。

接続名を確認して静的アドレスを設定します。

nmcli connection show
nmcli connection modify "System eth0" \
  ipv4.addresses 192.168.50.20/24 \
  ipv4.gateway 192.168.50.1 \
  ipv4.dns 192.168.50.1 \
  ipv4.method manual

変更を適用して結果を確認します。

nmcli connection up "System eth0"
ip addr show
nmcli connection show "System eth0" | grep ipv4

解説: nmcli connection modify は接続プロファイルをディスクに永続保存するため、再起動後も維持されます。ipv4.method を manual に変えないと、静的アドレスを入れても DHCP が動き続けて意図した IP が掴めないのがよくある落とし穴です。修正だけでは即時に反映されないため、connection up (または nmcli device reapply) で再び有効化する必要があり、検証は ip addr で実際のインターフェースにアドレスが付いたかを確認します。

グループとユーザーを作ります。

groupadd devteam
useradd -G devteam alice
useradd -G devteam bob
passwd alice
passwd bob

alice にパスワードなしの sudo 権限を付与します。

echo 'alice ALL=(ALL) NOPASSWD: ALL' > /etc/sudoers.d/alice
visudo -cf /etc/sudoers.d/alice

bob のパスワード最大使用期間を設定します。

chage -M 90 bob
chage -l bob

解説: 補助グループは useradd -G (すでにいるユーザーなら usermod -aG で既存のグループを保存) で指定し、-a なしで usermod -G だけ使うと既存の補助グループがすべて飛ぶのが落とし穴です。sudo 権限は /etc/sudoers を直接いじるより /etc/sudoers.d/ の下のファイルとして置くほうが安全で、visudo -cf で文法を検査する必要があります。chage -M 90 はパスワードの最大使用期間を 90 日にし、-l でポリシーを確認します。

ディレクトリを作り、ACL とデフォルト ACL を設定します。

mkdir -p /srv/project
setfacl -m g:devteam:rwx /srv/project
setfacl -m d:g:devteam:rwx /srv/project

設定された ACL を確認します。

getfacl /srv/project

解説: setfacl -m g:devteam:rwx は現在のディレクトリ自体にグループ ACL を掛けるもので、d: (default) の接頭辞を付けた項目は、そのディレクトリの中に 今後新しく生まれる ファイル・ディレクトリが継承するデフォルト権限を定めます。既存の項目と default の項目は別物なので、両方を設定してこそ「今のアクセス」と「これから生まれるもの」の両方が満たされます。getfacl の出力で default: の行が見えるかでデフォルト ACL を検証します。

ディレクトリに Web コンテンツコンテキストを永続ルールとして登録して適用します。

semanage fcontext -a -t httpd_sys_content_t "/srv/www(/.*)?"
restorecon -Rv /srv/www

boolean を永続的に点けます。

setsebool -P httpd_enable_homedirs on

確認します。

ls -Zd /srv/www
getsebool httpd_enable_homedirs

解説: コンテキストの変更は 2 段階です。semanage fcontext -a がポリシーデータベースに永続ルールを追加し、restorecon がそのルールどおりに実際のファイルにラベルを付けます。chcon だけ使うと今は通りますが、restorecon や relabel のときに元に戻るため永続ではないという点が核心の落とし穴です。boolean は setsebool に -P を付けてこそディスクに保存されて再起動後も維持され、-P なしで点けると一時的です。(/.*)? の正規表現は、ディレクトリ自体とその中のすべての項目を含みます。

alice でログインした後、イメージを受け取ってコンテナを実行します。

su - alice

mkdir -p ~/web-content
podman pull docker.io/library/nginx
podman run -d --name mynginx \
  -p 8080:80 \
  -v ~/web-content:/usr/share/nginx/html:Z,ro \
  nginx

状態を確認します。

podman ps
curl http://localhost:8080

解説: rootless Podman は一般ユーザーのセッションでそのまま動作するため、su - alice でそのユーザー環境に入って実行するのが核心です。-v の :Z は SELinux がホストディレクトリにコンテナ用のラベル (container_file_t) を付けてアクセス拒否を防ぎ、:ro は読み取り専用マウントです。rootless では 1024 未満のポートをホスト側へ直接開けない制約があるため、ホストポートには 8080 のような高い番号を使う点に注意します。

既存のコンテナを片付け、alice の quadlet ディレクトリにユニットファイルを作ります。

su - alice

podman rm -f mynginx
mkdir -p ~/.config/containers/systemd

cat > ~/.config/containers/systemd/mynginx.container <<'EOF'
[Container]
Image=docker.io/library/nginx
ContainerName=mynginx
PublishPort=8080:80
Volume=%h/web-content:/usr/share/nginx/html:Z,ro

[Service]
Restart=always

[Install]
WantedBy=default.target
EOF

ユニットを生成・起動します。

systemctl --user daemon-reload
systemctl --user enable --now mynginx.service
systemctl --user status mynginx.service

alice がログアウトしても維持されるように root で linger を点けます。

exit
loginctl enable-linger alice

解説: quadlet は ~/.config/containers/systemd/*.container ファイルを置くと systemd の生成器が自動で mynginx.service ユニットに変換してくれる方式で、daemon-reload の後に --user でそのサービスを点けます。quadlet ファイルの名前が mynginx.container ならサービス名は mynginx.service になる点が紛らわしいです。rootless の user サービスはそのユーザーがログインしているときだけ回るのがデフォルトなので、ブート時の自動起動とログアウト後の維持のために loginctl enable-linger が必ず必要です。