EC2のLinux構築でやるべきこと

11月 14, 2019AmazonLinux_CentOS,EC2,OperatingSystem

Contents

1. 概要
2. LinuxのOS初期設定
3. Linuxの監査ログ設定
4. Linuxのユーティリティをインストール
5. EC2 管理ツールのインストール/セットアップ
6. OSのネットワーク/セキュリティ関連の設定
7. ADに登録(*)
8. ミドルウェアのインストール(*)
- 8.1. ミドルウェアのインストール
9. AMI を使った横展開

概要

インフラエンジニアの基本はIaaS構築から！　本記事は、EC2上に起動したLinux OSの構築でやるべきことをまとめた記事となります。対象はOSのベースのみであり、WebサーバーやDBなどミドルウェアの手順については含みません。
対象のディストリビューションは、Amazon Linux 2 or CentOS 7 です。他のディストリビューションであってもやるべき項目は変わりありません（手順が変わります）。また、一般的なオペレーションはコマンドレベルまで記載していない箇所もあります。ご了承ください。
なお、本記事に完成はなく、Linux OSの構築で新しい発見があれば都度更新の予定です。

LinuxのOS初期設定

先ず、Linux が起動した後のOS初期設定を記載します。

初期ユーザーのパスワード変更

初期ユーザーのパスワード変更（鍵認証の場合は必要に応じて）
- Amazon Linuxの場合は"ec2-user"、CentOSの場合は"centos"（cloudpack-amiの場合は"cloudpack"ですね）
- 確認のためサインアウト/サインイン

rootのパスワード変更

rootのパスワード変更（必要に応じて）

パッケージの更新

yum update


$ sudo yum update

SELinux

Amazon Linux 2 の場合はデフォルトで無効なため、確認のみ。（セキュリティポリシーによる）


$ getenforce
Disabled

以下、CentOSの場合に無効に変更する方法。


[centos@ip-xx-xx-xx-xx ~]$ getenforce
Enforcing
[centos@ip-xx-xx-xx-xx ~]$ sudo cp -p /etc/selinux/config /etc/selinux/config_20200327
[centos@ip-xx-xx-xx-xx ~]$ sudo vi /etc/selinux/config
[centos@ip-xx-xx-xx-xx ~]$ diff /etc/selinux/config_20200327 /etc/selinux/config
7c7
< SELINUX=enforcing
---
> SELINUX=disabled
[centos@ip-xx-xx-xx-xx ~]$ sudo shutdown -r now
[centos@ip-xx-xx-xx-xx ~]$ getenforce
Disabled

sudoers設定

sudoers設定および確認。
cloudpack-amiの場合、/etc/sudoers.d/cloudpack に以下のエントリがあるため、cloudpackユーザーはsudo可能、sudoにパスワード不要となる（通常のCentOSはcentosに読み替え）。


cloudpack        ALL=(ALL)       NOPASSWD: ALL

上記方法ではなく、対象ユーザーのセカンダリグループにwheel を追加した場合、/etc/sudoersに下記設定を行うことで、sudoにパスワード不要となる。


## Allows people in group wheel to run all commands
#%wheel ALL=(ALL)       ALL
## Same thing without a password
%wheel  ALL=(ALL)       NOPASSWD: ALL

NTP設定（Amazon Time Sync Service）

Amazon Time Sync Service(Server:169.254.169.123)が設定され、同期が取れていることを確認する。
Amazon Linux 2 の場合はデフォルトで有効なため、不要。


$ systemctl status chronyd
● chronyd.service - NTP client/server
   Loaded: loaded (/usr/lib/systemd/system/chronyd.service; enabled; vendor preset: enabled)
   Active: active (running) since Mon 2019-02-25 10:40:28 JST; 1h 40min ago
     Docs: man:chronyd(8)
           man:chrony.conf(5)
 Main PID: 2967 (chronyd)
   CGroup: /system.slice/chronyd.service
           mq2967 /usr/sbin/chronyd
Feb 25 10:40:27 ip-xx-xx-xx-xx.ap-northeast-1.compute.internal systemd[1]: ...
Feb 25 10:40:27 ip-xx-xx-xx-xx.ap-northeast-1.compute.internal chronyd[2967]: ...
Feb 25 10:40:27 ip-xx-xx-xx-xx.ap-northeast-1.compute.internal chronyd[2967]: ...
Feb 25 10:40:28 ip-xx-xx-xx-xx.ap-northeast-1.compute.internal systemd[1]: ...
Feb 25 10:40:45 ip-xx-xx-xx-xx.ap-northeast-1.compute.internal chronyd[2967]: S...
Feb 25 10:40:45 ip-xx-xx-xx-xx.ap-northeast-1.compute.internal chronyd[2967]: T...
Hint: Some lines were ellipsized, use -l to show in full.
$ chronyc tracking
Reference ID    : A9FEA97B (169.254.169.123)
Stratum         : 4
Ref time (UTC)  : Mon Feb 25 03:21:03 2019
System time     : 0.000034801 seconds fast of NTP time
Last offset     : +0.000031882 seconds
RMS offset      : 0.000065280 seconds
Frequency       : 4.703 ppm fast
Residual freq   : +0.016 ppm
Skew            : 0.196 ppm
Root delay      : 0.003376933 seconds
Root dispersion : 0.000516520 seconds
Update interval : 258.8 seconds
$ chronyc sources
210 Number of sources = 1
MS Name/IP address         Stratum Poll Reach LastRx Last sample
===============================================================================
^* 169.254.169.123               3   6   377    19    +68ns[ +176ns] +/-  412us

以下、CentOSの場合にAmazon Time Sync Serviceに変更する方法。


← 変更前
[centos@ip-xx-xx-xx-xx ~]$ chronyc tracking
Reference ID    : 85F3EEA3 (ntp-b2.nict.go.jp)
Stratum         : 2
Ref time (UTC)  : Fri Mar 27 10:52:31 2020
System time     : 0.000014093 seconds fast of NTP time
Last offset     : +0.000090461 seconds
RMS offset      : 0.000077362 seconds
Frequency       : 3.035 ppm slow
Residual freq   : +0.002 ppm
Skew            : 0.056 ppm
Root delay      : 0.003940267 seconds
Root dispersion : 0.000853725 seconds
Update interval : 1025.1 seconds
Leap status     : Normal
[centos@ip-xx-xx-xx-xx ~]$ chronyc sources
210 Number of sources = 4
MS Name/IP address         Stratum Poll Reach LastRx Last sample
===============================================================================
^- 30-213-226-103-static.ch>     1  10   377   693   +208us[ +208us] +/-   20ms
^- kuroa.me                      2  10   377   646  -1613us[-1613us] +/-   41ms
^- mx.execve.net                 3   8   377   229    +22us[  +22us] +/-   48ms
^* ntp-b2.nict.go.jp             1  10   377   773   +249ns[  +91us] +/- 1971us
[centos@ip-xx-xx-xx-xx ~]$ sudo cp -p /etc/chrony.conf /etc/chrony.conf_20200327
[centos@ip-xx-xx-xx-xx ~]$ ls -l /etc/chrony.*
-rw-r--r--. 1 root root   1108 Aug  8  2019 /etc/chrony.conf
-rw-r--r--. 1 root root   1108 Aug  8  2019 /etc/chrony.conf_20200327
-rw-r-----. 1 root chrony  481 Aug  8  2019 /etc/chrony.keys
[centos@ip-xx-xx-xx-xx ~]$ sudo vi /etc/chrony.conf
[centos@ip-xx-xx-xx-xx ~]$
[centos@ip-xx-xx-xx-xx ~]$ diff /etc/chrony.conf_20200327 /etc/chrony.conf
2a3
> server 169.254.169.123 prefer iburst
[centos@ip-xx-xx-xx-xx ~]$ sudo systemctl restart chronyd
← 変更後
[centos@ip-xx-xx-xx-xx ~]$ chronyc tracking
Reference ID    : A9FEA97B (169.254.169.123)
Stratum         : 4
Ref time (UTC)  : Fri Mar 27 11:13:21 2020
System time     : 0.000000010 seconds fast of NTP time
Last offset     : -0.000011045 seconds
RMS offset      : 0.000011045 seconds
Frequency       : 3.028 ppm slow
Residual freq   : -2.836 ppm
Skew            : 0.050 ppm
Root delay      : 0.000233802 seconds
Root dispersion : 0.000343711 seconds
Update interval : 1.9 seconds
Leap status     : Normal
[centos@ip-xx-xx-xx-xx ~]$ chronyc sources
210 Number of sources = 5
MS Name/IP address         Stratum Poll Reach LastRx Last sample
===============================================================================
^* 169.254.169.123               3   6    17    29   +336ns[  -11us] +/-  365us
^- time.cloudflare.com           3   6    17    30   +713us[ +702us] +/-   60ms
^- sv1.localdomain1.com          2   6    17    29    +90us[  +79us] +/-   29ms
^- time.cloudflare.com           3   6    17    29   +868us[ +857us] +/-   60ms
^- ntp-5.jonlight.com            2   6    17    29   +158us[ +158us] +/-   42ms

Timezone設定

下記サンプルは、TimezoneをJSTからUTCへ変更。（要件に合わせて変更）


$ date
Mon Feb 25 12:28:24 JST 2019
$ timedatectl status
      Local time: Mon 2019-02-25 12:28:36 JST
  Universal time: Mon 2019-02-25 03:28:36 UTC
        RTC time: Mon 2019-02-25 03:28:35
       Time zone: Asia/Tokyo (JST, +0900)
     NTP enabled: yes
NTP synchronized: yes
 RTC in local TZ: no
      DST active: n/a
$ sudo timedatectl set-timezone UTC
$ timedatectl status
      Local time: Mon 2019-02-25 03:31:21 UTC
  Universal time: Mon 2019-02-25 03:31:21 UTC
        RTC time: Mon 2019-02-25 03:31:20
       Time zone: UTC (UTC, +0000)
     NTP enabled: yes
NTP synchronized: yes
 RTC in local TZ: no
      DST active: n/a
$ date
Mon Feb 25 03:31:25 UTC 2019

Language設定

下記サンプルでは、デフォルトがEnglishになっていたため、今回は変更なし。（要件に合わせて変更）


$ locale
LANG=en_US.UTF-8
LC_CTYPE="en_US.UTF-8"
LC_NUMERIC="en_US.UTF-8"
LC_TIME="en_US.UTF-8"
LC_COLLATE="en_US.UTF-8"
LC_MONETARY="en_US.UTF-8"
LC_MESSAGES="en_US.UTF-8"
LC_PAPER="en_US.UTF-8"
LC_NAME="en_US.UTF-8"
LC_ADDRESS="en_US.UTF-8"
LC_TELEPHONE="en_US.UTF-8"
LC_MEASUREMENT="en_US.UTF-8"
LC_IDENTIFICATION="en_US.UTF-8"
LC_ALL=

swap領域を追加する

インスタンスにswap領域が構成されていない場合、追加でswap領域を作成する。下記記事を参考に、swap領域を追加する。

Linux Swap設定方法（CentOS 7）

LinuxにSwap領域を追加する方法 AWSから提供されているLinux のAMI には、Swapが設定されていません（ ...

https://oji-cloud.net/2019/07/01/post-2242/

拡張側のEBSボリュームにFSを作成

インスタンスに拡張側のEBSボリュームが構成されている場合、追加のファイルシステムを作成する必要がある。下記記事を参考に、EBSボリュームにファイルシステムを作成する。

Linux xfsファイルシステム作成方法（CentOS 7）

EC2 LinuxでEBSボリュームを追加する今回はEC2のLinux環境でEBSボリュームにxfsファイルシステムを追 ...

https://oji-cloud.net/2019/08/22/post-2813/

cloud-init設定

次は、cloud-initの設定を変更します。cloud-initは、Linux OSを初期設定するためのサービスです。
Linux OSの構築後、インスタンスのイメージ（AMI）を取得することは一般的かと思います。AMIは、Auto Scalingによるスケールアウト時や単純に2台目以降を複製するケース、あるいは障害からの復旧や人為的ミスから以前の状態を復元するなどの目的で取得します。
下記のcloud-initの設定変更によって、インスタンスの起動時に本記事で設定した内容がデフォルトに戻らないようにします。
以下、設定変更するパラメータの説明です。他のパラメータは必要に応じて、調査・変更ください。
- ssh_pwauth → “1"を設定して、インスタンス初回起動時に、デフォルトでパスワード認証を選択する（後述するプライベートなサブネットに配置したEC2で認証方法にパスワード認証を選択した場合のみ）。
- preserve_hostname → “true"を設定して、インスタンス初回起動時にホスト名を初期化しない。
- repo_upgrade: none → “none"を設定して、インスタンス初回起動時にパッケージを更新しない。
- locale: en_US.UTF-8 → インスタンス初回起動時に設定するlocaleを選択する（前述の設定値に合わせる）。
- timezone: UTC → インスタンス初回起動時に設定するtimezoneを選択する（前述の設定値に合わせる）。


$ cd /etc/cloud
$ sudo cp -p cloud.cfg cloud.cfg.bak_20190308
$ sudo vi cloud.cfg
* 以下を変更
ssh_pwauth:   1
* 以下を追記
preserve_hostname: true
repo_upgrade: none
locale: en_US.UTF-8
timezone: UTC

NitroベースのインスタンスにKernelパラメータ変更

インスタンスタイプがt3やc5、m5などNitroベースのインスタンスを使用する場合、以下Kernelパラメータを変更する。一部のディストリビューションにおいて、NVMe ドライバーのI/O オペレーションタイムアウト変更が推奨されているため。詳細はこちら。
すでに現在のio_timeoutが最大値（例：4294967295）であれば、追加で変更の必要なし。


$ cat /sys/module/nvme_core/parameters/io_timeout
$ sudo sed -i 's/^nvme_core.io_timeout=.*//g;s/^nvme_core.max_retries=.*//g' /etc/sysctl.conf
$ sudo sed -i '/^GRUB_CMDLINE_LINUX/s/"$/ nvme_core.io_timeout=255 nvme_core.max_retries=128"/'  /etc/default/grub
$ sudo grub2-mkconfig -o /boot/grub2/grub.cfg
$ sudo yum -y install nvme-cli
← Kernelパラメータが変更されたことを確認
$ cat /sys/module/nvme_core/parameters/io_timeout

ホスト名変更(*)

ホスト名を変更する（但し、AMIを取得してAuto Scalingを行う場合は、Auto Scaling時のホスト名を管理するか検討の必要あり）。


$ hostname
ip-xx-xx-xx-xx.ap-northeast-1.compute.internal
$ sudo hostnamectl set-hostname new-hostname
$ hostname
new-hostname

管理者以外のユーザーを作成

管理者以外のユーザー（例：develop）を作成し、認証のための秘密鍵を準備する。（要件に合わせて変更）
必要に応じて、作成したユーザーに管理者権限を付与する。前述のsudoers設定を参照すること。
ユーザー作成後、秘密鍵を使用してログインできることを確認する（パスフレーズを指定した場合は、ログイン時にパスフレーズも入力すること）。


$ sudo groupadd -g 500 develop
$ cat /etc/group
$ sudo useradd -u 500 -g develop -c develop -d /home/develop -s /bin/bash develop
$ cat /etc/passwd
$ id -a develop
$ sudo passwd develop
$ sudo su - develop
$ mkdir .ssh
$ chmod g-w .ssh
$ ls -lad .ssh
drwxr-xr-x 2 develop develop 61 Mar  6 03:50 .ssh
$ ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/home/develop/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/develop/.ssh/id_rsa.
Your public key has been saved in /home/develop/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:VwBbtcHe2e8aMKZnCP5t92pMtd3WbTdBz9RcNYBQpuB develop@ip-xx-xx-xx-xx.ap-northeast-1.compute.internal
The key's randomart image is:
+---[RSA 2048]----+
|     o.   ...++  |
|    E .  . +.=o+ |
| . o +  . o.=.+..|
|. . . =.  .o .=. |
|.  o O +S.  .  =.|
|..  = X .   + . o|
|o.   + o   . + . |
|..  o         .  |
|  ..             |
+----[SHA256]-----+
$ cd .ssh
$ cat id_rsa.pub >> ~/.ssh/authorized_keys
$ chmod 600 authorized_keys
$ ls -la
total 12
drwxr-xr-x 2 develop develop   61 Mar  6 03:50 .
drwx------ 3 develop develop   95 Mar  6 03:40 ..
-rw------- 1 develop develop  435 Mar  6 03:50 authorized_keys
-rw------- 1 develop develop 1766 Mar  6 03:48 id_rsa
-rw-r--r-- 1 develop develop  435 Mar  6 03:48 id_rsa.pub

Linuxの監査ログ設定

CentOS あるいは Amazon Linux に標準でインストールされているauditd を使って監査ログの取得を設定する。下記記事を参考に、auditdにルールを追加する。

Linux auditdによる監査ログ設定（CentOS 7）

概要今回は、CentOS あるいは Amazon Linux に標準でインストールされているauditd を使って監査ログ ...

https://oji-cloud.net/2020/03/28/post-4692/

Linuxのユーティリティをインストール

wgetやgitなど使用頻度の高いユーティリティをインストールする。


$ sudo yum install wget
$ sudo yum install git

CentOSでjqをインストールする場合は、CentOS の標準リポジトリにjq が含まれないため、先にEPELリポジトリをインストールする必要あり。


[centos@ip-xx-xx-xx-xx ~]$ sudo yum install epel-release
[centos@ip-xx-xx-xx-xx ~]$ sudo yum install jq
[centos@ip-xx-xx-xx-xx ~]$ yum list installed | grep jq
jq.x86_64                                  1.6-1.el7                  @epel

EC2 管理ツールのインストール/セットアップ

次に、EC2 の管理に必要なツール類をインストールする。

AWS CLI のインストール

AWS CLI をインストールする。Amazon Linux 2 の場合はデフォルトでインストール済みのため、確認のみ。


$ which aws
/bin/aws
$ aws --version
aws-cli/1.16.69 Python/2.7.5 Linux/3.10.0-957.1.3.el7.x86_64 botocore/1.12.59

CentOSの場合は、pipを使用してAWS CLIをインストールする。


[centos@ip-xx-xx-xx-xx ~]$ sudo yum install python3
[centos@ip-xx-xx-xx-xx ~]$ sudo pip3 install awscli
[centos@ip-xx-xx-xx-xx ~]$ which aws
/usr/local/bin/aws
[centos@ip-xx-xx-xx-xx ~]$ sudo pip3 list | grep awscli
DEPRECATION: The default format will switch to columns in the future. You can use --format=(legacy|columns) (or define a format=(legacy|columns) in your pip.conf under the [list] section) to disable this warning.
awscli (1.18.30)

初期ユーザーおよび追加にて作成したユーザーのそれぞれにおいて、AWS CLI のセットアップを実施する。


$ aws configure

SSM Agentのインストール

SSM Agent をインストールする。Amazon Linux 2 の場合はデフォルトでインストール済みのため、確認のみ。


# systemctl status amazon-ssm-agent
● amazon-ssm-agent.service - amazon-ssm-agent
   Loaded: loaded (/etc/systemd/system/amazon-ssm-agent.service; enabled; vendor preset: disabled)
   Active: active (running) since Mon 2019-02-25 01:40:42 UTC; 1h 57min ago
 Main PID: 3615 (amazon-ssm-agen)
   CGroup: /system.slice/amazon-ssm-agent.service
           mq3615 /usr/bin/amazon-ssm-agent
Feb 25 03:10:57 ip--xx-xx-xx.ap-northeast-1.compute.internal amazon-ssm-agent[3615]: ...
Feb 25 03:11:05 ip--xx-xx-xx.ap-northeast-1.compute.internal amazon-ssm-agent[3615]: ...
Feb 25 03:15:57 ip--xx-xx-xx.ap-northeast-1.compute.internal amazon-ssm-agent[3615]: ...
Feb 25 03:20:57 ip--xx-xx-xx.ap-northeast-1.compute.internal amazon-ssm-agent[3615]: ...
Feb 25 03:20:57 ip--xx-xx-xx.ap-northeast-1.compute.internal amazon-ssm-agent[3615]: ...
Feb 25 03:25:46 ip--xx-xx-xx.ap-northeast-1.compute.internal amazon-ssm-agent[3615]: ...
Feb 25 03:25:57 ip--xx-xx-xx.ap-northeast-1.compute.internal amazon-ssm-agent[3615]: ...
Feb 25 03:30:57 ip--xx-xx-xx.ap-northeast-1.compute.internal amazon-ssm-agent[3615]: ...
Feb 25 03:30:59 ip--xx-xx-xx.ap-northeast-1.compute.internal amazon-ssm-agent[3615]: ...
Feb 25 03:35:57 ip--xx-xx-xx.ap-northeast-1.compute.internal amazon-ssm-agent[3615]: ...
Hint: Some lines were ellipsized, use -l to show in full.

CentOSの場合は、yumでrpmファイルを指定してインストールする。


[centos@ip-xx-xx-xx-xx ~]$ sudo systemctl status amazon-ssm-agent
Unit amazon-ssm-agent.service could not be found.
[centos@ip-xx-xx-xx-xx ~]$ sudo yum install -y https://s3.amazonaws.com/ec2-downloads-windows/SSMAgent/latest/linux_amd64/amazon-ssm-agent.rpm
Loaded plugins: fastestmirror
amazon-ssm-agent.rpm                                     |  31 MB     00:04
Examining /var/tmp/yum-root-tlF3nd/amazon-ssm-agent.rpm: amazon-ssm-agent-2.3.930.0-1.x86_64
Marking /var/tmp/yum-root-tlF3nd/amazon-ssm-agent.rpm to be installed
Resolving Dependencies
--> Running transaction check
---> Package amazon-ssm-agent.x86_64 0:2.3.930.0-1 will be installed
--> Finished Dependency Resolution
Dependencies Resolved
================================================================================
 Package              Arch       Version            Repository             Size
================================================================================
Installing:
 amazon-ssm-agent     x86_64     2.3.930.0-1        /amazon-ssm-agent     119 M
Transaction Summary
================================================================================
Install  1 Package
Total size: 119 M
Installed size: 119 M
Downloading packages:
Running transaction check
Running transaction test
Transaction test succeeded
Running transaction
  Installing : amazon-ssm-agent-2.3.930.0-1.x86_64                          1/1
Created symlink from /etc/systemd/system/multi-user.target.wants/amazon-ssm-agent.service to /etc/systemd/system/amazon-ssm-agent.service.
  Verifying  : amazon-ssm-agent-2.3.930.0-1.x86_64                          1/1
Installed:
  amazon-ssm-agent.x86_64 0:2.3.930.0-1
Complete!
[centos@ip-xx-xx-xx-xx ~]$ sudo systemctl status amazon-ssm-agent
● amazon-ssm-agent.service - amazon-ssm-agent
   Loaded: loaded (/etc/systemd/system/amazon-ssm-agent.service; enabled; vendor preset: disabled)
   Active: active (running) since Fri 2020-03-27 13:10:37 UTC; 4s ago
 Main PID: 8923 (amazon-ssm-agen)
   CGroup: /system.slice/amazon-ssm-agent.service
           mq8923 /usr/bin/amazon-ssm-agent
Mar 27 13:10:39 ip-xx-xx-xx-xx amazon-ssm-agent[8923]: 2020-03-27 13:10:...
Mar 27 13:10:40 ip-xx-xx-xx-xx amazon-ssm-agent[8923]: 2020-03-27 13:10:...
Mar 27 13:10:40 ip-xx-xx-xx-xx amazon-ssm-agent[8923]: 2020-03-27 13:10:...
Mar 27 13:10:40 ip-xx-xx-xx-xx amazon-ssm-agent[8923]: 2020-03-27 13:10:...
Mar 27 13:10:40 ip-xx-xx-xx-xx amazon-ssm-agent[8923]: 2020-03-27 13:10:...
Mar 27 13:10:40 ip-xx-xx-xx-xx amazon-ssm-agent[8923]: 2020-03-27 13:10:...
Mar 27 13:10:40 ip-xx-xx-xx-xx amazon-ssm-agent[8923]: 2020-03-27 13:10:...
Mar 27 13:10:40 ip-xx-xx-xx-xx amazon-ssm-agent[8923]: 2020-03-27 13:10:...
Mar 27 13:10:40 ip-xx-xx-xx-xx amazon-ssm-agent[8923]: 2020-03-27 13:10:...
Mar 27 13:10:41 ip-xx-xx-xx-xx amazon-ssm-agent[8923]: 2020-03-27 13:10:...
Hint: Some lines were ellipsized, use -l to show in full.

CloudWatch Agent のインストール

SSM（Systems Manager）のRun Commandを使用して、CloudWatch Agent をインストールする
AWS-ConfigureAWSPackage
- Action: Install
- Name: AmazonCloudWatchAgent
事前に、EC2のロールにAmazonSSMFullAccessがアタッチされていることを確認する。
CloudWatch Agentがインストールされたことを確認する。また、サービスの自動起動を有効にして、サービスを開始する。


$ yum list installed | grep cloudwatch
amazon-cloudwatch-agent.x86_64          1.208036.0-1                   installed
$ systemctl status amazon-cloudwatch-agent
● amazon-cloudwatch-agent.service - Amazon CloudWatch Agent
   Loaded: loaded (/etc/systemd/system/amazon-cloudwatch-agent.service; disabled; vendor preset: disabled)
   Active: inactive (dead)
$ sudo systemctl enable amazon-cloudwatch-agent
Created symlink from /etc/systemd/system/multi-user.target.wants/amazon-cloudwatch-agent.service to /etc/systemd/system/amazon-cloudwatch-agent.service.
$ sudo systemctl start amazon-cloudwatch-agent
$ systemctl status amazon-cloudwatch-agent
● amazon-cloudwatch-agent.service - Amazon CloudWatch Agent
   Loaded: loaded (/etc/systemd/system/amazon-cloudwatch-agent.service; enabled; vendor preset: disabled)
   Active: active (running) since Mon 2019-02-25 11:18:39 UTC; 2s ago
 Main PID: 10548 (start-amazon-cl)
   CGroup: /system.slice/amazon-cloudwatch-agent.service
           tq10548 /opt/aws/amazon-cloudwatch-agent/bin/start-amazon-cloudwat...
           mq10562 /opt/aws/amazon-cloudwatch-agent/bin/amazon-cloudwatch-age...
Feb 25 11:18:39 ip--xx-xx-xx.ap-northeast-1.compute.internal systemd[1]: Star...
Hint: Some lines were ellipsized, use -l to show in full.

CloudWatch Agent のセットアップ(*)

以下記事を参考に、CloudWatch Agent をセットアップする。

Linux + CloudWatch Agentのメトリクス/ログ管理

はじめに目的 EC2インスタンス上のLinuxサーバーが個々に持つログを収集して、CloudWatch Logsに集約 ...

https://oji-cloud.net/2019/09/13/post-3006/

OSのネットワーク/セキュリティ関連の設定

rootユーザーのsshログインを拒否

Amazon Linux 2 の場合はデフォルトで無効なため、確認のみ。


$ sudo cat /etc/ssh/sshd_config | grep "PermitRootLogin"
PermitRootLogin no
# the setting of "PermitRootLogin without-password".

以下、CentOSの場合に無効に変更する方法。


[centos@ip-xx-xx-xx-xx ~]$ sudo cat /etc/ssh/sshd_config | grep "PermitRootLogin"
#PermitRootLogin yes
# the setting of "PermitRootLogin without-password".
[centos@ip-xx-xx-xx-xx ~]$ sudo cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_20200327
[centos@ip-xx-xx-xx-xx ~]$ sudo vi /etc/ssh/sshd_config
[centos@ip-xx-xx-xx-xx ~]$ sudo diff /etc/ssh/sshd_config_20200327 /etc/ssh/sshd_config
38c38
< #PermitRootLogin yes
---
> PermitRootLogin no
[centos@ip-xx-xx-xx-xx ~]$ sudo systemctl restart sshd

鍵認証からパスワード認証に変更（セキュリティポリシーによる）

プライベートのサブネットに配置したEC2は、鍵認証からパスワード認証に認証方法を変更する場合もある。
認証方法を変更後、パスワードを使用してログインできることを確認する（パスワード認証に変更後、初期ユーザーでのログイン不可を回避するため、必ず初期ユーザーのパスワードを変更後に実施すること）。


$ cd /etc/ssh
$ sudo cp -p  sshd_config sshd_config.org
$ ls -l sshd_config*
-rw------- 1 root root 3905 Mar  7 09:50 sshd_config
-rw------- 1 root root 3905 Mar  7 09:50 sshd_config.org
$ sudo vi sshd_config
※下記に変更↓
PermitRootLogin no
PasswordAuthentication yes
PubkeyAuthentication no
$ systemctl status sshd
● sshd.service - OpenSSH server daemon
   Loaded: loaded (/usr/lib/systemd/system/sshd.service; enabled; vendor preset: enabled)
   Active: active (running) since Thu 2019-03-07 09:50:18 UTC; 25min ago
     Docs: man:sshd(8)
           man:sshd_config(5)
 Main PID: 7947 (sshd)
   CGroup: /system.slice/sshd.service
           mq7947 /usr/sbin/sshd -D
$ sudo systemctl restart sshd

sshの暗号方式からcbcモードを無効化（セキュリティポリシーによる）

EC2がPublic Subnetに配置されている場合、念のためsshの暗号化方式を強化。

Linux sshの暗号方式からcbcモードを無効化

Linuxセキュリティ強化: sshの暗号方式からcbcモードを無効化する前提条件 Linux のセキュリティ強化 ...

https://oji-cloud.net/2019/07/25/post-2520/

ADに登録(*)

システムでADサービスを利用する場合は、Linux をADに登録する。
以下記事を参考に、ADに登録する。

やさしいCent OS をADに登録する方法

Linux OSのAD登録方法前提条件 AWSでは手軽にADサービスを利用することができます。本投稿では、マネ ...

https://oji-cloud.net/2019/06/14/post-2148/

ミドルウェアのインストール(*)

ミドルウェアのインストール

システムの要件に応じて、各種ミドルウェアやツールをインストールする。

AMI を使った横展開

構築後にAMIを取得し、新たなサーバーに横展開 or Auto Scalingによるスケールアウトを実施する。なお、横展開後にサーバーごとに変更が必要と思われる箇所を(*)にて、マークする。参考にして頂きたい。

AmazonLinux_CentOS,EC2,OperatingSystem

Posted by takaaki