CentOS6（RHEL6） 起動するtty（仮想コンソール）を調整する

今回はタイトルの通り、CentOS6（RHEL6）では初期に6つ起動するtty(仮想コンソール）を調整する方法についてです。
※普段Puttyなどでリモートから作業をするなら、コンソールを使って作業する事も稀でしょうから、
　使わないものはメモリの消費を抑える意味でも起動しないように調整しましょう。

ttyの起動数を減らす設定

CentOS6(RHEL6)では、/etc/sysconfig/initファイル内のACTIVE_CONSOLESの箇所を編集します。
※以下では、tty3～tty6までを停止しています。

（変更前)
ACTIVE_CONSOLES=/dev/tty[1-6]

（変更後）
ACTIVE_CONSOLES=/dev/tty[1-2]

設定の適用方法

2パターンあるので、お好きなほうで適用してください。

1.　再起動をする
　これで起動時に/etc/sysconfig/initファイルを読み込んで/dev/tty1と/dev/tty2だけあがっている状態になります。

2.　以下のコマンドを実行する
　※停止する仮想コンソール分、実行します
　※こちらは再起動は必要ありません

# initctl stop tty TTY=/dev/tty3
# initctl stop tty TTY=/dev/tty4
# initctl stop tty TTY=/dev/tty5
# initctl stop tty TTY=/dev/tty6

CentOS5でrsyslog ver7.xを使う

rsyslog ver7.2.3のリリースノートを覗いたらRPMのリポジトリが用意されたようなので、利用してみる。

なお、今回の環境はCentOS5.8で、普通のsyslogが稼動している状態から検証している。

以下、その手順。

リポジトリの作成

ここの記述どおりに、/etc/yum.repos.d/rsyslog.repo　として 作成した。

インストール

[root@cent5 ~]# yum install rsyslog

Loaded plugins: fastestmirror

Loading mirror speeds from cached hostfile

 * base: www.ftp.ne.jp

 * extras: www.ftp.ne.jp

 * updates: www.ftp.ne.jp

Setting up Install Process

Resolving Dependencies

--> Running transaction check

---> Package rsyslog.i386 0:7.2.3-1.el5.centos set to be updated

--> Processing Dependency: libjson.so.0 for package: rsyslog

--> Processing Dependency: libestr.so.0 for package: rsyslog

--> Processing Dependency: libee.so.0 for package: rsyslog

--> Running transaction check

---> Package json-c.noarch 0:0.9-4.el5.centos set to be updated

---> Package libee.i386 0:0.4.1-1.el5.centos set to be updated

---> Package libestr.i386 0:0.1.3-1.el5.centos set to be updated

--> Finished Dependency Resolution

Dependencies Resolved

========================================================================

 Package           Arch             Version                         Repository            Size

========================================================================

Installing:

 rsyslog           i386             7.2.3-1.el5.centos              rsyslog_v7           885 k

     replacing  sysklogd.i386 1.4.1-46.el5

Installing for dependencies:

 json-c            noarch           0.9-4.el5.centos                rsyslog_v7            37 k

 libee             i386             0.4.1-1.el5.centos              rsyslog_v7            22 k

 libestr           i386             0.1.3-1.el5.centos              rsyslog_v7           7.9 k

Transaction Summary

========================================================================

Install       4 Package(s)

Upgrade       0 Package(s)

Total size: 952 k

Total download size: 922 k

Is this ok [y/N]: y

Downloading Packages:

(1/2): json-c-0.9-4.el5.centos.noarch.rpm                               |  37 kB     00:00

(2/2): rsyslog-7.2.3-1.el5.centos.i386.rpm                              | 885 kB     00:02

-------------------------------------------------------------------------

Total                                                          181 kB/s | 922 kB     00:05

Running rpm_check_debug

Running Transaction Test

Finished Transaction Test

Transaction Test Succeeded

Running Transaction

  Installing     : libestr                                                                 1/5

  Installing     : libee                                                                   2/5

  Installing     : json-c                                                                  3/5

  Installing     : rsyslog                                                                 4/5

  Erasing        : sysklogd                                                                5/5

Installed:

  rsyslog.i386 0:7.2.3-1.el5.centos

Dependency Installed:

  json-c.noarch 0:0.9-4.el5.centos                libee.i386 0:0.4.1-1.el5.centos

  libestr.i386 0:0.1.3-1.el5.centos

Replaced:

  sysklogd.i386 0:1.4.1-46.el5

Complete!

[root@cent5 ~]#

起動

後は起動するだけだが、”-c”オプションがobsoleteになっている（man rsyslogdで確認を）ようで、単純に起動すると以下のようにerrorがでる。

[root@cent5 ~]# /etc/rc.d/init.d/rsyslog start

Starting system logger: rsyslogd: error: option -c is no longer supported - ignored

                                                           [  OK  ]

[root@cent5 ~]#

なので、/etc/sysconfig/rsyslogの記述を以下のように修正し、rsyslogを再起動する。

SYSLOGD_OPTIONS=""

（備考）

なお、/etc/rsyslog.confは特にいじらなくても普通に起動できるが、v6 formatというのもあるらしい。

こちらはおいおい・・・

yumでセキュリティパッチだけを適用する

Red Hatが提供するアップデートには以下のものがある。

 ・セキュリティに関する修正　　    RHSA(Red Hat Security Advisory)
 ・バグに関する修正　　　　　　     RHBA(Red Hat Bug Fix Advisory)
 ・機能強化や追加に関する修正 RHEA(Red Hat Enhancement Advisory)

通常yum update をするとこれら全ての修正がアップデート対象になりますが、"--security"という
オプションを付与するとRHSAに関する修正だけをアップデート対象にする事ができます。

このオプションを使うと、例えばハードウェアベンダーのサポートがRHEL5.7でないと
受けれない場合、（表現の仕方が正しいかは微妙ですが）RHEL5.7をHOLDしたまま
アップデート・パッケージを適用するといった運用ができるようになっています。
＃RHELでは5.1以降で利用可能
＃CentOS5 or 6でも、yum-securityパッケージを導入することにより利用可能

[root@cent5 ~]# yum info yum-security
Loaded plugins: fastestmirror
Loading mirror speeds from cached hostfile
 * base: rsync.atworks.co.jp
 * extras: rsync.atworks.co.jp
 * updates: ftp.iij.ad.jp
Available Packages
Name       : yum-security
Arch       : noarch
Version    : 1.1.16
Release    : 21.el5.centos
Size       : 27 k
Repo       : base
Summary    : Yum plugin to enable security filters
URL        : http://linux.duke.edu/yum/download/yum-utils/
License    : GPLv2+
Description: This plugin adds the options --security, --cve, --bz and --advisory flags
           : to yum and the list-security and info-security commands.
           : The options make it possible to limit list/upgrade of packages to specific
           : security relevant ones. The commands give you the security information.
[root@cent5 ~]#

CentOSの場合、man 8 yum-securityで詳細を確認してください。

一般ユーザでログを参照する

rootじゃなくても（sudoを実行しなくても）ログを参照したいが、
特定のユーザに限定したい時は以下のようにする。

1．まず、ログを参照するユーザだけが所属するグループを作成
　
　[root@cent6 ~]# groupadd logadmin

2．そのグループにユーザを追加

　[root@cent6  ~]# usermod -a -G logadmin user1

3．ログのアクセス権を修正

  [root@cent6 ~]# chmod g+r /var/log/maillog
  [root@cent6 ~]# chgrp logadmin /var/log/maillog


これでlogadminグループに所属するuser1ユーザは、rootにならずとも/var/log/maillogが参照できるようになる。

なお、ログローテーションが実施された時に都度アクセス権を修正するのではなく、自動的に修正された状態にするには、/etc/logrotate.confの記述を以下のように修正する。

（修正前）
create

（修正後）
create 640 root logadmin

logrotate （ログのローテーション）

CentOS6（RHEL6）になって、ログローテーションまわりも変わっている事に気づいた。
今までローテーションされたファイルはsecure.1やsecure2のようになり、タイムスタンプを見ないと、いつローテーションされたのかすぐにわからなかったが、今度は日付がつくようになっている。


[root@cent6 ~]# ll /var/log/secure* /var/log/messages*
-rw-r----- 1 root logadmin     0 Jul 22 04:02 /var/log/messages
-rw-r----- 1 root logadmin  3246 Jul  8 04:02 /var/log/messages-20120708
-rw-r----- 1 root logadmin 38684 Jul 15 04:02 /var/log/messages-20120715
-rw-r----- 1 root logadmin  7275 Jul 22 04:02 /var/log/messages-20120722
-rw-r----- 1 root logadmin   687 Jul 22 16:15 /var/log/secure
-rw-r----- 1 root logadmin 10624 Jul  7 17:07 /var/log/secure-20120708
-rw-r----- 1 root logadmin  8140 Jul 15 00:47 /var/log/secure-20120715
-rw-r----- 1 root logadmin  6437 Jul 20 10:08 /var/log/secure-20120722
[root@cent6 ~]#

で、/etc/logrotate.confを確認したところ”dateext”というパラメータが指定されているせいですね。

※CentOS5でも”man 8 logrotate”で確認しましたが、知らなかっただけで、ちゃんと存在していました・・・

CentOS6系で変更されたnss_ldapまわり

CentOS6（RHEL6）になって、libnss_ldap.soを含むnss_ldapパッケージがnss-pam-ldapdというパッケージに変更された。そのnss-pam-ldapdパッケージには、nslcdというデーモンが含まれるようになった。
→　「# Description: Provides naming services using a directory server.　」とある
→　設定ファイルは、/etc/nslcd.conf

変更されて良くなった点は、（個人的には）以下の通り。
・LDAPでユーザ管理をしている状態で、LDAPサーバが停止してしまった場合にローカルアカウントでもログインできなくなる症状が改善されている
→　以前は、/etc/pam.d/system-authに"authinfo_unavail=ignore"を追加したり、
/etc/ldap.confに"bind_policy soft"を指定していた

→　今度はLDAPサーバが停止していても、デフォルト設定で約10秒ほど待つと普通にログインできるようになった
（さらに、一度、LDAPサーバにはつなげないと判断すると、次回からは待ち時間なしで接続可）
→"bind_policy soft"のように動作させるには、"reconnect_retrytime 0"とすれば良い