手順 10: その他の設定を適用する

FIPS 140-2 を有効化する

このセクションでは、お使いのマシンで FIPS 140-2 を有効化する方法について説明します。

Red Hat Linux ベースの仮想マシンで FIPS を有効化できます。このためには、以下の手順に従います。

1. インストールを開始する前に、すべてのマシンで次のコマンドを実行して FIPS を有効化します。

   fips-mode-setup --enable

2. マシンを再起動し、次のコマンドを実行して FIPS が正常に有効化されたかどうかを確認します。

   fips-mode-setup --check

重要: Insights は、FIPS 140-2 が有効化されたマシンでは現在サポートされていません。FIPS 140-2 が有効化されたマシンに Automation Suite をインストールする場合は、必ず Insights を無効化してください。

FIPS 140-2 マシンで Automation Suite の使用を開始するために必要な追加手順の詳細については、「セキュリティのベスト プラクティス」をご覧ください。

任意: プロキシ サーバーを構成する

プロキシを構成するには、前提条件を満たす環境の設定、およびインストール時の高度な構成段階において、追加の構成手順を実行する必要があります。

環境設定時には、次の手順が必要になります。

注: 現在、自己署名証明書による HTTPS プロキシはサポートしていません。プロキシを構成する場合は、必ず信頼された公開証明書を使用してください。

手順 1: 仮想ネットワーク上のポートを有効化する

指定の仮想ネットワークのネットワーク セキュリティ グループで、次のルールを有効化してください。

ソース	ターゲット	プロキシ経由のルート	ポート	説明
仮想ネットワーク	SQL	いいえ	SQL Server ポート	SQL Server に必要です。
仮想ネットワーク	ロード バランサー	いいえ	9345 6443	クラスターに新しいノードを追加するために必要です。
仮想ネットワーク	クラスター (サブネット)	いいえ	すべてのポート	プライベート IP 範囲での通信に必要です。
仮想ネットワーク	alm.<fqdn>	いいえ	443	ログインおよびデプロイ時に ArgoCD クライアントを使用するために必要です。
仮想ネットワーク	プロキシ サーバー	はい	すべてのポート	トラフィックをプロキシ サーバーにルーティングするために必要です。
仮想ネットワーク	NameServer	いいえ	すべてのポート	Azure や AWS など、ほとんどのクラウド サービスでは、これを使用して仮想マシンのメタデータを取得し、これをプライベート IP と見なします。
仮想ネットワーク	MetaDataServer	いいえ	すべてのポート	Azure や AWS など、ほとんどのクラウド サービスでは、IP アドレス 169.254.169.254 を使用してマシンのメタデータを取得します。

手順 2: 各ノードにプロキシ構成を追加する

ノードの構成時に、クラスターに含まれる各ノードに対してプロキシ構成を追加する必要があります。この手順は、ノードからのアウトバウンド トラフィックをプロキシ サーバー経由でルーティングするために必要です。

1. /etc/environment に、次の構成を追加します。

   http_proxy=http://<PROXY-SERVER-IP>:<PROXY-PORT>
   https_proxy=http://<PROXY-SERVER-IP>:<PROXY-PORT>
   no_proxy=alm.<fqdn>,<fixed_rke2_address>,<named server address>,<metadata server address>,<private_subnet_ip>,localhost,<Comma separated list of ips that should not got though proxy server>

2. /etc/wgetrc に、次の構成を追加します。

   http_proxy=http://<PROXY-SERVER-IP>:<PROXY-PORT>
   https_proxy=http://<PROXY-SERVER-IP>:<PROXY-PORT>
   no_proxy=alm.<fqdn>,<fixed_rke2_address>,<named server address>,<metadata server address>,<private_subnet_ip>,localhost,<Comma separated list of ips that should not got though proxy server>

   必須パラメーター	説明
   http_proxy	ノードからの HTTP アウトバウンド要求をルーティングするために使用します。これはプロキシ サーバーの FQDN とポートとする必要があります。
   https_proxy	ノードからの HTTPS アウトバウンド要求をルーティングするために使用します。これはプロキシ サーバーの FQDN とポートとする必要があります。
   no_proxy	プロキシ サーバー経由でルーティングしない、ホスト、IP アドレスのコンマ区切りリストです。プライベート サブネット、SQL Server ホスト、名前付きサーバー アドレス、メタデータ サーバー アドレスを指定する必要があります (alm.<fqdn>,<fixed_rke2_address>,<named server address>,<metadata server address>)。 metadata server address – Azure や AWS など、ほとんどのクラウド サービスでは、IP アドレス 169.254.169.254 を使用してマシンのメタデータを取得します。 named server address – Azure や AWS など、ほとんどのクラウド サービスでは、これを使用して DNS クエリを解決します。 重要: AI Center を外部 Orchestrator で使用する場合は、外部 Orchestrator ドメインを no_proxy リストに追加する必要があります。

3. 次のコマンドを実行して、プロキシ設定が適切に構成されていることを検証します。

   curl -v $HTTP_PROXY
   curl -v <fixed_rke_address>:9345

   重要: プロキシ サーバーの要件が満たされたら、インストール時のプロキシ構成を進めるようにしてください。「任意: プロキシ サーバーを構成する」の手順に従い、プロキシ サーバーを適切に設定してください。