Machine)を1つ用意しています。演習用VMの仕様は下記の通りです。4GB受講生ごとに割り当てる演習用VMは、下記の通りです。*lsofコマンド上記の追加パッケージは、以下のコマンドでインストールしました。nmap起動サービスについてCentOS7の初期インストール後に、下記のコマンドを実行して、httpd(apache)、smtp(postfix)、pop3&imap(dovecot)、named(bind)、xinetdサービスを有効化し、OS起動時に自動起動するようにしています。xinetd.service管理者アカウント"root"について演習用VMには管理者アカウント"root"があります。"root"アカウントのパスワードは、講義中に示します。"root"アカウントのパスワードは、下記のコマンドを実行して、速やかに変更して下さい。passwd変更するパスワードは、半角の英文字(大文字)・英文字(小文字)・英数字・記号が全て含まれた8文字以上の文字列にして下さい。5SPsh0s&)講師用アカウント"auser"について演習用VMには講師用アカウント"auser"があります。"auser"アカウントのパスワードは非公開です。勝手にパスワードを変更しないこと。"auser"アカウントは、講師(長田)が各自の演習用VMにアクセスするためのユーザーです。ユーザーの作成について下記のコマンドを実行して、ユーザーを作成して下さい。作成するユーザーのユーザー名(ユーザーID)は、各自の学科システムアカウントと同じものとします。e165700次に、下記のコマンドを実行して、作成したユーザーのパスワードを設定して下さい。e165700CentOS7のアップデートについてCentOS7の初期インストール後に、下記のコマンドを実行してアップデートしています。update講義開始時点で最新アップデートがリリースされている可能性があるため、"root"アカウントでログイン後に、上記のコマンドを実行してアップデートして下さい。その他CentOS7にデフォルトで設定されているyumリポジトリ以外に、"EPEL"リポジトリを追加しています。ここまでの作業を全て行ったら、下記のコマンドを実行してOSを再起動して下さい。†OSが起動して"root"アカウントでログインしたら、下記のコマンドを実行して、現在オープンしているポートを確認します。(ポート番号からサービス名の変換を行わない)実行結果は下記の通りとなり、"pop3(tcp:110)","imap(tcp:143)","domain(tcp&udp:53)","ssh(tcp:22)","rndc(tcp&udp:953)","smtp(tcp:25)","imaps(tcp:993)","pop3s(tcp995)",その他いくつかのudpポートがオープンしていることが分かります。TCP/IPv6の両方のポートがオープンしていることが分かります。[::]:*ここで、上記のオープンしているポートが、どのプログラムから使用されているかを調べます。pop3(tcp:110)を使用しているプログラムを調べる場合は、下記のコマンドを実行します。-i:110実行結果は下記の通りとなり、dovecotプロセスがポート(tcp:110)を使用していることが分かります。(LISTEN)ここで、オープンしているポート(サービス)が、必要であるかどうかを検討します。不要なポート(サービス)がオープンしているのであれば、そのポートはクローズする必要があります。ポートをクローズする方法は、下記の2つがあります。ポートを使用しているプロセスを停止する。ファイアウォールを設定して、そのポートにアクセスできなくする。前者の方法は、下記のコマンドを実行してプロセスを停止するとともに、OS起動時に自動起動しないようにします。dovecot.serviceただし、上記の方法では、dovecotプロセスが提供しているpop3以外のサービス(pop3s,imap,imaps)も停止してしまいます。次に、後者の方法は、CentOS7のファイアウォール機能を利用します。下記のコマンドを実行して、ファイアウォール機能が有効な状態であるか確認します。firewalld下記の結果が返ってくれば、ファイアウォール機能は有効です。(running)下記のコマンドを実行して、ファイアウォールの設定が適用されるゾーンを確認します。eth0上記の結果より、"public"ゾーンが定義されており、"public"ゾーンの対象インタフェースは"eth0"であることが分かります。下記のコマンドを実行して、"pubclic"ゾーンに定義されているサービスを確認します。imap上記の結果より、表示された各サービスが公開されている(外部からアクセス可能)ことが分かります。ここで、下記のコマンドを実行して、外部からのpop3サービスアクセスを拒否してみます。--zone=public下記のコマンドを実行して、設定を有効化します。--reload再び下記のコマンドを実行して、表示結果から"pop3"がなくなっていればok。imap上記で設定したファイアウォール設定をOS再起動後も有効にしたい場合は、下記の通り、firewall-cmdに--permanentオプションをつけてを実行します。--zone=publicさらに、特定のソースアドレスからのアクセスを拒否するには、下記の通りコマンドを実行します。--add-source=192.168.0.0/24この他に、ファイアウォール機能を利用することで、ゾーンごとに特定のソースアドレスから、特定のサービスへのアクセスを制限するなど、様々なアクセス制限を行うことができます。†Linuxでは、一般ユーザーが管理者(root)権限でコマンド実行を行えるようにするための"sudo"コマンドがあります。通常のOSのオペレーションでは、一般ユーザーでログインし、管理者権限でコマンドを実行する必要があるときのみ、必要に応じてsudoコマンドでコマンド実行します。rootユーザーしか開けないファイルを一般ユーザーが開くには、下記の通り、実行したいコマンドの前にsudoコマンドを付けて実行します。hogehoge.txtsudoコマンドを実行できる一般ユーザーは、/etc/sudoersで設定する必要があります。"e165700"ユーザーに、管理者(root)権限で全てのコマンドを実行できるようにするには、/etc/sudoersに次の設定を加えます。ALLこの他に、/etc/sudoersの設定によって、特定のユーザーが管理者権限で実行を許可するコマンドを指定(限定)したり、グループ単位で制限をすることができます。SHell)は、Linuxにシェルログインするための仕組みで、sshサーバーとsshクライアントで構成されます。CentOS7では初期インストール後は、SSHサーバーが自動起動するようになっており、外部からsshアクセスできるようになっています。SSHサーバーのデフォルト設定では、下記のようなセキュリティ上好ましくない設定があります。rootユーザーでアクセスができる。パスワード無しユーザーがアクセスできる。鍵認証のみでアクセスできるようになっていない(パスワード認証ができる)。(※)アクセスできるユーザーが制限されていない。下記の通り修正することで、上記の問題を解決できます。(アクセスを許可するユーザーID)ここで、iiiについて、鍵認証は、公開鍵暗号方式で行う認証のことです。公開鍵暗号方式での認証を行うには、秘密鍵と公開鍵の2種類のペア鍵が必要です。(ペア鍵の作成方法は、講義中に実演しながら説明します)鍵ペアの作成方法には、下記の2つのパターンがあります。(※)サーバー側及びクライアント側の両方で鍵ペアを作成し、サーバー側にクライアントの公開鍵を登録するケースこれで、クライアントからサーバーに、鍵認証でsshアクセスできるようになります。講義時間によって取り扱いを判断します。講義時間によって取り扱いを判断します。講義時間によって取り扱いを判断します。講義時間によって取り扱いを判断します。講義時間によって取り扱いを判断します。講義時間によって取り扱いを判断します。