RHEL 9 / Rocky 9 パラメータシート
説明
エンタープライズLinuxの主流。RHEL と Rocky / AlmaLinux は同じ系統なので1本にまとめ、違う箇所（サブスクリプション）だけを分けて書いています。★核は2枚です。（1）SELinux設計 … 「動かない」の原因がSELinuxであることは多いのに、エラーメッセージがSELinuxを指しません。そのため無効化して回避されがちですが、無効から有効へ戻すには全体の再ラベル付けが必要になり、実質戻せなくなります。ラベル・ブール・ポートの3つで大半が解けることを表にしました。（2）firewalld ゾーン設計 … どのゾーンにも明示的に割り当てていないインターフェースは既定ゾーンに入り、送信元による割り当てはインターフェースによる割り当てより優先されます。--permanent の付け忘れ（消える）と --reload の忘れ（効かない）が両方向で起きます。★既定値は版とインストール時の選択で変わるため、確証のあるものだけを記載し、それ以外は「要確認」と明記しています。
使い方
★SELinux を無効化しないでください。切り分けは ausearch -m avc で拒否を読むところから始めます。ブール → ファイルコンテキスト → ポートラベルの順で確認すれば大半が解けます。★ブールは setsebool -P で永続化してください。-P を付け忘れると再起動で戻り、「しばらくは動いていたのに」という形で再発します。★ファイルを mv で置いた場合はラベルが元のままです。restorecon -Rv で貼り直してください。★firewalld の投入は「--permanent で入れる → --reload → --list-all で確認」を1組にしてください。★許可はゾーン単位で決まります。1つのゾーンに複数の送信元を割り当てると、その許可はすべての送信元に効きます。送信元ごとに許可を変えたい場合は --new-zone でゾーンを分けてください。★非標準ポートは firewalld と SELinux の両方に設定が必要です。片方だけでは通りません。★fstab を変更したら、再起動する前に systemctl daemon-reload と mount -a でエラーが無いことを確認してください。★sshd の設定を変えたら sshd -t で構文を確認し、現在のセッションを開いたまま別セッションで接続を試してください。パスワード・秘密鍵・DBの資格情報は書かず「別紙参照」としてください。
収録内容
全9シート。各シートに書いてあることは次のとおりです（ファイルの「目次」シートより）。
- 前提共通設計
- 版・購読・命名・NW・時刻・ログ・サービス管理・管理アクセス・保全
設定項目（44件）
ディストリビューション・マイナー版・カーネル・サブスクリプション・リポジトリ・モジュールストリーム・版の固定・ホスト名・設定の持ち方・アドレスの設定・DNSサーバー・ゾーンの割り当て・IPv6・時刻同期・タイムゾーン・同期の確認・journalの永続化・journalの上限・転送・ログの回転・有効化と起動・起動順の依存・失敗の確認・ユニットの検証・チューニングプロファイル・クラッシュダンプ・rootでのログイン・パスワード認証・作業用アカウント・sudo・秘密鍵・パスワード・sshの接続元・設定変更の手順・暗号ポリシー・SELinux・firewalld・パーティション・LVM・fstabの書き方・業務外のマウント・fstab変更後・バックアップ・設定のバックアップ・変更の記録
- 設定値サーバー別
- サーバーごとの記入欄。NW・役割・SELinux・ディスク・運用
設定項目（22件）
ホスト名・用途・配置・OS・版・IPアドレス・既定ゲートウェイ・DNSサーバー・割り当てるゾーン・主なパッケージ・自動起動・使用ポート・同居させない役割・モード・個別の設定・構成・データ領域・空き容量・更新の方針・再起動の必要性・監視エージェント・メンテナンス枠・再起動試験
- 設計SELinux設計
- ★無効化せずに運用する。ラベル・ブール・ポートの3つで解く
- 設計firewalld設計
- ★ゾーンの割り当て。送信元の指定はインターフェースより優先
- 確認確認コマンド集
- 設定が入っているかの確認方法と期待される結果
- 注意構築時の注意
- このOSで実際に起きる失敗と、その回避手順
この型で検査する
記入済みのファイルをアップロードすると、この型の必須項目（パラメータシートの組込みルール）を満たしているか検査します。ファイルは保存されません。
関連するテンプレート
同じフェーズ（設計）や業界でよく使われている型です。
基本設計書（方式と方針の型）
「基本設計＝方式と方針、詳細設計＝具体的な値」の線引きを章構成で体現。設定値はパラメータシートに書き、本書には書かないことで二重管理を防ぎます。
IPアドレス管理表
セグメントの全アドレスを行に展開する台帳。「空き」が行として見えることで、重複払い出しを防ぎます。★セグメントごとの使用率を数式で出します（80%超で橙、90%超で赤）——IPは足りなくなってから増やせず、/24 を /23 へ広げるにはそのセグメントの全機器のアドレスを変えることになるためです。★ホスト名の重複を自動で検出し、使用中なのに用途・ホスト名が空の行、最終更新から1年以上動いていない行も色で出します。.0（ネットワークアドレス）と .255（ブロードキャスト）も「禁止」の行として残し、なぜ払い出せないかが見えるようにしました。★v3 では「実体（実機／仮想IP／機器のIF）」の列を追加しました。VIP・フローティングIP・ゲートウェイのSVIは★機器一覧に出てこないのにアドレスを消費するので、台帳に載せ忘れると後から同じIPを別の機器へ払い出して本番で衝突します。実機なのに機器IDが空の行は赤、仮想IPは薄紫で区別し、セグメント一覧に「うち仮想IP」の件数も出します（記入例はサーバー10台に対して使用中が14個になります）。払い出し記録シートつき。
構成図テンプレート（作図ルール＋部品集）
雛形・記法ルール・アイコン部品集のセット。新設＝赤枠／撤去＝グレーアウトなど更改案件の描き分けを標準化します。Visio不要、PPT標準図形のみ。
通信要件一覧（FWルール表）
ゾーン定義とゾーン間ポリシーを先に決め、個別ルールをその例外として書くFWルール表。送信元・宛先・サービスが any の行と、有効期限が過ぎた行には自動で色が付きます。★ゾーン間ポリシーに「≠（この区間はFWを通らない）」の記号を持たせてあります。VLAN間ルーティングをコアスイッチで行う構成では社内セグメント同士の通信がFWまで上がってこないため、ここを「×」と書くと止まっているつもりで素通りします。効かないルールの例と、棚卸しでヒット0からそれを見つける流れまで記入例に入れてあります。AD認証の内訳やIPsec・vSphereなど、毎回調べ直しているポート番号を約60件収録済み。FW機種を問わず使えます。