Linux システム管理: システム管理者のための完全ガイド

Informatec Digital »リソース» Linuxシステム管理：システム管理者のための完全ガイド

Linuxシステムの管理は、現代のあらゆるIT部門において重要な業務となっています。小規模なVPSサーバーであれ、数百台のマシンを擁する大規模なデータセンターであれ、システムの安定性、セキュリティ、パフォーマンスを確保する担当者が必ず舞台裏で働いています。

ターミナルを日常的に使用している方、あるいはサーバーの操作を始めたばかりの方にとって、このガイドは完全なロードマップとなるでしょう。ユーザーとグループの管理、ネットワーク構成、サービスから、監視、RHELのWebコンソール、そして本格的なLinuxシステム管理者として働くために習得すべき概念まで、すべてを網羅しています。さらに多くのコマンドが必要な場合は、ターミナルを使いこなすためのヒントとショートカットをご覧ください。

Linux とは何ですか? Linux の管理には何が必要ですか?

Linuxは、1991年にリーナス・トーバルズによってカーネルが開発されたオープンソースのオペレーティングシステムです。現在では、ウェブサーバー、スーパーコンピューター、ルーター、Androidスマートフォン、クラウドコンテナなど、あらゆる場面で利用されています。企業環境におけるLinuxの人気は、その安定性、セキュリティ、柔軟性に由来しており、重要なインフラストラクチャの基盤として広く採用されています。

Linuxの管理とは、システムが継続的、迅速、かつ安全に動作するために必要なすべての作業を指します。これには、ディスクやファイルシステムの初期インストールとパーティション分割から、サービスの構成、セキュリティの強化、リソースの監視、そして必然的に発生する問題の解決まで、あらゆるものが含まれます。

Linuxシステム管理者は、サーバーの可用性、バックアップ機能の確保、スムーズなユーザーエクスペリエンスの提供、そして個別の障害が広範囲にわたるシステム停止に発展するのを防ぐ責任を負います。Linuxを専門とするホスティング会社では、これらの専門家がインフラストラクチャの構築、ネットワークの設定、ハードウェアの管理、そして単純なWebサービスの問題から複雑な仮想化移行まで、幅広い問題の解決を行います。

Linux管理者の主な機能

Linuxシステム管理者の通常の業務は非常に多岐にわたるが、基本的にはいくつかの基本的な責任を中心に展開され、それらは最初から明確にしておくべきである。

• システムのインストールと構成: ディストリビューションの選択 (Ubuntu、Debian、RHEL、CentOS Stream、Rocky など) — セキュリティを保護するためのレイアウトの改善パーティショニング、パッケージのインストール、systemd の構成、および基本サービス。
• ユーザーと権限の管理アカウントの作成と削除、グループの割り当て、ファイルの権限制御、強力なパスワードの使用、大規模環境では LDAP や IdM などのディレクトリ サービスとの統合。
• サービスとデーモンの管理ウェブサーバー、データベース、DNS、電子メール、ファイルサービスなどのサービスを開始、停止、再起動、監視するには、次のようなツールを使用します。 systemctl.
• システムセキュリティファイアウォールの構成、パッチ管理、SELinux または AppArmor の使用、セキュリティ監査、強化のベスト プラクティスの適用。
• 監視とパフォーマンス: CPU、RAM、ディスク、ネットワークの使用状況を監視し、ボトルネックを検出し、プロセスを監視し、リソース拡張を計画します。
• バックアップとリカバリバックアップ ポリシーの設計、暗号化されたコピー ツールの使用、復元テスト、およびこれらのタスクの自動化。
• 自動化とスクリプト: シェルスクリプトの作成とスケジュールされたタスクの使用 cron またはオーケストレーション ツールを使用して手作業とエラーを削減します。
• リモート管理: SSH、Cockpit などの Web コンソール、および多くの場合クラウドに統合されているその他の集中管理ソリューションを介してサーバーにアクセスします。

Linuxでのユーザーとグループの管理

Linuxはマルチユーザーシステムであり、各アカウントには明確な役割が割り当てられています。システム管理の基本は、管理者ユーザーとその他の一般アカウントの違い、グループの役割、および関連する設定ファイルを理解することです。

どのLinuxシステムにも、特権アカウントと呼ばれるものがあります。 ルートスーパーユーザー アカウントには、カーネル構成の変更、システム ファイルの削除、ユーザーの作成または削除、サービスの管理など、あらゆる変更を行う権限があります。この無制限の権限があるため、このアカウントは絶対に必要な場合にのみ使用し、残りの時間は通常のユーザー アカウントで作業することをお勧めします。 sudo 特定のタスク用。

標準ユーザーアカウントとは、 エンドユーザーが使用する またはシステムサービスが機能するために必要です。これらのアカウントはデフォルトでは管理者権限を持たないため、グローバル設定を変更したり、システムを簡単に侵害したりすることはできません。制御された権限を付与するために、承認されたユーザーのリストが使用されます。 /etc/sudoers またはインクルードされたファイルで、ルート パスワードを複数の人と共有する必要がないようにすることで、重大なリスクを回避します。

Linuxのグループは、ユーザーをグループ化し、ファイル、ディレクトリ、リソースへのアクセス許可の割り当てを簡素化するために使用されます。各ユーザーはプライマリグループを持ち、1つ以上のセカンダリグループまたは補助グループに所属できます。通常、プライマリグループはユーザーと同じ名前で作成され、デフォルトでそのユーザーが作成するファイルに関連付けられます。

プライマリグループは、ユーザーが作成したファイルがデフォルトでどのグループに割り当てられるかを決定しますが、セカンダリグループは 追加の許可を与える 共有ディレクトリへのアクセス、特定のサービスの実行、デバイスの使用など、さまざまな機能を実行することができます。システムには、特定の機能（例えば sudo, adm, www-dataなどがあり、それらをどのように組み合わせるかは管理者が決定します。

ユーザーとグループの基本ファイルとコマンド

主なアカウントとグループの情報はプレーンテキストファイルに保存され、システムはそれを継続的に参照します。 /etc/passwd ユーザー、そのUID、プライマリGID、ホームディレクトリ、および起動シェルを定義します。 /etc/group グループ、そのGID、およびメンバーリストを収集します。パスワードのセキュリティを強化するために、このファイルが使用されます。 /etc/shadowハッシュと有効期限データを保存する、ルートのみがアクセス可能なディレクトリです。

アカウントやグループを管理するには、すべての管理者が習得しておくべき特定のツールがあります。基本的なタスクで最もよく使われるコマンドは次のとおりです。

コマンド	主な機能
useradd	新しいアカウントを作成する システム内のユーザーの UID、ホーム ディレクトリ、および関連付けられているシェル。
userdel	ユーザーを削除する オプションで、ホーム ディレクトリと関連ファイルも追加します。
passwd	パスワードを設定または変更する 既存のユーザーのアカウントを作成し、有効期限を管理します。
groupadd	新しいグループを作成する グループ識別子 (GID) を割り当てます。
groupdel	グループを削除する 必要がなくなったとき、または空になったとき。
whoami	現在のユーザーを表示 ターミナルにログインした時のIDです。

より高度な構成は、これらの基盤の上に構築されます。 LDAP または IdM ディレクトリ サービス 次のようなモジュールを通じてユーザーとグループの認証を一元管理する nsswitch および PAM を使用することで、同じ資格情報セットが組織内の複数の Linux サーバーで機能します。

Linuxでのネットワーク構成と接続

Linuxの利点の1つは、ターミナルから簡単にネットワークを設定できることです。現在の設定を確認したり、IPアドレス、マスク、ゲートウェイを変更したり、接続の問題を診断したりすることが、いくつかのコマンドで可能です。

TCP/IPネットワークがどのように構成されているかを確認するには、 クラシックツール として ifconfig （まだ利用可能なシステムの場合）または、より現代的なコマンドとして、 ip addr出力には、インターフェース、関連付けられたIPアドレス（フィールド INET）、ネットワーク マスク、場合によってはブロードキャスト、インターフェイス状態などのパラメータも含まれます。

ifconfig eth0 192.168.1.100 netmask 255.255.255.0 broadcast 192.168.1.255

この例では、 eth0 ネットワークインターフェースです 行動の基準となるのは、IPアドレス、/24サブネットマスク、ブロードキャストアドレスです。新しいシステムでは、 ip このタスクについては、概念は同じです。対応するインターフェースにアドレスを静的に割り当てます。

別のマシンへの接続を確認するには、 Linux では ping コマンドを使用するのが基本的な方法です。ping は宛先に ICMP パケットを送信し、応答時間を表示します。典型的な例は次のとおりです。

ping 127.0.0.1

結果は、応答の有無、パケットサイズ、および遅延時間を示します。TTL （Time To Live）フィールドはパケットの最大有効期間を表します。TTLの値が小さいほど、パケットが経由したホップ数が多いことを意味します。現代のシステムでは、64や128といった典型的な初期値がよく用いられます。

接続とポートを分析するには、次のようなツールがあります。 netstat （ますます ss）、これにより アクティブな接続、統計、ルートを表示する ネットワークの。管理者は、さまざまなオプションを使用して、リスニングポート、確立された接続、インターフェースごとのトラフィック、ルーティングテーブルなどを表示できます。

netstatオプション	説明
netstat -a	すべての接続とポートが表示されます。アクティブかスタンバイかを示します。
netstat -e	統計を教える インターフェースの受信パケットと送信パケットの。
netstat -f	完全修飾ドメイン名を表示します IP アドレスだけではなく。
netstat -n	数値アドレスとポートを表示します名前を解決せずに。
netstat -o	プロセス識別子を含める 各接続に関連付けられます。
netstat -p X	プロトコルでフィルタリング 特定のプロトコル（TCP、UDP、tcpv6、tcpv4 など）。
netstat -q	リスニングポートと非リスニングポートのリスト システムにリンクされています。
netstat -s	プロトコル別に統計をグループ化 より詳細な分析のために。
netstat -r	ルーティングテーブルを表示します 現在のシステム。
netstat -t	TCP接続をフィルタリングするダウンロードやアクティブなセッションを確認するのに役立ちます。
netstat -x	NetworkDirect 接続に関する情報を提供します。、それらを使用する環境で。

より広範なネットワーク管理の枠組みの中で、Linux管理者は、サブネット、ネットワークマスク、ルーティング、名前解決といった概念を理解するとともに、インフラストラクチャの一部であるDNS、DHCP、プロキシサーバーなどのサービスを管理する必要があります。

リソースとプロセスの監視

サーバーの動作が遅くなったり、異常な動作をしたりした場合、まず最初に必要なのは、何が起こっているのかを把握することです。Linuxには、CPU、メモリ、ディスク、ネットワークの使用状況をリアルタイムで監視し、どのプロセスが最も多くのリソースを消費しているかを特定するためのユーティリティが用意されています。

古典的なツールとしては、 top およびその強化された代替案 htop 表示する システムの動的ビュー: 平均負荷、合計メモリと空きメモリ、スワップ使用量、CPU または RAM の消費量順に並べられたプロセスのリストなど。これらのインターフェースから、プロセスに信号を送信したり (たとえば、ハングしたプロセスを終了する)、プロセスの優先順位を変更したりできます。

さらに包括的なビューを得るには、Glancesのようなユーティリティを使用すると、 CPU、メモリ、ディスク、ネットワーク、プロセス、サービスの状態を1つの画面に表示でき、Webインターフェースを介して複数のサーバーをリモートで監視することもできます。インストールは次のようなパッケージで簡単に行えます。

sudo apt install glances

より専門的なアプローチが必要な場合は、次のようなツールが役立ちます。 ps、これにより、 アクティブなプロセスを一覧表示する 詳細情報（PID、ユーザー、CPUとメモリの使用状況、実行時間、完全なコマンドなど）が表示されます。一般的なパターンは、 ps とともに grep 特定のプロセスでフィルタリングし、システムが実行するすべてのプロセスの中からそのプロセスをすばやく見つけます。

本番環境やハイパフォーマンス環境では、より高度な監視ソリューションが役立ちます。これらのソリューションは、過去のメトリクスを収集し、グラフを生成し、アラートを送信することができます。Prometheus、Grafanaなどのシステム、または集中型ダッシュボードを提供する統合システムを利用することで、時間の経過に伴うパフォーマンスの変化を監視し、ユーザーが問題に気づく前に問題を予測することが可能になります。

Linux のサービス、systemd、管理

Linuxサーバーの優れた点の多くは、バックグラウンドサービス（デーモンとも呼ばれる）にあります。これらのプログラムはグラフィカルインターフェースを表示せず、通常はユーザーと直接やり取りすることはありませんが、Webページの配信、データベースの管理、電子メールの処理、ネットワーク経由でのファイル共有といった機能を提供します。

ほとんどの最新のディストリビューションでは、起動とサービス管理はsystemdによって処理されます。この起動システムは、サーバー起動時にどのサービスが起動されるか、それらの依存関係がどのように管理されるか、そしてサービスが常にアクティブな状態を維持したり、障害が発生した場合に再起動したりするために、どのように監視されるかを制御します。

たくさん 必須のコマンド に関連する systemctl すべての管理者が知っておくべき事項は次のとおりです。

• サービスを開始する: systemctl start nombre_servicioたとえば、Web サーバーを起動します。
• サービスを停止する: systemctl stop nombre_servicioメンテナンスのため、または問題が検出されたために停止する必要がある場合。
• サービスを再起動する: systemctl restart nombre_servicio構成変更後に役立ちます。
• コンプロバー エル エスタド: systemctl status nombre_servicio、アクティブかどうか、最近のエラー、関連ログが表示されます。
• 起動時に有効にする: systemctl enable nombre_servicioデーモンがシステムとともに自動的に起動するようになります。
• 起動時に無効にする: systemctl disable nombre_servicio自動的に開始する必要がなくなった場合は、 を使用します。

特定のサービスがどのポートを使用しているかを診断する場合、 ssこれは現代の代替品です netstat一般的なコマンドは次のようになります。

ss -tulpn | grep nombre_servicio

これにより、該当サービスに関連付けられたTCPおよびUDPソケットのリストとプロセスID（PID）が表示されます。例えば、Webサーバーがポート80または443で実際にリッスンしており、他のプロセスとの競合がないことを迅速に確認できます。

Linuxセキュリティ：原則とツール

本格的なLinuxシステム管理においては、セキュリティを軽視することはできません。システムを構成するあらゆる層（ユーザー、サービス、ネットワーク、アプリケーション）は、攻撃対象領域を最小限に抑えるため、最小権限の原則に基づいて構成する必要があります。

基本的なレベルでは、強力なパスワードの使用、ファイル権限（ユーザー、グループ、その他のユーザーに対する読み取り、書き込み、実行権限）の慎重な管理、鍵を使用したSSHによるリモートアクセスの制限、直接的なrootログインの無効化、接続を許可する場所の制限などが含まれます。

さらに、 ファイアウォール （例えば、 firewalld o iptables) を使用して開いているポートを制御したり、侵入検知システムや機密データの暗号化を行ったり、多くのビジネス環境では、SELinux や AppArmor を使用して脆弱性の悪用を困難にする強制アクセス制御を実施したりします。

定期的にセキュリティ監査を行うには、Lynisのようなツールを使用すると、システムをスキャンして、構成を改善するための具体的な推奨事項を含むレポートを生成できます。インストール後、通常は次のようなコマンドを実行します。

sudo apt install lynis
sudo lynis audit system

システムはアップデートやパッチのたびに、攻撃者の侵入経路となりうる欠陥や弱点を修正します。たとえ些細に見える脆弱性であっても無視するのは危険です。多くの深刻な事件は、見落とされた不注意な細部から始まるからです。

バックアップとサービスの継続性

綿密に練られたバックアップ戦略なしに、管理者は安心して業務に取り組むことはできません。バックアップは、ハードウェア障害、人為的ミス、ランサムウェア攻撃、あるいは様々な災害から重要なデータを保護する役割を果たします。

優れたバックアッププランを設計するには、バックアップするデータ、バックアップ頻度、保存場所、そしてデータの整合性をどのように検証するかを決定する必要があります。ローカルバックアップと外部ストレージまたはクラウドストレージを組み合わせ、転送中および保存中の情報を暗号化して保護するのが一般的です。

Resticのような最新ツールは、暗号化、圧縮、効率的なバックアップを作成するための強力なソリューションを提供し、ローカルディスクからS3タイプのサービス、外部プロバイダーのストレージまで、複数の保存先をサポートしています。インストールは通常、以下の手順で簡単に行えます。

sudo apt install restic

バックアップを作成することに加えて、問題が発生した場合に予期せぬ事態なくデータを復旧できるよう、復元プロセスを定期的にテストすることも同様に重要です。多くの管理者は、定期的なメンテナンス作業の一環として、部分的な復元テストをスケジュールしています。

RHEL 8 の Web コンソール: Cockpit によるグラフィカル管理

Linuxではインストール後の作業のほぼ全てをターミナル経由で行うことができますが、Red Hat Enterprise Linux 8のようなシステムには、ローカルシステムとネットワーク内の他のサーバーの両方を管理および監視しやすくするために設計された、CockpitをベースとしたWebベースの管理コンソールも備わっています。

このWebコンソールはコマンドラインと同じシステムAPIを使用するため、ターミナルで行った変更はWebインターフェースに即座に反映され、その逆も同様です。実行可能なタスクには、サービス管理、ログ監視、パフォーマンスグラフの表示、基本的なネットワーク、ユーザー、ストレージの設定などがあります。

使用するには、 サービスを有効にする cockpit.socketウェブサーバーを起動します。多くのRHEL 8 Cockpit インストールにはプリインストールされていますが、そうでない場合はパッケージをインストールしてください。 cockpit ソケットを有効にします。カスタムファイアウォールを使用している場合は、 firewalld、サービスを追加する必要があります cockpit ポート9090を開き、他のコンピュータからのアクセスを許可します。

コンソールへのアクセスは、Webブラウザからサーバーアドレスと対応するポート番号を入力することで行います。認証には、 同じシステムユーザー資格情報特定のPAMスタックのおかげで、 /etc/pam.d/cockpitユーザーに権限がある場合 sudo特権タスクのパスワードを再利用するオプションを選択することもできます。これにより、インターフェースからソフトウェアをインストールしたり、SELinux を設定したりできるようになります。

ID管理（IdM）ドメインと統合された環境では、ドメインが設定されている限り、コンソールはワンタイムパスワード（OTP）を第2認証要素として受け入れることもできます。これにより、Webベースのサーバー管理アクセスが強化されます。

システムの再起動やシャットダウン、タイムゾーンの設定、NTPサーバーとの時刻同期といった基本的なタスクに加え、Webコンソールでは、サーバーをIdMドメインに参加させたり、パフォーマンスを監視したり、システムログを確認したりすることができます。また、同時マルチスレッド処理（SMT）などのハードウェア機能を無効にして、特定のCPU脆弱性（L1TF、MDS）を軽減することも可能ですが、その場合、パフォーマンスが低下する可能性があることに注意してください。

コンソールの高度な設定は、 /etc/cockpit/cockpit.confこのファイルを編集すると、例えば、 ログイン前の法的バナー （システムの許可された使用について警告する組織や企業では非常に一般的です）または、一定時間操作が行われなかった場合にインターフェースが自動的に閉じるようにセッションの有効期限を設定します。このファイルを変更した後、変更を有効にするには、Webコンソールサービスを再起動する必要があります。

Linuxサーバーの種類と使用例

Linuxサーバーについて語る場合、データセンターに物理的に設置されたマシンだけを指すのではありません。クラウドサーバー、VPS、コンテナ、仮想化環境なども含まれます。これらはすべて共通の特徴を持っています。Linuxカーネルをベースにしたオペレーティングシステムの派生版を実行し、エンタープライズレベルの要求の厳しいアプリケーションをサポートするように設計されているのです。

現実世界では、Webサーバー（Webサイトやアプリケーションのホスティング用）、データベースサーバー、メールサーバー、ファイルサーバー、認証サーバーなど、さまざまなサーバーが存在します。適切なLinuxサーバーの種類を選択するには、そのサーバーの役割、パフォーマンス要件、拡張性のニーズ、そして利用可能な予算を考慮する必要があります。

最も一般的な選択肢の一つはクラウドサーバーです。クラウドサーバーは、優れた柔軟性、従量課金制、そしてインターネット接続があればどこからでもアクセスできるという利点があります。特に、リソースを動的に増減させる必要があるプロジェクトで人気があります。

一方、専用の物理サーバーはより大きな投資が必要ですが、ハードウェアの性能を最大限に引き出し、システムを完全に制御できます。非常に負荷の高いワークロードや、特定のサービスを厳密に分離する必要がある場合によく選ばれます。

その中間に位置するのがVPS（仮想サーバー）で、コスト、パフォーマンス、柔軟性のバランスが取れており、より高度なインフラストラクチャを初めて導入する企業やプロジェクトにとって一般的な選択肢となっている。

Linuxを次のレベルに引き上げる便利なツール

すべてのシステム管理者が知っている定番コマンドに加えて、Linuxエコシステムには、システム管理者の作業を大幅に簡素化し、セキュリティ、パフォーマンス、自動化を向上させることができる、あまり知られていないツールが数多く存在する。

すでに、さまざまなシステムリソースをコンパクトに監視するためのGlancesと、暗号化バックアップのためのResticについて説明しました。これらに加えて、Cockpitツールを使用すると、直感的なWebインターフェースを通じてサーバーを管理でき、複数のマシンをサポートし、Red Hat、Debian、Ubuntuなどのディストリビューションで利用可能です。インストールと有効化は、次のようなコマンドで行います。

sudo apt install cockpit
sudo systemctl enable --now cockpit

詳細な分析の分野では、 bpftrace カーネルのBPFインフラストラクチャを活用して、 高度なデバッグとパフォーマンス分析: システムコールを検査したり、プロセスやネットワークトラフィックを調査したりするのに、古いツールのような高コストはかかりません。 strace o tcpdumpこれは、カーネル内で何が起こっているかをリアルタイムで正確に確認する必要がある管理者や開発者にとって特に便利です。

さらに、初心者の方には、基本的なユーザーから上級管理者までを対象とした書籍など、体系的なトレーニング教材を使用することを強くお勧めします。これらの書籍では、ファイルやプロセス管理コマンドから、統合ファイアウォール、ローカルネットワーク構成、さらにはフォレンジックや攻撃的なセキュリティツールまで、あらゆる内容が解説されています。

Linux管理トレーニングとキャリアチャンス

もしあなたがLinuxシステム管理者としてプロとして働くことを目標としているなら、最も直接的な方法の一つは、コンピューティングとネットワークに関連する職業訓練コースで訓練を受けることです。

ネットワークコンピュータシステム管理（ASIR）の職業訓練（FP）やマルチプラットフォームアプリケーション開発（DAM）の職業訓練（FP）といったプログラムは、オペレーティングシステム、ネットワーク、サービス、セキュリティ、プログラミングといった確固たる基礎知識を提供します。これらは、Linuxに重点を置いたシステムエンジニアやDevOpsエンジニアを求める多くの企業が要求するスキルです。

Linux管理者のキャリア機会としては、テクノロジー企業、ホスティングプロバイダー、通信会社、銀行、ITコンサルティング会社、公共機関、スタートアップ企業など、幅広い分野での職種が挙げられます。最も一般的な職種としては、システム管理者、ネットワークエンジニア、サイバーセキュリティスペシャリスト、DevOpsエンジニア、クラウドインフラストラクチャマネージャーなどがあります。

マネージドホスティングなどの分野では、経験豊富なシステムチームが、ネットワーク計画や接続プロバイダーの選定から、ハードウェアやソフトウェアの問題解決、仮想化プラットフォーム間の移行（例えば、VMwareからProxmoxへの移行）、数十台から数百台のLinuxサーバーの日常的な運用まで、インフラストラクチャ全体の構築と管理を担当します。

経験を積むにつれて、多くの管理者は仮想化、大規模自動化、コンテナ展開、高可用性アーキテクチャの設計などを含む複雑なプロジェクトを主導するようになり、その中心には常にLinuxが位置づけられる。

Linuxシステム管理をマスターするには、システムの基盤（ユーザー、プロセス、権限、ネットワーク、ファイルシステム）と、サービス、セキュリティ、監視、バックアップ、オーケストレーションといった上位レイヤーの両方を理解することが不可欠です。適切なツール、綿密に練られたセキュリティ戦略、そして確かなトレーニングがあれば、シンプルなサーバーから複雑な分散インフラストラクチャまで、あらゆるものを管理し、制御を維持し、リスクを軽減し、何らかの問題が発生した場合でもすべてが確実に稼働し続けるようにすることが可能です。