MochiuWiki : SUSE, EC, PCB

設定 - Cockpit

2026年2月25日 (水) 06:10時点におけるWiki (トーク | 投稿記録)による版
(差分) ← 古い版 | 最新版 (差分) | 新しい版 → (差分)

概要

Cockpitは、Linuxサーバを対象としたブラウザベースのWebUIによるシステム管理ツールである。
基本的なシステム設定から、ストレージ管理、ネットワーク設定、ユーザ管理、システムの最新状態の維持まで、多数の管理タスクをWebブラウザから実行できる。

複数のサーバを管理するための機能を備えた管理ユーティリティであるが、自動化機能は持たない。
systemd、journald、NetworkManager、firewalld、storaged (udisks2)、realmd、PAMと統合されており、既存のLinuxシステム管理ツールとシームレスに連携する。

SUSEがコミュニティと協力している活発なアップストリームプロジェクトである。
Cockpitは、Leap MicroとMicroOSにも含まれている。
商用製品であるSUSE Linux Enterprise Microの一部であり、SUSE Linux Enterprise 16にも搭載されている。

アーキテクチャは軽量で、systemd socket activationによるオンデマンド起動を採用しており、常時稼働によるリソース消費が少ない。
モジュール式の設計により、必要な機能のみをパッケージとして追加インストールできる。

アップストリームが管理するドキュメントがあり、SUSEもドキュメントを管理している。

Webブラウザの対応状況を以下に示す。

  • Firefox 82以降
  • Chrome / Edge 88以降
  • Safari 14.5以降



アーキテクチャ

Cockpitは複数のコンポーネントが連携して動作する。
各コンポーネントの役割を理解することで、トラブルシューティングや詳細な設定が容易になる。

主要コンポーネントを以下に示す。

Cockpit の主要コンポーネント
コンポーネント 説明
cockpit-ws
  • 9090番ポートでリッスンするWebサービスコアコンポーネントである。
  • ユーザ認証を処理し、ブラウザとバックエンドの通信を仲介する。
  • systemd socket activation (cockpit.socket) により、オンデマンドで起動する。
cockpit-bridge
  • WebインターフェースとシステムAPI間のメッセージリレーヤーである。
  • Webブラウザからのリクエストをシステムコールに変換し、結果をWebUIに返す。
cockpit-tls
  • TLS 終端プロキシであり、暗号化された接続を管理する。
  • HTTPS通信の暗号化・復号を担当し、cockpit-wsへプレーンテキストで中継する。


動作フローは以下の通りである。

  1. Webブラウザが9090番ポートへHTTPS接続する。
  2. cockpit-tlsがTLS終端処理を行う。
  3. cockpit-wsがユーザ認証を処理する。
  4. cockpit-bridgeがシステムAPIへリクエストを中継する。
  5. レスポンスが逆順でWebブラウザに返される。



主要モジュール

Cockpitはモジュール式の設計を採用しており、デフォルトでインストールされるパッケージと追加でインストール可能なパッケージが存在する。

デフォルトパッケージ

下表に、デフォルトでインストールされる主要パッケージを示す。

デフォルトパッケージ一覧
パッケージ名 説明
cockpit-ws Webサービスコアコンポーネント
Webブラウザとの通信を担当する。
cockpit-system システム情報の表示、基本的なシステム監視、サービス管理を提供する。
cockpit-networkmanager ネットワークインターフェース設定、ボンディング、ブリッジ、VLAN設定を提供する。
cockpit-storaged ストレージ設定・監視、ディスク管理、マウント設定を提供する。
cockpit-selinux SELinux例外の表示・管理インターフェースを提供する。
cockpit-packagekit パッケージ管理インターフェースを提供する。


追加パッケージ

必要に応じて追加でインストール可能なパッケージを以下に示す。

追加パッケージ一覧
パッケージ名 説明
cockpit-podman Podmanコンテナの管理UIを提供する。
cockpit-machines 仮想マシン (KVM / libvirt) の管理インターフェースを提供する。
cockpit-kdump カーネルクラッシュダンプの設定インターフェースを提供する。
cockpit-sosreport sosreportによるシステム診断・設定情報収集インターフェースを提供する。
cockpit-tuned Tunedによるシステムパフォーマンスプロファイル設定を提供する。
cockpit-pcp Performance Co-Pilot統合による詳細なパフォーマンス分析を提供する。
cockpit-session-recording セッション記録機能を提供する。



インストール

RHEL

Cockpitをインストールする。

sudo dnf install cockpit


Cockpitを有効化する。

sudo systemctl enable --now cockpit.socket


外部PCから操作する場合は、ファイアウォールのポートを開く。

sudo firewall-cmd --permanent --add-service=cockpit
sudo firewall-cmd --reload


SUSE (SLE 16) の場合

Cockpitをパターンとしてインストールする。

sudo zypper install -t pattern cockpit


Cockpitを有効化する。

sudo systemctl enable --now cockpit.socket


外部PCから操作する場合は、ファイアウォールのポートを開く。

sudo firewall-cmd --permanent --zone=public --add-service=cockpit
sudo firewall-cmd --reload



Cockpitの実行

Webブラウザを起動して、以下に示すアドレスを入力する。

http://<IPアドレス>:9090
# または
http://localhost:9090



設定ファイル

Cockpitの設定ファイルは、/etc/cockpit/cockpit.conf ファイルである。
INI形式で記述し、必須ではなく、必要に応じて手動で作成する。

[WebService]セクション

下表に、Webサービスに関する設定項目を示す。

cockpit.confの主要設定パラメータ
パラメータ 説明
Origins WebSocket 接続を許可するオリジンを指定する。
リバースプロキシを使用する場合に設定が必要である。

例: Origins = https://example.com:443
ProtocolHeader リバースプロキシからのプロトコル情報ヘッダを指定する。
デフォルト値は、X-Forwarded-Proto である。
ForwardedForHeader クライアントIPアドレス取得ヘッダを指定する。
デフォルト値は、X-Forwarded-For である。
AllowUnencrypted 暗号化なしのHTTP接続を許可するかどうかを指定する。(true / false)
デフォルト値は、false である。
UrlRoot リバースプロキシ環境でのURL基底パスを指定する。

例: UrlRoot = /cockpit
LoginTitle ログイン画面のブラウザタイトルを指定する。
LoginTo ログイン画面に[リモートホストに接続]オプションを表示するかどうかを指定する。(true / false)
AllowMultiHost 複数ホストへの同時接続を許可するかどうかを指定する。(true / false)
MaxStartups 同時認証試行数の上限を指定する。
デフォルト値は、10 である。


[Log]セクション

下表に、ロギングに関する設定項目を示す。

cockpit.confのログ設定パラメータ
パラメータ 説明
Fatal 致命的エラーとするメッセージタイプを指定する。
デフォルト値は、criticals, warnings である。


[Session]セクション

下表に、セッションに関する設定項目を示す。

cockpit.confのセッション設定パラメータ
パラメータ 説明
IdleTimeout 非アクティブ時の自動ログアウト時間を分単位で指定する。
デフォルトはタイムアウトなしである。
Banner ログイン画面に表示するファイルのパスを指定する。

例: Banner = /etc/issue


設定ファイルの記述例

/etc/cockpit/cockpit.conf ファイルの記述例を以下に示す。

 [WebService]
 Origins = https://example.com:443
 ProtocolHeader = X-Forwarded-Proto
 ForwardedForHeader = X-Forwarded-For
 AllowUnencrypted = false
 LoginTitle = System Administration
 LoginTo = false
 MaxStartups = 10
 
 [Log]
 Fatal = criticals, warnings
 
 [Session]
 IdleTimeout = 30
 Banner = /etc/issue



SSL/TLS証明書の設定

Cockpitの証明書ファイルは、/etc/cockpit/ws-certs.d/ ディレクトリに配置する。
.cert ファイルはPEM形式で、サーバ証明書・中間CA証明書・秘密鍵を含む。

TLS証明書が存在しない場合、sscg または openssl コマンドで自己署名証明書 (0-self-signed.cert) が自動生成される。

証明書の状態を確認するには、以下のコマンドを実行する。

sudo /usr/libexec/cockpit-certificate-ensure --check


Let's Encrypt証明書の配置

Let's Encrypt証明書をCockpit用に配置する場合は、証明書と秘密鍵を結合してファイルを作成する。

cat /etc/letsencrypt/live/example.com/fullchain.pem \
    /etc/letsencrypt/live/example.com/privkey.pem   \
    > /etc/cockpit/ws-certs.d/example.cert


certmongerによる管理

certmongerを使用して証明書を管理する場合は、以下のコマンドを実行する。

getcert request -f /etc/cockpit/ws-certs.d/server.cert -k /etc/cockpit/ws-certs.d/server.key



ポートの変更

Cockpitのデフォルトポートは、9090 番ポートである。
ポートを変更するには、systemd socketのオーバーライドファイルを作成する。

以下のディレクトリとファイルを作成する。

sudo mkdir -p /etc/systemd/system/cockpit.socket.d
sudo vi /etc/systemd/system/cockpit.socket.d/listen.conf


設定ファイルに以下の内容を記述する。
9090番ポートを無効化する場合は、最初の ListenStream= の空行でデフォルトポート9090をリセットする必要がある。

 [Socket]
 ListenStream=
 ListenStream=443


変更を反映する。

sudo systemctl daemon-reload
sudo systemctl restart cockpit.socket


SELinux環境でのポート変更

SELinux環境では、新しいポートにSELinuxコンテキストを付与する追加設定が必要である。

新しいポート (例: 9999) に対してSELinuxコンテキストを付与する場合は、以下のコマンドを実行する。

sudo semanage port -a -t websm_port_t -p tcp 9999


既存ポート (例: 443) に対してSELinuxコンテキストを変更する場合は、以下のコマンドを実行する。

sudo semanage port -m -t websm_port_t -p tcp 443



リバースプロキシの設定

CockpitをNginxやApacheのリバースプロキシ経由で公開する場合は、WebSocket接続の設定が必要である。
また、リバースプロキシの背後に配置する場合、/cockpit/ および /cockpit+ は予約済みパスのため使用禁止である。

Nginxの設定

Nginxのリバースプロキシ設定例を以下に示す。

 server {
    listen 443 ssl;
    server_name example.com;
 
    ssl_certificate /path/to/cert.pem;
    ssl_certificate_key /path/to/key.pem;
 
    location / {
       proxy_pass https://localhost:9090;
       proxy_http_version 1.1;
       proxy_buffering off;
       proxy_set_header Upgrade $http_upgrade;
       proxy_set_header Connection "upgrade";
       proxy_set_header X-Forwarded-Proto $scheme;
       proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
       proxy_set_header Host $host;
    }
 }


Apacheの設定

Apacheのリバースプロキシ設定例を以下に示す。
mod_proxy、mod_proxy_http、mod_proxy_wstunnel、mod_ssl、mod_rewrite モジュールが必要である。

 <VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLCertificateFile /path/to/cert.pem
    SSLCertificateKeyFile /path/to/key.pem
 
    ProxyPreserveHost On
    ProxyRequests Off
 
    ProxyPass / https://localhost:9090/ nocanon
    ProxyPassReverse / https://localhost:9090/
 
    RequestHeader set X-Forwarded-Proto "https"
 
    RewriteEngine On
    RewriteCond %{HTTP:Upgrade} =websocket [NC]
    RewriteRule /(.*) wss://localhost:9090/$1 [P,L]
 </VirtualHost>


cockpit.confの対応設定

リバースプロキシを使用する場合は、/etc/cockpit/cockpit.conf ファイルに以下の設定を追加する。

 [WebService]
 Origins = https://example.com:443
 ProtocolHeader = X-Forwarded-Proto
 ForwardedForHeader = X-Forwarded-For



認証

プライマリサーバの認証方法

Cockpitが動作するサーバへの認証方法を以下に示す。

  • ローカルアカウント
    システム上のローカルアカウント (ユーザ名・パスワード) でログインする方法である。
    PAM認証ポリシー (/etc/pam.d/cockpit) によって制御される。

  • Kerberos / SSO
    エンタープライズSSO統合による認証方法である。
    有効なKerberosチケットを保持するユーザは自動認証される。
    前提として、サーバがドメインに参加済み (realm join example.com) であり、
    /etc/krb5.keytab または /etc/cockpit/krb5.keytab ファイルに有効なホストキーが存在することが必要である。

  • クライアント証明書 / スマートカード
    PKI認証による方法である。
    クライアント証明書またはスマートカードを使用した認証を提供する。


セカンダリサーバの認証方法

Cockpit経由でリモートホストにSSH接続する時の認証方法を以下に示す。

  • パスワード認証
  • Kerberos認証
  • 公開鍵認証 (ssh-agent経由)
  • ホストキー検証



マルチサーバ管理

Cockpitは、単一のセッションから複数のリモートホストをSSH経由で管理できる。
リモートホスト側ではCockpitのWebサーバは不要で、最小限のパッケージのみで管理が可能である。

リモートホストの要件

管理対象のリモートホストに必要な条件を以下に示す。

  • cockpit-systemパッケージのインストール (最小限の必須パッケージ)
  • cockpit.socketの有効化は不要
  • TLS証明書の設定は不要
  • SSHポート (デフォルト: 22/tcp) のみ開放


リモートホストの追加手順

  1. Cockpit UIで[新規ホスト追加]を選択する。
  2. リモートサーバのIPアドレスを入力する。
  3. ログインユーザ名を入力する。



ファイアウォールの設定

CockpitはfirewalldとUI統合されており、定義済みサービスの表示・追加・削除がWebUIから操作できる。

firewalldによる設定

Cockpitサービスをfirewalldに登録する場合は、以下のコマンドを実行する。

sudo firewall-cmd --permanent --add-service=cockpit
sudo firewall-cmd --reload


手動ポート指定による設定

サービス名ではなくポート番号を直接指定する場合は、以下のコマンドを実行する。

sudo firewall-cmd --permanent --add-port=9090/tcp
sudo firewall-cmd --reload



ルートユーザの使用

デフォルトでは、セキュリティ上の理由により、rootユーザを使用することはできない。
もし、WebコンソールでrootユーザとしてリモートPCへ接続する場合は、/etc/cockpit/disallowed-users ファイルを編集してrootログインを許可する。

sudo vi /etc/cockpit/disallowed-users



 # /etc/cockpit/disallowed-usersファイル
 
 # 編集前
 root
 
 # 編集後
 #root



ログインシェルの変更

ログインシェルを変更している場合、SELinuxのポリシーで cockpit_session_t コンテキストから user_home_t コンテキストのzshの実行が拒否される時がある。
これは、ログインシェルとして使用しているシェルのインストールディレクトリがホームディレクトリに存在、または、適切なSELinuxコンテキストを持っていないためである。

まず、/usr ディレクトリ内にログインシェルをインストールしている場合は、ログインシェルのSELinuxコンテキストを修正する。
その他のディレクトリ内にログインシェルをインストールしている場合は、SELinuxポリシーにルールを追加する。

ログインシェルのSELinuxコンテキストを修正

まず、ログインシェルのインストールディレクトリを確認する。

which <ログインシェル  例 : zsh>


次に、ファイルのSELinuxコンテキストラベルを、システムのデフォルトポリシーに基づいた正しい値に復元する。
また、適切なSELinuxラベル (例 : shell_exec_t) を再設定して、cockpit_sessionから実行可能にする。

sudo restorecon -v <ログインシェルのインストールディレクトリ  例 : /usr/bin/zsh>


SELinuxポリシーにルールを追加

まず、カスタムポリシーモジュールを作成する。

# ログからポリシーを生成
sudo ausearch -m avc -ts recent | grep cockpit | audit2allow -M cockpit_zsh


次に、ポリシーモジュールを読み込む。

sudo semodule -i cockpit_zsh.pp



セキュリティ

Cockpitを安全に運用するための推奨される事柄を以下に示す。

認証とアクセス制御

  • rootユーザでの直接ログインは避け、sudo / polkit経由の権限昇格を推奨する。
  • SSH鍵認証を推奨する。(パスワード認証より安全)
  • CockpitはCSPヘッダを送信して、インストール済みコードのみ実行を許可する。


ネットワークセキュリティ

  • 9090番ポートをネットワークに公開する場合は、ファイアウォールでアクセス元を制限する。
  • 自己署名証明書は開発・テスト環境のみに使用して、本番環境ではLet's Encrypt等の正規証明書を使用する。


ログ監視

Cockpitのログを監視するには、以下のコマンドを実行する。

sudo journalctl -u cockpit



カスタマイズ

Cockpitのログイン画面やUIのブランディングをカスタマイズできる。
カスタマイズファイルは /usr/share/cockpit/branding/ ディレクトリに配置する。

カスタマイズ可能なファイル

カスタマイズ可能なファイル
ファイル 説明
logo.png ブランドロゴ画像ファイルである。
favicon.ico ブラウザのファビコンファイルである。
branding.css CSS スタイルファイルである。
ログイン画面の背景、ロゴ、ブランドカラー等をカスタマイズできる。


CSSカスタマイズ

branding.css ファイルでは、CSS変数 --ct-color-host-accent を使用してシェルパネルのアクセントカラーを制御できる。

 :root {
    --ct-color-host-accent: #0066cc;
 }



トラブルシューティング

下表に、Cockpitに関する主な問題と対処法を示す。

トラブルシューティング一覧
問題 対処法
cockpit.socketが起動しない systemctl status cockpit.socket でステータスを確認する。
sudo journalctl -u cockpit で詳細ログを確認する。
Permission deniedエラーが発生する ユーザがcockpitグループに属しているか確認する。
PAM設定 (/etc/pam.d/cockpit ファイル) を確認する。
SELinuxによるアクセス拒否が発生する audit2allow コマンドでポリシーを生成する。
semanage コマンドでポートのSELinuxコンテキストを設定する。
TLS証明書エラーが発生する /etc/cockpit/ws-certs.d/ ファイルの証明書ファイルの形式と権限を確認する。
sudo /usr/libexec/cockpit-certificate-ensure --check を実行する。
リバースプロキシ経由で接続できない cockpit.conf ファイルの Origins 設定を確認する。
WebSocketヘッダ (Upgrade, Connection) の設定を確認する。
リモートホストに接続できない SSH接続が疎通しているか確認する。
リモートホストにcockpit-systemがインストールされているか確認する。



ソースコードと貢献方法

アップストリームのソースコードはGithubでホストされている。
始めるには、Contributingを参照すること。

アプリケーションを開発するのに役立つ Cockpitチュートリアル も存在する。


「https://mochiu.net/index.php?title=設定_-_Cockpit&oldid=14468」から取得