サーバ構築の用語集（147語）

SELINUX=enforcing/permissive/disabledの行を書き換えると、再起動後もそのモードで起動する。setenforceによる変更が一時的なのに対し、こちらは恒久設定という違いを押さえる。disabledからの復帰時は再ラベル付けが走り時間がかかる。

Webサーバ構築の演習で最もよく出会うエラーの一つ。ファイルのパーミッション、ディレクトリの許可設定、SELinuxのラベルのどれが原因でも起きるため切り分けが要る。ページ自体が存在しない404とは意味が違う点に注意。

正式名はApache HTTP Server。設定はhttpd.confなどにディレクティブと呼ばれる項目を書いて行い、モジュールの追加で機能を拡張できる。RHEL系ではパッケージ名・サービス名がhttpdで、ソフト名と一致しない点がまぎらわしい。

apachectl configtestで設定ファイルの構文チェックができ、再起動前に必ず実行する習慣にするとサービス断を防げる。systemd環境では起動停止はsystemctl経由が主流だが、構文確認用のコマンドとして今もよく使われる。

AVC拒否記録から、それを許可するためのポリシーモジュールを自動生成する。便利だが、出力をそのまま適用すると本来防ぐべき危険な動作まで許してしまう恐れがあるため、生成されたルールの意味を理解してから適用することが重要。

監査システムauditdが記録したログ(audit.log)を、記録の種類や時刻で絞り込んで表示する。ausearch -m avcとすればSELinuxの拒否記録だけを抽出でき、アクセス拒否トラブルの原因調査で最初に使う道具になる。

SELinuxが拒否したアクセスはAVC denialとして監査ログに記録される。どのプロセスがどのファイルへ何をしようとして拒まれたかが分かるため、Webサーバが突然Forbiddenを返すような障害の重要な手がかりになる。

www.example.comを192.0.2.1に結びつけるといった、名前解決の中心になるレコード。IPv6アドレス用には別にAAAAレコードがある。サーバの引っ越しではこの値の変更と、各地のキャッシュに古い値が残る問題に注意する。

権威DNSとキャッシュDNSの両方の機能を持つ老舗のソフト。サービス名はnamedで、設定はnamed.confとゾーンファイルに書く。ソフト名とサービス名が違うため、systemctlで操作するときに名前で戸惑いやすい。

設定は named.conf、応答内容はゾーンファイル。named-checkconf / named-checkzone で起動前に検査する。

サーバ側で生成した公開鍵にドメイン名や組織情報を添えて作成し、認証局へ提出する。認証局が審査して署名を付けて返したものがサーバ証明書になる。秘密鍵はサーバの外へ出さず、CSRだけを送るという流れを押さえる。

リクエストのたびにPerlやCなどのプログラムを実行し、その出力をそのまま応答として返す。仕組みが単純で学習に向くが、毎回プロセスを起動するため遅い。現在はFastCGIやアプリケーションサーバを使う構成が主流になっている。

公開ディレクトリを移動した際などに、ファイルへhttpd_sys_content_tのような適切なタイプを付け直すのに使う。ただしファイルシステム全体の再ラベル付けで元に戻るため、恒久化するにはsemanage fcontextでルールを登録する。

FTPサーバで利用者を自分のホームディレクトリより上へ移動できなくする、といった用途が代表例。侵入されたときの被害範囲を限定できる。ただし完全な隔離ではないため、より強い隔離にはコンテナなどの仕組みを使う。

バックアップやログ整理、証明書の更新など、毎日の定型作業をサーバに任せるときに使う。crontabコマンドで「分 時 日 月 曜日 コマンド」形式の予定表を編集する。数字の順番を取り違えやすいので、登録後の確認が大切。

サーバ側で秘密鍵を作り、対になる公開鍵とドメイン名などの情報をまとめてCSRを生成して認証局へ送る。認証局はこれに署名して証明書を返す。秘密鍵そのものは決して送らない、という点が仕組みを理解する鍵になる。

<Directory /var/www/html>〜</Directory>の形で囲み、その配下に対するRequireによるアクセス制御やOptionsの機能設定を記述する。DocumentRootを変えたのにこの区画の修正を忘れて403エラーになるのが定番のつまずき。

systemctl disable httpdとすると、次回のシステム起動時にそのサービスは自動で立ち上がらなくなる。今動いているプロセスは止まらない点に注意が必要で、即時に止めるにはstopを併用する(disable --nowで両方まとめて実行できる)。

dnf install httpdのようにサブコマンドを添えて導入・更新・削除・検索を行う。リポジトリと呼ばれる配布元から、依存関係のパッケージごと自動で取得してくれる。古い資料に出てくるyumは、ほぼ同じ使い方でdnfに読み替えられる。

非常に軽量なため、家庭用ルータや組込み機器に広く内蔵されている。小規模LANならこれ1本で名前解決とIPアドレス配布をまかなえる。本格的な権威DNSにはBINDなどを使い、dnsmasqは小規模・簡易用途と役割を分けて覚える。

DNSの応答には本来署名が無く、偽の回答を混ぜ込むDNSスプーフィングに弱い。DNSSECは公開鍵暗号による署名で応答が本物かを検証できるようにする。通信内容を暗号化して隠す仕組みではない点が誤解されやすい。

インターネットの住所録にあたる仕組みで、この変換を名前解決と呼ぶ。自分のドメイン情報の正解を持つ権威DNSサーバと、利用者の代わりに調べ回るキャッシュDNSサーバの2種類があり、この役割の違いを混同しやすい。

キャッシュDNSサーバに偽の応答を覚え込ませるキャッシュポイズニングが代表例で、利用者が正しいURLを入力しても攻撃者のサーバへ接続されてしまう。対策にはDNSSECによる応答の検証や、DoTなどによる通信の暗号化がある。

Apacheの設定項目で、ここに置いたファイルがURLのパスに対応して公開される。既定は/var/www/htmlなど。場所を変更したときはディレクトリの許可設定やSELinuxのラベルも合わせないと、403エラーの原因になりやすい。

httpd.confにDocumentRoot "/var/www/html"のように書き、URLのパスはこのディレクトリを起点に解決される。場所を変更した場合はDirectoryディレクティブの許可設定やSELinuxラベルも合わせて直さないとForbiddenになる。

従来のDNSは平文で通信するため盗聴や改ざんに弱い。DoTは853番ポート上のTLSで問い合わせを保護する。HTTPSに載せるDoHと並ぶ暗号化DNSの代表で、unboundなどのサーバやAndroidのプライベートDNS機能が対応している。

systemctl enable httpdとすると、次回以降のOS起動時に自動でサービスが始まる。今すぐ起動するstartとは別物で、enableだけでは現在は動き出さない。両方まとめて行うには--nowオプションを付ける。

本番サーバで推奨される状態で、違反はブロックされたうえで監査ログに記録される。現在のモードはgetenforceコマンドで確認できる。トラブル時に安易に無効化せず、原因のラベルやBoolean値を直すのが正しい対処とされる。

worker型を改良し、応答待ちのkeep-alive接続を専用スレッドに任せることで、接続数が多くてもスレッドを浪費しない。Apache 2.4系の既定MPMであり、prefork・workerとの方式の違いは試験でも実務でも頻出の知識。

CGIが毎回プロセスを起動するのに対し、FastCGIは起動済みのプロセスへ次々と処理を渡すため速い。PHPをnginxで動かすときのPHP-FPMがこの方式の代表例で、Webサーバとはソケットやポート経由でつながる。

firewall-cmd --add-service=http --permanentのように使い、ポートやサービス単位で許可を追加する。--permanentを付けた変更は--reloadするまで反映されない。即時反映と永続化の二段構えを理解するのがこつになる。

ゾーンという単位で許可ルールをまとめて管理し、firewall-cmdコマンドで操作する。内部では下位のnftablesが実際のパケット制御を行っている。設定に--permanentを付け忘れると再起動で消える点が要注意。

ファイルは存在するのに閲覧を許可できない状態を表す。原因はパーミッション不足・Directoryディレクティブの設定・SELinuxラベルの不一致など複数あり得る。「存在しない」ことを示す404との違いを踏まえて切り分ける。

社内DNSなどで、外部ドメインの名前解決をプロバイダのDNSやパブリックDNSに委ねる構成で使う。BINDではnamed.confのforwarders設定に転送先を書く。自力でルートから反復問い合わせする構成との違いを理解しておく。

実行するとEnforcing(強制)・Permissive(警告のみ)・Disabled(無効)のいずれかを返す。サーバで「設定は正しいはずなのに動かない」とき、まずこのコマンドでSELinuxの状態を確認するのが切り分けの定石。

SELinuxポリシーには挙動を切り替えるブール値が多数用意されており、getsebool -aで一覧できる。例えばhttpd_can_network_connectを見れば、Webサーバから外部への接続が許可されているか確認できる。変更にはsetseboolを使う。

ページの閲覧はほぼGETで行われる。送りたいパラメータはURL末尾のクエリ文字列として付くため、履歴やサーバのログに残りやすい。パスワードなど見られて困る情報の送信にはPOSTメソッドを使うのが原則になる。

Green Unicornの略称で、複数のワーカープロセスでリクエストを並行処理する。単体でも動作するが、静的ファイル配信やTLS処理はnginxなどのリバースプロキシに任せ、Gunicornはアプリの実行に専念させる構成が推奨される。

1本のTCP接続上で複数のリクエストを並行処理(ストリーム多重化)し、ヘッダ圧縮も行うことで、HTTP/1.1で問題だった順番待ちを解消した。主要ブラウザは事実上HTTPS上でのみ対応するため、導入はサーバのTLS化とセットになる。

TCPの接続確立や再送待ちによる遅延を避けるため、UDP上に実装されたQUICプロトコルで通信する。パケットロスに強く、移動で通信状態が変わりやすいモバイル環境で効果が高い。HTTP/2まではTCPベースという違いが問われやすい。

HTTP daemonの略で、Webサーバとして常駐するプログラムを指す。dnf install httpdで導入し、systemctl start httpdで起動する。ソフトの通称Apacheと名前が一致しないため、初学者が別物と勘違いしやすい。

Content-Typeでデータの種類を、Hostで宛先のサイトを伝えるなど、通信の取り扱い説明書の役割を持つ。ブラウザの開発者ツールで中身を確認でき、文字化けやキャッシュの問題を調べるときに最初に見る場所になる。

逆引きではIPv4アドレスのオクテットを逆順に並べ、末尾にin-addr.arpaを付けた名前でPTRレコードを問い合わせる。例えば192.0.2.1は1.2.0.192.in-addr.arpaになる。正引きのゾーンとは別のゾーンとして管理される。

ip addrでアドレス確認、ip routeで経路確認と、旧来のifconfigコマンドの後継にあたる。このコマンドで加えた変更は再起動で消えるため、恒久的な設定はnmcliや設定ファイルで行う。住所を指すIPアドレスの略称と紛れやすい。

チェインとルールの並びで通信の許可・拒否を記述する。現在はnftablesへの移行が進み、iptablesコマンドが内部でnftablesを呼び出す互換動作の環境も多い。古い資料の手順と現行環境の差に注意が要る。

systemctl is-enabled httpdのように使い、enabled(自動起動する)かdisabledかを返す。今この瞬間に動いているかを見るis-activeと混同しやすいが、こちらは「次回のシステム起動時に立ち上がる設定か」を確認するもの。

サービスが起動しないときの原因調査で最初に使う道具。journalctl -u httpdのようにユニット名で絞り込み、-fで流れてくるログを追いかけられる。テキストのログファイルと違い、専用コマンドを通してしか読めないのが特徴。

certbotなどのツールがドメインの所有確認から証明書の取得・更新までを自動化してくれる。有効期限が約90日と短いため、cronなどでの自動更新設定が前提になる。HTTPS化のハードルを大きく下げた存在といえる。

systemctl list-unit-filesで、インストールされているサービスなどの一覧とenabled/disabledといった状態がまとめて表示される。サーバに不要なサービスが自動起動のまま残っていないかを棚卸しする際によく使う。

サーバ証明書と秘密鍵のパスをSSLCertificateFileなどのディレクティブで設定し、443番ポートで暗号化通信を提供する。導入後はファイアウォールでhttpsサービスの許可も必要になるなど、モジュール追加だけでは完結しない点に注意。

マルチプロセッシングモジュールの略。プロセスを増やして処理するprefork、スレッドを併用するworker、それをさらに効率化したeventの3方式が代表。PHPの動かし方によって選べる方式が変わる点がつまずきどころになる。

BINDをインストールするとnamedというサービスとして常駐し、設定は/etc/named.confに記述する。systemctl start namedのようにサービス名として現れるため、BINDが製品名、namedがプロセス名という対応を押さえておく。

サーバ側で公開したディレクトリを、クライアントが自分のファイルシステムの一部としてマウントして使う。UNIX/Linux同士のファイル共有の定番で、Windows向けの共有が得意なSMB(Samba)とは用途で使い分ける。

長く使われてきたiptablesの後継で、複数プロトコルのルールを一つの枠組みで記述できる。RHEL系ではfirewalldの背後で実際のフィルタ処理を担っている。直接操作する機会は減ったが、仕組みの理解には欠かせない。

大量の同時接続を少ないメモリでさばく設計で、Webサーバのほかリバースプロキシやロードバランサとしてもよく使われる。Apacheと並ぶ二大勢力だが、設定ファイルの書き方はApacheと大きく異なるので読み替えはできない。

Windowsネットワークでコンピュータ名から相手を見つけるための名前応答や、ネットワーク上のコンピュータ一覧表示を支えるデーモン(nmbd)。ファイル共有そのものはsmbの担当で、IPアドレス直指定ならnmbなしでも共有に到達できる。

IPアドレスの固定やDNSの指定などをnmcli connection modifyの形で行い、設定は再起動後も保持される。GUIの無いサーバでの標準的な設定手段になっている。ipコマンドでの変更は一時的、という違いを混同しやすい。

「example.comのことはns1.example.comに聞け」という案内板の役割を持つ。上位のDNSにも同じ内容が登録され、世界中からの問い合わせがこの案内をたどって届く。サーバ自体のIPアドレスは別途Aレコードで示す。

Non-Existent Domainの意味で、digやnslookupの結果のstatus欄に表示される。名前のタイプミス、レコードの登録漏れ、ゾーン設定の誤りが典型的な原因。サーバに届いた上で「存在しない」と返された点で、応答なし(タイムアウト)とは区別する。

FTPは制御用とデータ転送用の2本の接続を使う。サーバ側から接続を張る従来のアクティブモードはクライアント側のファイアウォールに阻まれやすいのに対し、PASVモードはクライアントから接続するためNAT環境でも通りやすい。

Sambaのパスワードは Linux本体のパスワードとは別に管理され、pdbedit -aでSambaユーザの追加、-Lで一覧表示ができる。OS側にユーザを作っただけでは共有へログオンできず、Samba側への登録も必要という点がつまずきやすい。

動作は止めずにログだけが残るため、トラブルの原因がSELinuxかどうかの切り分けに便利。setenforce 0で一時的に切り替えられる。機能を完全に止めるDisabledとは別物で、ログを収集できる点が異なる。

nginxはPHPを自力で実行できないため、PHPの処理をPHP-FPMへ転送する構成が定番になっている。専用のサービスとして起動し、ソケットやポートでWebサーバと連携する。PHP側とWebサーバ側の両方に設定が要る点を忘れやすい。

プロセスIDの略。psコマンドで確認でき、killコマンドで特定のプロセスを終了させるときの宛先になる。同じプログラムでも起動し直すたびに別の番号が付くため、控えておいたPIDは再起動後には使えない。

会員登録や投稿など、サーバ側の状態を変える送信に使う。データはリクエストの本文に入るためURLには現れず、GETより大きなデータも送れる。ただし暗号化されるわけではないので、盗聴対策には別途HTTPSが必要になる。

あらかじめ子プロセスを複数fork(複製)しておき、リクエストごとに1プロセスが処理する。スレッドを使わないため、スレッドセーフでないモジュールでも安全に動くが、メモリ消費が大きく大量同時アクセスには不向き。

Aレコードとは逆方向の対応を持ち、in-addr.arpaという特殊なドメインの下に登録する。メールサーバの信頼性確認などで参照される。正引きと逆引きは別々に管理されるため、両方の内容が一致するとは限らない。

systemctl reload nginxのように使うと、稼働中の接続を維持したまま新しい設定を反映できる。restartと違ってプロセスを止めないため本番サーバで好まれるが、reloadに対応していないサービスもある点は覚えておきたい。

systemctl restart httpdのように使い、設定変更を確実に反映したいときの定番。プロセスが完全に入れ替わるため、一瞬だけサービスが止まる。接続を切らずに設定だけ読み直すreloadとの使い分けが運用のポイントになる。

restorecon -R /var/www/htmlのように使い、ラベリングルールに沿った正しいコンテキストへ戻す。手作業でラベルを付けるchconと違ってルールに基づくため、システムの再ラベル付けでも維持される。移動したファイルの403対策の定番。

ファイルの削除からサービス管理まで制限なく実行できるため、誤操作や乗っ取りの被害も最大になる。日常は一般ユーザで作業し、必要時だけsudoで昇格するのが原則。ディレクトリ階層の頂点「/」も同じ名前で呼ぶので文脈に注意。

smb(ファイル共有)とnmb(名前通知)のデーモンで動く。testparmで設定検査、smbpasswdで専用ユーザを管理。

通常のパーミッションとは別枠で、プロセスがアクセスできる対象をポリシーによって細かく制限する。rootであってもポリシーに反する操作は拒否される。Webサーバが原因不明の403を返すときの、隠れた原因になりやすい。

setsebool -P で恒久切替（例: httpd_can_network_connect、ftpd_full_access）。無効化より安全に穴を最小限だけ開けられる。

ユーザ・ロール・タイプなどの組で構成され、ls -Zやps -Zで確認できる。アクセスの可否は主にタイプ同士の組み合わせで判定される。ファイルを移動すると元のラベルが引き継がれ、想定外のアクセス拒否が起きやすい。

ls -Z で確認できる（例: httpd_sys_content_t）。Web公開先の型が違うと、設定が正しくてもhttpdが読めない。restoreconで既定に戻す。

ユーザ・ロール・タイプなどの要素で構成され、ls -Zやps -Zで確認できる。SELinuxはラベル同士の組み合わせをポリシーと照合してアクセス可否を決める。ファイルを移動するとラベルが実態と合わなくなり、拒否エラーが起きやすい。

semanage fcontextでディレクトリとラベルの対応ルールを登録したり、semanage portで非標準ポートの使用を許可したりする。chconが個々のファイルへの一時変更なのに対し、こちらはルールとして恒久的に残る点が違い。

ServerName www.example.com:80のように記述する。未設定だと起動時に名前を自動決定できない旨の警告が出る。名前ベースのバーチャルホストでは、どの設定でリクエストを受けるかの判定に使われる重要な項目になる。

setenforce 0でPermissive、1でEnforcingに切り替わる。再起動すると元に戻る一時変更であり、恒久的に変えるには/etc/selinux/configを編集する。トラブルの切り分けで一時的に0にして原因を確かめる使い方が多い。

ポリシー本体を書き換えずに、用意されたスイッチのON/OFFだけでSELinuxの挙動を変えられる。-Pオプションを付けると再起動後も維持される恒久設定になる。-Pを付け忘れて再起動後に元へ戻るのがよくあるミス。

SMBプロトコルによる共有フォルダの提供・ユーザ認証・ファイルの読み書きを処理するデーモン(smbd)で、systemctl start smbのように操作する。名前解決を担うnmbと対になっており、両者の役割の違いはよく問われる。

LinuxではSambaというソフトがこのプロトコルを実装し、Windowsのエクスプローラから見える共有フォルダを提供できる。UNIX系同士で使うNFSとの使い分けが基本で、WindowsとLinuxの混在環境ではSambaが橋渡し役になる。

/etc/samba/smb.confに全体設定の[global]セクションと共有ごとのセクションを記述し、共有パス・書き込み可否・許可ユーザなどを定める。書き換えた後はtestparmコマンドで構文を確認してからサービスを再起動するのが安全。

ゾーンファイルの先頭に1つだけ書く親玉のレコードで、シリアル値・更新間隔・管理者の連絡先を含む。プライマリとセカンダリの同期タイミングはここで決まるため、ゾーン転送のトラブルを調べるときの起点になる。

入力値をそのままSQL文に連結しているプログラムが標的になり、情報漏えいやデータの改ざん・削除につながる。対策の基本はプレースホルダ(プリペアドステートメント)の使用で、入力検証だけに頼らないことが重要になる。

Secure Shell の略。通信を暗号化してリモートのサーバにログインし、コマンドを実行できる。サーバ側では sshd が22番ポートで待ち受け、ssh ユーザ名@ホスト で接続する。

rootで常時ログインする危険を避け、必要な瞬間だけ権限を借りる運用の要になる。誰に何を許すかは/etc/sudoersファイルで管理され、実行の記録がログに残る。suと違ってrootのパスワードを共有せずに済む点が利点。

/etc/sudoersに、誰がどのコマンドをroot権限で実行できるかを記述する。構文エラーがあるとsudo自体が使えなくなる恐れがあるため、エディタで直接開かず、構文チェック付きで編集できるvisudoコマンドを使うのが鉄則。

サーバのサービス管理はほぼこのコマンドで行う。systemctl start httpdのように「systemctl サブコマンド 対象」の形で使い、状態確認はstatusで行う。設定ファイルを変えた後に反映操作を忘れると、古い設定のまま動き続ける点に注意。

RHEL/MiracleLinux系などで使われる init システム。サービスを .service という単位で管理し、systemctl コマンドで操作する。OS起動時にどのサービスを立ち上げるかもここで決まる。

WebサーバやDNSなどネットワークに露出するデーモンだけをSELinuxの管理下に置き、それ以外のプロセスはほぼ制限しない。RHEL系ディストリビューションの既定ポリシーで、全プロセスを縛る方式より運用しやすいのが利点。

rootは常に0で、一般ユーザには通常1000番台以降が割り当てられる。システムはユーザ名ではなくUIDで権限を判定するため、UIDが0のユーザはrootと同じ全権を持つ。各ユーザのUIDは/etc/passwdで確認できる。

権威サーバ機能も持つ多機能なBINDに対し、unboundは名前解決の代行とキャッシュに専念する設計で、設定が簡潔でセキュリティ面の評価も高い。DNSSEC検証やDoTにも対応し、社内向けキャッシュDNSの定番となっている。

very secure FTP daemonの名の通り安全性を売りにし、RHEL系で標準的に使われる。設定は/etc/vsftpd/vsftpd.confで行い、匿名ログインの可否やアップロード許可などを制御する。FTP自体は平文通信のため、実運用ではFTPSやSFTPの利用も検討する。

HTTPという約束事にしたがってリクエストを受け取り、ページや画像を応答する。LinuxではApacheとnginxが代表格。アプリの処理を担うアプリケーションサーバとは役割を分けて、前後に並べて構成することも多い。

複数の子プロセスがそれぞれ複数のスレッドを持ち、preforkよりメモリ効率よく多数の接続を捌ける。ただしスレッドセーフでないモジュールとは併用できない。現在の既定はこれを改良したevent MPMが主流になっている。

Web Server Gateway Interfaceの略。この規約に従って書けば、DjangoやFlaskで作ったアプリをGunicornなどどのWSGI対応サーバでも動かせる。Apacheやnginxを前段に置き、後段のWSGIサーバへ中継する2段構成が定番。

所有者名・公開鍵・有効期間・認証局の署名といった記載項目を規定しており、HTTPSで使うサーバ証明書はこの形式に従っている。opensslコマンドのx509サブコマンドで証明書の内容表示や検証ができる。

掲示板の投稿などにscriptタグを仕込み、他の閲覧者のブラウザでCookieを盗むといった被害を起こす。対策は出力時のエスケープ処理が基本になる。サーバのデータベースを直接狙うSQLインジェクションとは攻撃対象が違う。

静的ファイルを返すWebサーバと役割を分け、ログイン処理やデータベース操作などの動的な処理を担当する。PythonのGunicornやJavaのTomcatが例。前段にnginxなどを置き、リバースプロキシ経由で受ける構成が一般的。

SQLインジェクションやOSコマンドインジェクションが代表で、外部からの入力値を命令として解釈させないことが核心。SQLではプレースホルダ(プリペアドステートメント)の使用が基本で、入力検証や権限の最小化も組み合わせる。

HTTPは80、HTTPSは443、SSHは22のように番号と役割の対応が決まっており、ファイアウォール設定の基礎知識になる。この範囲のポートでプログラムが待ち受けるには管理者権限が必要、という制約も合わせて覚えておきたい。

フルリゾルバとも呼ばれ、ルートDNSから順にたどって答えを見つけ、次回のために結果をキャッシュする。家庭ではプロバイダ提供のものや8.8.8.8などの公開サーバを使う。権威DNSサーバとは同居させない構成が推奨される。

search?word=linux のように書き、複数の値は&でつなぐ。検索条件やページ番号の受け渡しに使われ、サーバ側のプログラムがこの値を読んで応答を変える。URLに丸見えになるため、機密情報を載せてはいけない。

graceful restartでは、設定変更を反映しつつ、現在応答中の接続は切断せずに処理を完了させてから入れ替える。通常のrestartは接続を即座に切断するため、稼働中サービスへの設定反映ではグレースフル方式が好まれる。

HTTPS通信のときにブラウザへ提示され、接続先が本物であることと暗号化に使う鍵の情報を伝える。認証局の署名と有効期限を持つ。期限切れはブラウザ警告の定番原因なので、更新の自動化が運用の要になる。

証明書と秘密鍵の組で成り立つ。公開サイトはLet's Encrypt(certbot)で無料取得・自動更新が定番。

Webやデータベースなど、利用者の操作と切り離して動き続ける常駐プログラム。Linuxでは慣習として名前末尾に d が付き（sshd, httpd など）、systemd が起動・停止を管理する。

既存ドメイン名の左側にラベルを足して階層を区切ったもの。DNSゾーンにレコードを追加するだけで自由に増やせるため、サービスや役割ごとにサーバを分ける用途で多用される。新たにドメインを取得し直す必要はない。

SOAレコードに記載され、セカンダリDNSサーバはこの値が増えたことでゾーンの更新を検知し、ゾーン転送を行う。レコードを書き換えたのにシリアル値を上げ忘れ、セカンダリに変更が反映されないのが典型的なミス。

ゾーン転送でプライマリの情報をコピーし、同じ内容を応答できる。プライマリ障害時のバックアップと負荷分散が目的で、多くのレジストラはDNSサーバを2台以上登録するよう求める。スレーブとも呼ばれる。

publicやhomeなどの区分にネットワークインタフェースを割り当て、ゾーン単位で許可するサービスやポートを設定する。なおDNSの世界でも権威サーバの管理範囲を「ゾーン」と呼ぶため、文脈でどちらの意味かを見分ける必要がある。

firewalld はネットワークの信頼度に応じて public・home などのゾーンを持ち、それぞれに許可するサービスを設定する。既定は public ゾーンで、指定しない操作はここに適用される。

A/AAAA(名前→IP)、MX(メール)、CNAME(別名)などのレコードを記述。SOAのシリアル番号は変更のたびに増やす。

権威DNSサーバが読み込む台帳で、SOA・NS・Aなどのレコードを並べて書く。書き換えたらSOAレコードのシリアル値を増やしてから再読み込みさせるのが約束事。これを忘れるとセカンダリDNSサーバに変更が伝わらない。

ApacheではDirectoryIndexディレクティブでindex.htmlなどを指定する。該当ファイルが無い場合、設定によってはファイル一覧がそのまま表示されて情報漏えいにつながるため、一覧表示(Indexes)は無効化しておくのが定石。

Webアプリでは会員情報や投稿の保存先として必須の部品になる。LinuxサーバではMySQL(MariaDB)やPostgreSQLが定番で、SQLという言語で操作する。Webサーバとは別のサービスとして起動・管理する点を押さえたい。

サービスの実体となる常駐プロセスのこと。利用者の端末から切り離されて動き続け、慣習として名前の末尾に d が付く（例: sshd, httpd, nginx のワーカー）。

ブラウザからアクセスされたとき、Webサーバがファイルを探す基準フォルダ。nginx の既定は /usr/share/nginx/html、Apache httpd は /var/www/html。ここに index.html を置くとトップページになる。

リクエストのHostヘッダを見て、ドメインごとに別のDocumentRootへ振り分ける。共用サーバの基本技術。

example.comとblog.example.comを同じサーバで別サイトとして返す、といった使い方ができる。リクエストのHostヘッダを見て設定を切り替えるのが名前ベース方式。ドメインごとにDocumentRootやログを分けて管理する。

RHEL系はrpm形式、Debian系はdeb形式を使い、dnfやaptなどの管理ツールで導入・更新・削除する。ソースからの手動コンパイルと違い、バージョン管理や依存関係の解決を自動でやってくれるのが利点になる。

外部との通信をルールに基づいて通す・しゃ断する防壁。RHEL/MiracleLinux系では firewalld が既定で、firewall-cmd コマンドで操作する。初期状態では多くの通信が遮断されている。

サーバでは「必要なポートだけ開ける」のが原則で、Web公開なら80番と443番のみ許可するといった設定にする。Linuxではfirewalldやnftablesが担当する。サービスは動いているのにポートを開け忘れて繋がらないのは定番のつまずき。

ゾーンファイルを直接編集・管理するサーバで、マスターとも呼ばれる。レコードの変更は必ずここで行い、セカンダリDNSサーバへはゾーン転送で複製される。障害に備え、通常はセカンダリとセットで冗長構成にして運用する。

www.example.com.のように階層を全て連ねた表記で、完全修飾ドメイン名(FQDN)と呼ばれる。ゾーンファイルでは末尾のドットの有無で意味が変わり、付け忘れるとドメイン名が二重に連結される事故が起きやすい。

SQL文の骨組みと値を分けて渡すため、入力に悪意ある断片が混ざっていてもただの文字列として扱われる。SQLインジェクション対策の第一選択とされる。文字列連結でSQL文を組み立てる書き方をやめることが出発点になる。

1台のサーバ上で複数のサービスを区別するための番号。HTTPは80、HTTPSは443、SSHは22が代表例。サービスが「待ち受け（LISTEN）」しているポートに通信が届く。

サービスを起動しても、ファイアウォールがそのポートを通さなければ外部からは届かない。firewall-cmd --add-service や --add-port で許可し、--reload で反映する操作を指す。

クライアントからのアクセスをいったん受け取り、裏側のアプリサーバへ転送して応答を返す構成。nginx がよく使われ、負荷分散・SSL終端・複数サービスの振り分けに役立つ。

利用者からは窓口の1台に見え、実際の処理は後ろにいるアプリケーションサーバ群が行う。負荷分散・TLS処理の集約・キャッシュに使われ、nginxが定番。クライアント側の代理として外へ出て行く通常のプロキシとは向きが逆になる。

世界に13系統が分散配置され、「.com」や「.jp」といったTLDを管理するサーバの所在を教える役割を持つ。キャッシュDNSサーバはルートヒントとしてこの一覧をあらかじめ持ち、反復問い合わせをここから始める。

各PCがユーザ情報を個別に管理する対等な構成で、家庭や小規模オフィスに向く。サーバが認証を一元管理するドメイン方式と対比される。Sambaを参加させるにはsmb.confのworkgroup設定をWindows側の名前と一致させる。

たとえばWebアプリはPHP本体を、PHPはシステムのライブラリを必要とする、という連なりのこと。dnfなどのパッケージ管理ツールは必要な相手を自動で一緒に導入してくれる。手動導入で依存が欠けるとソフトは起動すらしない。

処理が速く大量のデータ向きだが、相手にその鍵をどう安全に渡すかが弱点になる。HTTPSでは最初に公開鍵暗号で鍵を共有し、以降の通信はこの方式で暗号化するという役割分担をしている。AESが代表例。

LinuxではSamba(Windows向け)やNFS(UNIX系向け)のサーバソフトで提供する。公開範囲・書き込み権限・認証の設定を誤ると情報漏えいに直結するため、誰にどこまで許すかというアクセス設計が運用の要点になる。

ファイルの所有者が自由に権限を決められる任意アクセス制御(DAC)と対になる考え方で、MACと略す。所有者やrootでもポリシーに反する操作は許されない。SELinuxはこの方式のLinux実装で、侵入後の被害拡大を抑える。

example.comの持ち主として、AレコードやNSレコードの「正解」を答える立場のサーバで、情報はゾーンファイルで管理する。他人の代わりにあちこちへ問い合わせて回るキャッシュDNSサーバとは役割が正反対なので区別して覚える。

公開鍵で暗号化したデータは、対になる秘密鍵でしか復号できない。鍵を安全に相手へ配る問題を解決し、HTTPSや電子署名の土台になっている。処理が重いため、実際の通信では速い共通鍵暗号と組み合わせて使われる。

Windowsが共有フォルダへ接続する際に入力する認証情報を指し、資格情報マネージャーに保存される。古い資格情報が残っていて新しい設定で接続できない、というトラブルがSamba運用の定番なので、保存済み情報の削除方法を知っておく。

テスト環境や社内の検証では手軽に使えるが、ブラウザは信頼できる発行元を確認できないため警告を表示する。俗に「オレオレ証明書」とも呼ばれる。本番の公開サーバではLet's Encryptなど正規の認証局の証明書を使う。

HTTPS化したWebサーバはサーバ証明書を提示し、ブラウザは認証局の署名を検証して接続先が本物かを確かめる。自己署名証明書でも暗号化はできるが、第三者による保証がないためブラウザに警告が表示される。

www.example.comのIPアドレスを求める操作で、Aレコードが答えになる。逆にIPアドレスから名前を調べるのが逆引きで、こちらはPTRレコードを使う。digやnslookupコマンドで両方向の結果を確認できる。

DACと略され、Linuxの標準的なパーミッション(rwx)がこれにあたる。所有者がchmodで権限を自由に変えられる反面、rootは全てにアクセスできてしまう。管理者側がルールを強制するSELinuxの強制アクセス制御(MAC)と対で理解する。

ドメインの持ち主であることを確認したうえでサーバ証明書に署名する。ブラウザは信頼済み認証局の一覧をあらかじめ持ち、署名の連なりをたどって証明書を検証する。Let's Encryptは無料で自動発行する認証局の代表例。

公開鍵で暗号化したデータは、対になる秘密鍵でしか復号できない。鍵を安全に配布しやすい利点があるが処理が重いため、TLSでは鍵交換や署名に非対称鍵を使い、実データの暗号化は高速な共通鍵に任せる組み合わせが標準。