第 9 章 ROOT パスワードの変更およびリセット
11.5. CHRONY の設定
chronyd のデフォルト設定ファイルは /etc/chrony.conf です。-f オプションは、代替の設定ファイル パスを指定するのに使用できます。詳細は man ページの chrony.conf(5) を参照してください。使用で きるディレクティブの一覧は、「 The chronyd configuration file」を参照してください。
以下は、chronyd 設定オプションの一部です。
コメント コメント
コメントの前には、#、%、;、または ! を付けます。
allow
必要に応じて、NTP サーバーとして動作しているマシンへの NTP 接続が許可されるホスト、サブ ネット、またはネットワークを指定します。デフォルトでは、接続は許可されません。
以下に例を示します。
allow 192.0.2.0/24
特定のネットワークへのアクセスを許可するときにこのコマンドを使用します。
allow 2001:0db8:85a3::8a2e:0370:7334
このコマンドを使用して、IPv6 へのアクセスを付与します。
クライアントアクセスを可能にするため、ファイアウォールで UDP ポート番号 123 を開いておく必要 があります。
# firewall-cmd --zone=public --add-port=123/udp
ポート 123 を永続的に開くには、--permanent オプションを使用します。
# firewall-cmd --permanent --zone=public --add-port=123/udp cmdallow
allow ディレクティブ (allow セクションを参照) と似ていますが、特定のサブセットまたはホストへ の制御アクセスを許可します (これは NTP クライアントアクセスとは異なります)。「制御アクセ ス」とは、chronyc がこのようなホストで実行可能であり、このコンピューターで chronyd に正常 に接続できることを意味します。構文は同じになります。また、cmdallow all ディレクティブと動 作が似ている cmddeny all もあります。
dumpdir
chronyd を再起動しても測定履歴を保存するディレクトリーへのパスです (これが実行していない時
にシステムクロックの動作が変更されていないことを想定しています)。(設定ファイルの
dumponexit コマンド、chronyc の dump コマンドから) この機能を使用する場合は、dumpdir コ マンドを使用して測定履歴を保存するディレクトリーを定義してください。
dumponexit
このコマンドが存在する場合は、プログラムの終了時に、chronyd が、常に記録された各時間ソー スの測定履歴を保存することを示しています。上記の dumpdir コマンドを参照してください。
hwtimestamp
hwtimestamp ディレクティブは、ハードウェアのタイムスタンプで非常に精度の高い同期を可能に
します。詳細は man ページの chrony.conf(5) を参照してください。
local
local キーワードは、現在の同期ソースがない場合でも、(それをポーリングしているクライアント
から見ると) chronyd がリアルタイムに同期しているように見えるようにします。このオプション は、通常、孤立したネットワークで「master」となるコンピューターで使用されます。ここでは、
いくつかのコンピューターが相互に同期するようになり、「master」は、手動入力でリアルタイム と一致させます。
以下はコマンド例を示します。
local stratum 10
10 という大きな値が示しているのは「基準クロックからのホップ数が非常に多いため、時間の信頼 性が低い」ということです。基準クロックに最終的に同期している別のコンピューターにアクセス するコンピューターは、確実に 10 よりも下の階層に存在することになります。このため、local コ マンドで 10 のように高い値を設定すると、リアルサーバーの視認性があるクライアントにリークし たとしても、マシン自体の時間がリアルタイムと混同することを防ぎます。
log
log コマンドは、特定情報がログに記録されることを意味します。以下のオプションを取ります。
measurements
このオプションは、生の NTP 測定値とその関連情報を、measurements.log という名前のログ ファイルに記録します。
statistics
このオプションは、回帰処理の情報を statistics.log ファイルにログ記録します。
tracking
このオプションは、システムの時間が進んだり遅れたりする予測に対する変更や、発生した slew 調整を、tracking.log と呼ばれるファイルにログ記録します。
rtc
このオプションは、システムのリアルタイムクロックに関する情報をログ記録します。
refclocks
このオプションは、生およびフィルター処理された基準クロックの測定を、refclocks.log ファ イルにログ記録します。
tempcomp
このオプションは、温度測定とシステムレートの補正を、tempcomp.log と呼ばれるファイルに ログ記録します。
ログファイルは、logdir コマンドが指定するディレクトリーに書き込まれます。
以下はコマンド例を示します。
log measurements statistics tracking
logdir
このディレクティブは、ログファイルが書き込まれるディレクトリーを指定します。
このディレクティブの使用例は、以下のようになります。
logdir /var/log/chrony
makestep
通常、chronyd は、必要に応じてクロックの速度を下げるかまたは上げることで、システムに対し
て時間オフセットの段階的修正を実施します。特定の状況では、このスルーイング (slewing) プロセ スでシステムクロックを修正するのに非常に時間がかかり、システムクロックが不安定な状態にな ることがあります。このディレクティブは、調整がしきい値を上回ったときに、chronyd でシステ ムクロックを一度に修正 (step) します。ただし、chronyd が開始してからのクロックの更新が、指 定した制限を上回らなかった場合に限ります (負の値は、制限を無効にします)。initstepslew ディ レクティブは NTP のソースのみに対応しているため、この方法は基準クロックを使用しているとき に特に有用です。
このディレクティブの使用例は、以下のようになります。
makestep 1000 10
この場合は、調整幅が 1000 秒よりも大きければシステムクロックが更新されますが、最初の 10 回 の更新しか行われません。
maxchange
このディレクティブは、クロック更新で修正される許容オフセットの最大値を設定します。更新が 指定された回数行われた後にのみチェックが実行されるため、システムクロックの初回の調整が大 きくなります。指定された最大値よりも大きなオフセットが発生すると、そのオフセットは指定し た回数の間無視され、その後に chronyd が終了します (負の値を使用すると、終了しないようにな ります)。いずれの場合も、メッセージは syslog に送信されます。
このディレクティブの使用例は、以下のようになります。
maxchange 1000 1 2
最初のクロック更新後に、chronyd がすべてのクロック更新でオフセットをチェックし、1000 秒よ りも大きい調整を 2 回無視して、3 回目に終了します。
maxupdateskew
chronyd のタスクの 1 つは、コンピュータのクロックがその基準源に対してどれくらい速くまたは
遅く動くかを調べることです。また、推定値の誤差範囲の概算を計算します。
エラーの範囲が広すぎる場合は、測定が落ち着いていないこと、そして推定増加または損失率に信 頼性があまりないことを示しています。
maxupdateskew パラメーターは、推定値を使用できるほど信頼できるかどうかを判定するための
しきい値です。デフォルトでは、しきい値は 1000 ppm です。
構文は以下のようになります。
maxupdateskew skew-in-ppm
skew-in-ppm の一般的な値は、電話回線を介してサーバーにダイアルアップ接続を行う場合は
100、LAN 上のコンピューターの場合は 5 または 10 になります。
信頼性のない推定値の使用に対する保護の方法は、これだけではないことに注意してくださ
い。chronyd は常に、予想される進みまたは遅れのレートと、予測のエラー範囲を追跡していま
す。ソースの 1 つで測定が作成された後に別の予測が新たに生成されると、加重組み合わせのアルゴ リズムを使用してマスター予測が更新されます。このため、chronyd に信頼性の高い既存のマス ター予測があり、エラー範囲の広い新たな予測が生成されると、既存のマスター予測が新規のマス ター予測を特徴づけることになります。
minsources
minsources ディレクティブは、ローカルクロックを更新する前にソース選択アルゴリズムで選択
可能なものとして考慮されるべきソースの最小数を設定します。
構文は以下のようになります。
minsources number-of-sources
number-of-sources は、デフォルトでは 1 です。minsource を 1 よりも大きくすると、信頼性が向 上します。複数のソースが互いに対応することが必要となるためです。
noclientlog
引数を取らないこのディレクティブは、クライアントアクセスをログに記録しないことを指定しま す。通常はログに記録されますが、chronyc でクライアントコマンドを使用して統計を報告し、ク ライアントが server ディレクティブの xleave オプションでインターリーブモードを使用するよう にできます。
reselectdist
chronyd が、利用可能なソースから同期ソースを選択する際に、同期距離が最短のものを優先しま
す。ただし、同様の距離のソースが複数存在して、再選択が繰り返されるのを回避するため、現在 選択されていないソースからの距離に、固定距離が追加されます。これは、reselectdist オプション で設定できます。デフォルトでは、この距離は 100 ミリ秒となります。
構文は以下のようになります。
reselectdist dist-in-seconds
stratumweight
stratumweight ディレクティブは、chronyd が利用可能なソースから同期ソースを選択する際に、
階層ごとに追加される同期距離を設定します。
構文は以下のようになります。
stratumweight dist-in-seconds
デフォルトでは、dist-in-seconds は 1 ミリ秒です。つまり、通常は、距離の値が非常に悪い場合で
も、stratum が高いソースよりも、stratum が低いソースが優先されることを意味しま
す。stratumweight を 0 に設定すると、chronyd は、ソースを選択するときに stratum を無視しま す。
rtcfile
rtcfile ディレクティブは、システムのリアルタイムクロック (RTC) の正確性の追跡に関連するパラ メーターを chronyd が保存できるファイル名を定義します。
構文は以下のようになります。
rtcfile /var/lib/chrony/rtc
chronyd は、このファイルが存在し、chronyc で writertc コマンドを実行すると、情報をこのファ イルに保存します。保存される情報は、あるエポックでの RTC のエラー、そのエポック (1970 年 1 月 1 日以降の秒数)、および RTC の時間が早まるもしくは遅れる変化量です。リアルタイムクロック のコードはシステム固有のものなので、すべてのリアルタイムクロックがサポートされるわけでは ありません。このディレクティブを使用する場合は、リアルタイムクロックを手動で調整しないで ください。リアルタイムクロックがランダムな間隔で調整されると、その変化量を測定する chrony の必要性が干渉されるためです。
rtcsync
rtcsync ディレクティブは、デフォルトで /etc/chrony.conf ファイルにあります。これにより、シ ステムクロックが同期されていることがカーネルに知らされ、カーネルによりリアルタイムクロッ クが 11 分ごとに更新されます。
11.5.1. chrony でセキュリティーの設定
chronyc は、以下の 2 つの方法で chronyd にアクセスします。
インターネットプロトコル (IPv4 または IPv6)
Unix ドメインソケット (ユーザー root または chrony がローカルにアクセス可能)
デフォルトでは、chronyc は、Unix ドメインソケットに接続します。デフォルトのパスは
/var/run/chrony/chronyd.sock です。この接続に失敗すると (たとえば非特権ユーザーで chronyc を実 行していると失敗する可能性があります)、chronyc は 127.0.0.1 への接続を試み、その後 ::1 への接続を 試みます。
chronyd の動作に影響しない次の監視コマンドのみが、ネットワークに許可されています。
activity manual list rtcdata smoothing