01 / 共通基準を使う
OSを追加するときは、共通基準 SEC-01〜SEC-07 の同じ設定結果を目指します。Ubuntuの記事のコマンドを別OSへ置き換えるだけでは確認になりません。OS固有の実装を調査し、基準ごとに動作を確認します。
SEC-01は名前付き管理者・sudo・復旧経路、SEC-02は暗号化Ed25519鍵と独立したホスト鍵確認、SEC-03は鍵のみのSSHとroot禁止、SEC-04はSSH許可を先に追加する既定拒否FW、SEC-05は署名付き更新の設定と実適用・再起動結果、SEC-06はサービス・認証ログ・時刻、SEC-07は設定バックアップとコンソール復旧を扱います。
02 / OS固有の手順を調べる
OS別ガイドのテンプレートをダウンロードして、対象バージョン、アーキテクチャ、検証環境と範囲を記入します。管理者グループ、SSHのサービス名と設定の読み込み順、FW、署名付き更新、ログ、時刻同期、コンソール復旧の方法を対象OS上で調べます。
すべての操作に実行場所（クライアント、サーバー、復旧コンソール）を書き、前提と置換変数を説明します。たとえば SERVER、PORT、ADMIN_USER、CLIENT_IP、KEY_PATH がどの機器の値なのかを示し、クライアント用とサーバー用のコマンドを分けます。
テンプレートの各SEC欄は実行するまで「未検証」のままです。機能の有無や設定名を調べただけでは、受け入れ結果にしません。
03 / 安全に実行して確かめる
最初に管理者ログイン、sudo、復旧コンソールを確認します。SSH鍵を登録したら、元のSSHセッションを保ったまま別セッションからログインを試します。新規接続を確かめる前に元の接続を閉じません。
SSHの鍵限定・root拒否・誤った鍵の拒否を確認し、構文と有効設定も調べます。FWでは管理元からのSSH許可を追加してから既定拒否を有効にし、既存と新規の接続を確認します。無害なテストサービスが実際に待ち受けていることをサーバー側で確認したうえで、未許可ポートへの接続が遮断されることを外部から試します。
失敗に備えて、コンソールから戻せるSSH/FW設定とロールバック手順を先に用意します。更新は署名検証の状態、更新確認、実際の適用、再起動の要否、再起動後の結果を分けます。dry-runは適用結果ではありません。
04 / 結果と証拠を残す
各基準の結果は「受け入れ」「想定どおり拒否」「失敗」「未実行」に分け、日時、OS、実行場所、コマンドや観察結果、終了コード、証拠の保存先を記録します。拒否試験では正しい接続が通ることも確かめ、失敗が認証・FW・ネットワーク経路のどれによるかを区別します。
スクリーンショットは実画面を直接撮影して元ログと対応付けます。ファイル名、撮影時刻と方法、SHA-256ハッシュを残し、画面を描き直したり出力を作ったりしません。秘密鍵、パスフレーズ、トークン、復旧バックアップ、秘密を含むログはGitにも公開サイトにも置きません。
05 / ページを整えて公開する
準備、基本設定、OS導入、初回起動、SSH、FW、更新と運用、検証記録を役割ごとに分けます。各ページには目的、SEC-ID、実行場所、前提、変数、操作、成功条件、失敗時の対処、ロールバックと次のページへのリンクを記載します。
未確認の機能やネットワーク到達性を、別OSの検証結果から確認済みにしないでください。ページと画像のリンク、モバイル表示、ビルド、公開後の結果をそれぞれ確認し、ローカル・CI・公開サイトでの結果を区別します。