Ubuntu 26.04 サーバー初期設定10項目｜SSH・UFW・自動更新・タイムゾーンまで

この記事のポイント

・初期設定はSSH鍵→UFW→自動更新の順で進めるのが事故が少ない
・apt updateより先にミラーをjp.archive/jaistへ切り替えると速い
・sshd_configはPasswordAuthentication noの前に必ず鍵で疎通確認
・unattended-upgradesでセキュリティ更新だけ自動化するのが現実解

# 既存のsources.listをバックアップする
$ sudo cp /etc/apt/sources.list.d/ubuntu.sources /etc/apt/sources.list.d/ubuntu.sources.bak

# sedでミラーを一括置換する（jaistの場合）
$ sudo sed -i 's|http://archive.ubuntu.com/ubuntu|https://ftp.jaist.ac.jp/pub/Linux/ubuntu|g' /etc/apt/sources.list.d/ubuntu.sources
$ sudo sed -i 's|http://security.ubuntu.com/ubuntu|https://ftp.jaist.ac.jp/pub/Linux/ubuntu|g' /etc/apt/sources.list.d/ubuntu.sources

# パッケージリストを更新する
$ sudo apt update
ヒット:1 https://ftp.jaist.ac.jp/pub/Linux/ubuntu plucky InRelease
取得:2 https://ftp.jaist.ac.jp/pub/Linux/ubuntu plucky-updates InRelease [110 kB]
取得:3 https://ftp.jaist.ac.jp/pub/Linux/ubuntu plucky-security InRelease [110 kB]
パッケージリストを読み込んでいます... 完了

# 既存パッケージをアップグレードする
$ sudo apt upgrade -y

# 現在のタイムゾーンを確認する
$ timedatectl
               Local time: Fri 2026-04-24 10:23:45 UTC
           Universal time: Fri 2026-04-24 10:23:45 UTC
                 Time zone: Etc/UTC (UTC, +0000)
 System clock synchronized: yes
              NTP service: active

# Asia/Tokyoに変更する
$ sudo timedatectl set-timezone Asia/Tokyo

# 変更を確認する
$ timedatectl | grep "Time zone"
                 Time zone: Asia/Tokyo (JST, +0900)

# 現在のロケールを確認する
$ locale
LANG=C.UTF-8
LANGUAGE=
LC_CTYPE="C.UTF-8"
...

# 日本語ロケールを生成する
$ sudo locale-gen ja_JP.UTF-8
$ sudo update-locale LANG=ja_JP.UTF-8

# 再ログイン後に反映を確認する
$ locale | grep LANG
LANG=ja_JP.UTF-8

# 現在のホスト名を確認する
$ hostnamectl
 Static hostname: ubuntu
       Icon name: computer-vm
         Chassis: vm
      Machine ID: 9a8b7c6d5e4f3a2b1c0d9e8f7a6b5c4d
         Boot ID: 1234567890abcdef1234567890abcdef
  Virtualization: kvm
Operating System: Ubuntu 26.04 LTS
          Kernel: Linux 6.14.0-15-generic
    Architecture: x86-64

# ホスト名を変更する
$ sudo hostnamectl set-hostname web01.example.local

# hostsファイルにエントリを追加する
$ sudo vi /etc/hosts

# /etc/hostsの編集例
127.0.0.1       localhost
127.0.1.1       web01.example.local web01
::1             localhost ip6-localhost ip6-loopback

# クライアント側で鍵ペアを生成する（Ed25519推奨）
$ ssh-keygen -t ed25519 -C "your_email@example.com"
Generating public/private ed25519 key pair.
Enter file in which to save the key (/home/user/.ssh/id_ed25519):
Enter passphrase (empty for no passphrase): ********
Enter same passphrase again: ********
Your identification has been saved in /home/user/.ssh/id_ed25519
Your public key has been saved in /home/user/.ssh/id_ed25519.pub

# 公開鍵をサーバーへコピーする
$ ssh-copy-id user@192.168.1.45

# サーバー側で.sshディレクトリを作成する
$ mkdir -p ~/.ssh
$ chmod 700 ~/.ssh

# authorized_keysに公開鍵を追記する
$ vi ~/.ssh/authorized_keys
$ chmod 600 ~/.ssh/authorized_keys

# sshd_configを編集する
$ sudo vi /etc/ssh/sshd_config

# 該当行を以下のように変更する
PasswordAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
PermitEmptyPasswords no

# 設定の構文チェック
$ sudo sshd -t

# サービスを再起動する
$ sudo systemctl restart ssh

# 現在のUFWの状態を確認する
$ sudo ufw status
状態: 非アクティブ

# デフォルトポリシーを設定する
$ sudo ufw default deny incoming
$ sudo ufw default allow outgoing

# SSH(22)・HTTP(80)・HTTPS(443)を許可する
$ sudo ufw allow 22/tcp comment 'SSH'
$ sudo ufw allow 80/tcp comment 'HTTP'
$ sudo ufw allow 443/tcp comment 'HTTPS'

# UFWを有効化する
$ sudo ufw enable
コマンドは既存のssh接続を中断する可能性があります。続行しますか (y|n)? y
ファイアウォールはアクティブかつシステム起動時に有効化されます。

# ルールを確認する
$ sudo ufw status verbose
状態: アクティブ
ロギング: on (low)
デフォルト: deny (incoming), allow (outgoing), disabled (routed)
新しいプロファイル: skip

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW IN    Anywhere
80/tcp                     ALLOW IN    Anywhere
443/tcp                    ALLOW IN    Anywhere

# オフィスIPからのみSSH許可
$ sudo ufw allow from 203.0.113.10 to any port 22 proto tcp

# 既存の22/tcpルールを削除する
$ sudo ufw status numbered
$ sudo ufw delete 1

# unattended-upgradesをインストールする（多くの場合プリインストール済み）
$ sudo apt install -y unattended-upgrades apt-listchanges

# 設定ファイルを生成する（対話モードでEnableを選択）
$ sudo dpkg-reconfigure --priority=low unattended-upgrades

# 設定内容を確認する
$ cat /etc/apt/apt.conf.d/50unattended-upgrades | grep -E '^[^/]' | head -20
Unattended-Upgrade::Allowed-Origins {
        "${distro_id}:${distro_codename}";
        "${distro_id}:${distro_codename}-security";
        "${distro_id}ESMApps:${distro_codename}-apps-security";
        "${distro_id}ESM:${distro_codename}-infra-security";
};

# テスト実行（実際には適用しない、ログに何が更新されるか出力）
$ sudo unattended-upgrades --dry-run --debug

# 実行ログを確認する
$ sudo tail -30 /var/log/unattended-upgrades/unattended-upgrades.log

# 一般ユーザーを作成する
$ sudo adduser deploy
ユーザー `deploy' を追加しています...
新しいユーザー `deploy' (1001) をグループ `deploy' (1001) で追加しています...
ホームディレクトリ `/home/deploy' を作成しています...
新しい UNIX パスワードを入力してください: ********
新しい UNIX パスワードを再入力してください: ********
passwd: パスワードは正しく更新されました

# sudoグループに追加する
$ sudo usermod -aG sudo deploy

# 確認
$ id deploy
uid=1001(deploy) gid=1001(deploy) groups=1001(deploy),27(sudo)

# 専用ファイルで管理する（推奨）
$ sudo visudo -f /etc/sudoers.d/deploy

# 以下を記述
deploy ALL=(ALL) NOPASSWD:ALL

# 現在のDNS設定を確認する
$ resolvectl status
Global
       Protocols: -LLMNR -mDNS -DNSOverTLS DNSSEC=no/unsupported
resolv.conf mode: stub

Link 2 (enp0s3)
    Current Scopes: DNS
         Protocols: +DefaultRoute +LLMNR -mDNS -DNSOverTLS DNSSEC=no/unsupported
Current DNS Server: 192.168.1.1
       DNS Servers: 192.168.1.1

# 名前解決のテスト
$ resolvectl query www.google.com
www.google.com: 142.250.207.36                 -- link: enp0s3
                2404:6800:4004:818::2004       -- link: enp0s3

# netplan設定ファイルを確認する
$ ls /etc/netplan/
01-network-manager-all.yaml

# DNSを固定する設定例
$ sudo vi /etc/netplan/01-netcfg.yaml
network:
  version: 2
  ethernets:
    enp0s3:
      dhcp4: true
      nameservers:
        addresses: [1.1.1.1, 8.8.8.8]

# 設定を反映する
$ sudo netplan apply

# 現在のジャーナルサイズを確認する
$ journalctl --disk-usage
Archived and active journals take up 168.0M in the file system.

# 最大サイズを設定する（/etc/systemd/journald.confを編集）
$ sudo vi /etc/systemd/journald.conf

# 該当行のコメントを外して値を設定
SystemMaxUse=500M
SystemKeepFree=1G

# 設定を反映する
$ sudo systemctl restart systemd-journald

# 古いジャーナルを掃除する
$ sudo journalctl --vacuum-time=30d
$ sudo journalctl --vacuum-size=200M

# 1. OSバージョン
$ lsb_release -a
Distributor ID: Ubuntu
Description:    Ubuntu 26.04 LTS
Release:        26.04

# 2. タイムゾーンとNTP
$ timedatectl | grep -E 'Time zone|synchronized'
                 Time zone: Asia/Tokyo (JST, +0900)
 System clock synchronized: yes

# 3. ホスト名
$ hostnamectl --static
web01.example.local

# 4. SSHのリッスン状態
$ sudo ss -tlnp | grep ssh
LISTEN 0  128  0.0.0.0:22  0.0.0.0:*  users:(("sshd",pid=1234,fd=3))

# 5. SSH設定の確認
$ sudo sshd -T | grep -E 'passwordauthentication|permitrootlogin|pubkeyauthentication'
permitrootlogin no
pubkeyauthentication yes
passwordauthentication no

# 6. UFWの状態
$ sudo ufw status verbose

# 7. unattended-upgradesの動作
$ systemctl is-active unattended-upgrades
active

# 8. DNS解決
$ resolvectl query www.google.com

# 9. 起動済みサービス一覧
$ systemctl list-units --type=service --state=running --no-pager | head

# 10. 直近のエラーログ
$ sudo journalctl -p err -n 20 --no-pager