Linux側でやったこと#
先日に引き続き、Linux側の環境を整えたときのメモです。
ディストロはCachyOSにしました。
セキュリティ#
- AppArmor
- apparmorとapparmor.d-gitを入れてサービスをenableにする
- 2026/09/08現在、git版でないとファイルマネージャ（Dolphin）が右クリック時にエラーを吐く
- UFW
- 受信拒否・送信許可（デフォルトで設定済）
- 念の為、非セキュアなSMTP（25）やFTP（21）とかデータベースアクセス（3306・5432）とかを遮断しておく
- セキュアDNS
/etc/systemd/resolved.confの[Resolve]項にDNSOverTLS=yesを追加するyesは強制なので、任意にしたいならopportunisticにする
- PINコード
- AURからpam_pinlock-gitをインストールする
- 設定は中身を見て流れを辿りながら行った
/etc/pam.d/system-local-loginの先頭にauth sufficient pam_pinlock.so retries=1を追加- ロック解除などの一般権限用
/etc/pam.d/system-authのpam_unix.soの手前にauth sufficient pam_pinlock.so pin_dir=/var/lib/pinlock [prompt="Admin PIN: "] retries=1を追加- sudoなどの管理者権限用
- 一般権限のPINコードを作る
pinlockctl set ユーザー名で作成pinlockctl check ユーザー名で確認
- 管理者権限のPINコードを作る
sudo install -d -m 700 /var/lib/pinlockでディレクトリを作成sudo pinlockctl --pin-dir /var/lib/pinlock set ユーザー名で作成sudo pinlockctl --pin-dir /var/lib/pinlock check ユーザー名で確認
- OpenSnitch
- アプリケーションレベルでネットワーク通信の許可不許可を設定できるツール
- 万が一のために不明な通信をその場で止める目的で使いたい
- 導入はインストールしてサービスをenableにするだけ
- 未知の通信が検知されるとGUIで通知がくるので、その都度、許可不許可を判断する
省電力化#
- amd-pstate
- 必須オプションがUEFIになかったので諦め
- TLP
- 色々試したが、powertopのGood数でTLPが一番良かった
- power-profiles-daemonはGUIから操作できなかったので不採用
- tunedはGPU周りが省電力モードにしてくれなかったので不採用
powertop --auto-tuneは無線マウスの切断が頻発して使い物にならなくなるので不採用
- tlpとtlp-pdを入れてサービスをenableにする
- tlp-pdはGUIで操作できるようにするためのもの
- 起動時にパワーセーブモードにしたいので、
TLP_AUTO_SWITCH=0とTLP_PROFILE_DEFAULT=SAVを/etc/tlp.confに書き込む tlp-stat -sで確認
- 色々試したが、powertopのGood数でTLPが一番良かった
- RCU lazy
rcutree.enable_rcu_lazy=1 rcu_nocbs=allをカーネルパラメータに追加する- Limineでは
/etc/default/limineのKERNEL_CMDLINE[default]="..."のところ sudo mkinitcpioでブートメニューを再生成させるcat /proc/cmdlineで確認
- Limineでは
cat /sys/module/rcutree/parameters/enable_rcu_lazyで確認
ツール#
- Mozc
- パッケージを入れて、キーボードレイアウトを変更して、Windows側で使っていた設定をインポートする
- OADG109Aは円マークが￥のままで出てくるので、ただの日本語を選択すること
- フォント
- BIZ UDをGoogle Fontsからダウンロードしてインストールする
- 0xProtoはNerd版が公式リポジトリにあるのでそれをインストールする
- VSCode
- プロプライエタリ版を使いたいので、AURのvisual-studio-code-binをインストールする
- fish
- 起動時に出てくるやつをconfigで無効化
- ホームの各ディレクトリを英語名に変える
LANG=C xdg-user-dirs-update
- KDE Wallet
/usr/lib/pam.d/plasmaloginを/etc/pam.d/にコピーして、pam_kwallet5.soのコメントアウトを外す- デフォルトのウォレットはblowfish暗号のほうで作る
- （あれば、）gnome-keyringを削除する
- ksshaskpassを入れて、
~/.config/environment.d/ssh_askpass.confに以下を追加SSH_ASKPASS=/usr/bin/ksshaskpassSSH_ASKPASS_REQUIRE=prefer
- ウォレットマネージャーの設定で
KWalletをSecret Serviceインターフェースとして使用するをオンにする ~/.local/share/dbus-1/services/org.freedesktop.secrets.serviceに以下を追加[D-BUS Service]Name=org.freedesktop.secretsExec=/usr/bin/kwalletd6
- secret service経由の認証情報はウォレットアプリからは見えないので、KeepSecretアプリを使うこと