5.3.3. システムを特定のベースラインに合わせるための修復用 Ansible Playbook の作成

手順

1. システムをスキャンして結果を保存します。

   # oscap xccdf eval --profile <profile_ID> --results <profile_results.xml> /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

   * <profile_ID> は、システムが準拠する必要があるプロファイル ID (例: hipaa) に置き換えます。* <profile_results.xml> は、oscap の結果を保存するファイルへのパスに置き換えます。

2. 結果が含まれるファイルで、結果 ID の値を見つけます。

   # oscap info <profile_results.xml>

3. ステップ 1 で生成されたファイルに基づいて Ansible Playbook を生成します。

   # oscap xccdf generate fix --fix-type ansible --result-id xccdf_org.open-scap_testresult_xccdf_org.ssgproject.content_profile_<profile_ID> --output <profile_remediations.yml> <profile_results.xml>

   <profile_remediations.yml> は、oscap によるスキャンで不合格となったルールを保存するファイルへのパスに置き換えます。

4. 生成された <profile_remediations.yml> ファイルを確認します。

5. Ansible を使用して、選択したプロファイルに準拠するようにシステムを修正します。

   # ANSIBLE_COLLECTIONS_PATH=/usr/share/rhc-worker-playbook/ansible/collections/ansible_collections/ ansible-playbook -i "localhost," -c local <profile_remediations.yml>`

   このコマンドで Playbook を実行するには、ANSIBLE_COLLECTIONS_PATH 環境変数が必要です。

   警告

   修復機能は、デフォルト設定の RHEL システムでサポートされています。インストール後に変更されたシステムを修復すると、システムが機能しなくなったり、必要なセキュリティープロファイルへの準拠が失われたりする可能性があります。Red Hat は、セキュリティーハードニング関連の修復によって行われた変更を自動的に元に戻す方法は提供していません。

   修復を実稼働システムに適用する前に、その影響をテストしてください。