8.11. atomic scanを使用したコンテナーイメージとコンテナーの設定コンプライアンスのスキャンと修正

手順

1. configuration_compliance スキャン用に OpenSCAP イメージによって提供される SCAP コンテンツを一覧表示します。

   ~]# atomic help registry.access.redhat.com/rhel7/openscap

   最新の Red Hat Enterprise Linux 7 コンテナーイメージの米国国防情報システム局のセキュリティー技術実装ガイド (DISA STIG) ポリシーへの準拠を検証し、スキャンから HTML レポートを生成します。

   ~]# atomic scan --scan_type configuration_compliance --scanner_args xccdf-id=scap_org.open-scap_cref_ssg-rhel7-xccdf-1.2.xml,profile=xccdf_org.ssgproject.content_profile_stig-rhel7-disa,report registry.access.redhat.com/rhel7:latest

   上記のコマンドの出力の最後には、スキャンに関連するファイルの情報が含まれています。

   ............
   
   Files associated with this scan are in /var/lib/atomic/openscap/2017-11-03-13-35-34-296606.
   
   ~]# tree /var/lib/atomic/openscap/2017-11-03-13-35-34-296606
   /var/lib/atomic/openscap/2017-11-03-13-35-34-296606
   ├── db7a70a0414e589d7c8c162712b329d4fc670fa47ddde721250fb9fcdbed9cc2
   │   ├── arf.xml
   │   ├── fix.sh
   │   ├── json
   │   └── report.html
   └── environment.json
   
   1 directory, 5 files

   atomic scan は、/var/lib/atomic/openscap/ ディレクトリーのスキャンからすべての結果とレポートを含むサブディレクトリーを生成します。設定準拠のため、スキャンごとに結果を含む arf.xml ファイルが生成されます。人間が判読可能な HTML 形式のレポートファイルを生成するには、report サブオプシ ョンを --scanner_args オプションに追加してください。
2. オプション： DISA STIG Viewer が読み取り可能な XCCDF 結果を生成するには、stig-viewer サブオプションを --scanner_args オプションに追加します。この結果は、stig.xml に配置されます。

手順

1. configuration_compliance スキャン用に OpenSCAP イメージによって提供される SCAP コンテンツを一覧表示します。

   ~]# atomic help registry.access.redhat.com/rhel7/openscap

2. 指定したポリシーにコンテナーイメージを修復するには、設定コンプライアンスをスキャンするときに --remediate オプションを atomic scan コマンドに追加します。次のコマンドは、Red Hat Enterprise Linux 7 コンテナーイメージから DISA STIG ポリシーに準拠した新しい修復済みコンテナーイメージをビルドします。

   ~]# atomic scan --remediate --scan_type configuration_compliance --scanner_args profile=xccdf_org.ssgproject.content_profile_stig-rhel7-disa,report registry.access.redhat.com/rhel7:latest 
   
   registry.access.redhat.com/rhel7:latest (db7a70a0414e589)
   
   The following issues were found:
   ............
   	 Configure Time Service Maxpoll Interval
   	 Severity: Low
   		 XCCDF result: fail
   
   	 Configure LDAP Client to Use TLS For All Transactions
   	 Severity: Moderate
   		 XCCDF result: fail
   ............
   Remediating rule 43/44: 'xccdf_org.ssgproject.content_rule_chronyd_or_ntpd_set_maxpoll'
   Remediating rule 44/44: 'xccdf_org.ssgproject.content_rule_ldap_client_start_tls'
   
   Successfully built 9bbc7083760e
   Successfully built remediated image 9bbc7083760e from db7a70a0414e589d7c8c162712b329d4fc670fa47ddde721250fb9fcdbed9cc2.
   
   Files associated with this scan are in /var/lib/atomic/openscap/2017-11-06-13-01-42-785000.
   

3. オプション： atomic scan コマンドの出力は、修復されたイメージ ID を報告します。イメージを覚えやすくするために、以下のような名前を付けてください。

   ~]# docker tag 9bbc7083760e rhel7_disa_stig