第24章 カーネル整合性サブシステムの拡張、カスタマイズ、およびトラブルシューティング

手順

1. rpm-plugin-ima をインストールします。

   $ sudo dnf install rpm-plugin-ima -yq

   これにより、パッケージのインストール、再インストール、またはアップグレード時に、パッケージファイルの IMA 署名が security.xattr に自動的に保存されます。

2. すべてのパッケージを再インストールします。

   $ sudo dnf reinstall "*" -y

   これにより、すべてのパッケージの security.xattr 拡張属性が確実に更新されます。

3. dracut の整合性モジュールを有効にすると、起動時に /etc/keys/ima 内の正式な IMA コード署名鍵が自動的に読み込まれます。

   $ sudo dracut -f

手順

1. オプション: 選択した IMA 評価ポリシーを有効にします。カスタムポリシーのみを使用する場合は、この手順をスキップしてください。組み込みの ima_policy=appraise_tcb を例として使用します。

   # grubby --update-kernel=/boot/vmlinuz-$(uname -r) --args="ima_policy=appraise_tcb"

   • s390x システムの場合は、さらに以下を実行します。

     # zipl

2. ima_appraise=fix カーネルコマンドラインパラメーターを追加して、IMA 評価の修正モードを有効にします。

   # grubby --update-kernel=/boot/vmlinuz-$(uname -r) --args="ima_appraise=fix"

   • s390x システムの場合は、さらに以下を実行します。

     # zipl

3. システムを再起動します。

   # reboot

4. オプション: カスタム IMA ポリシーを読み込みます。

   # echo <path_to_your_custom_ima_policy> > /sys/kernel/security/ima/policy

5. システム全体のラベルを付け直します。

   # find / -fstype xfs -type f -uid 0 -exec head -c 0 '{}' \;

6. ima_appraise=fix カーネルコマンドラインパラメーターを削除して、IMA 評価の修正モードをオフにします。

   # grubby --update-kernel=/boot/vmlinuz-$(uname -r) --remove-args="ima_appraise=fix"

   • s390x システムの場合は、さらに以下を実行します。

     # zipl

7. セキュアブートが無効になっている場合は有効にします。