26.3. IMA 測定によるリモートアテステーションの有効化

手順

1. rpm-plugin-ima パッケージをインストールします。

   # dnf install rpm-plugin-ima

2. サンプルポリシーの IMA 署名が拡張属性に格納されるように、ima-evm-utils パッケージを再インストールします。

   # dnf reinstall ima-evm-utils

3. IMA 署名が格納されていることを確認します。

   # evmctl ima_verify -k /etc/keys/ima/redhatimarelease-10.der /usr/share/ima/policies/02-keylime-remote-attestation

   keyid d3320449 (from /etc/keys/ima/redhatimarelease-10.der)
   key 1: d3320449 /etc/keys/ima/redhatimarelease-10.der
   /usr/share/ima/policies/02-keylime-remote-attestation: verification is OK

4. 拡張属性を保持したまま署名済みの測定ポリシーを /etc/ima/ima-policy にコピーして、systemd が起動時にそのポリシーを自動的に読み込むようにします。

   # cp --preserve=xattr /usr/share/ima/policies/02-keylime-remote-attestation /etc/ima/ima-policy

5. IMA 鍵が起動時に読み込まれるように、dracut の integrity モジュールを有効にします。

   # cp --preserve=xattr /usr/share/ima/dracut-98-integrity.conf /etc/dracut.conf.d/ima.conf

6. initramfs を再生成して integrity モジュールを含めます。

   # dracut -f

   • s390x システムでは、次回の IPL (初期プログラムロード) で変更を適用するために、zipl コマンドも実行します。

     # zipl

7. 再起動して IMA 鍵を読み込ませます。

   # systemctl reboot

   警告

   セキュアブートが有効なシステムでは、カーネルは署名されていない IMA ポリシーを受け入れません。IMA コード署名鍵がカーネルで利用可能になる前にポリシーを読み込ませると、読み込みが失敗し、次回の再起動時にハングする可能性があります。したがって、鍵が利用可能になった後にポリシーを読み込ませる必要があります。

   サンプルポリシーが要件に合わない場合は、カスタム IMA 鍵で署名された IMA ポリシーの読み込み を参照してください。