5.4. キックスタートを使用した RHEL のハードニングインストール

手順

1. データストリームファイルからセキュリティープロファイルの ID を見つけます。

   $ oscap info /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml
   Profiles:
   …
     Title: Australian Cyber Security Centre (ACSC) Essential Eight
   	Id: xccdf_org.ssgproject.content_profile_e8
     Title: Health Insurance Portability and Accountability Act (HIPAA)
   	Id: xccdf_org.ssgproject.content_profile_hipaa
     Title: PCI-DSS v3.2.1 Control Baseline for Red Hat Enterprise Linux 10
   	Id: xccdf_org.ssgproject.content_profile_pci-dss
   …

   Copy to Clipboard Toggle word wrap
2. オプション: XCCDF テーラリングファイルを使用してハードニングをカスタマイズする場合は、openscap-utils パッケージで提供される autotailor コマンドを使用できます。詳細は、autotailor を使用したセキュリティープロファイルのカスタマイズ を参照してください。

3. SCAP ソースデータストリームからキックスタートファイルを生成します。

   $ oscap xccdf generate fix --profile <profile_ID> --output <kickstart_file>.cfg --fix-type kickstart /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

   Copy to Clipboard Toggle word wrap

   テーラリングファイルを使用する場合は、--tailoring-file tailoring.xml オプションとカスタムプロファイル ID を使用して、生成されたキックスタートファイルにテーラリングファイルを埋め込みます。次に例を示します。

   $ oscap xccdf generate fix --tailoring-file tailoring.xml --profile <custom_profile_ID> --output <kickstart_file>.cfg --fix-type kickstart ./ssg-rhel10-ds.xml

   Copy to Clipboard Toggle word wrap

4. 生成された <kickstart_file>.cfg を確認し、デプロイメントのニーズに合わせて必要に応じて手動で変更します。ファイル内のコメントの指示に従ってください。

   注記

   変更の内容によっては、キックスタートファイルによってインストールされるシステムのコンプライアンスに影響が及ぶ可能性があります。たとえば、一部のセキュリティーポリシーには、定義済みのパーティションや特定のパッケージおよびサービスが必要です。

5. インストール用のキックスタートファイルを使用します。インストーラーがキックスタートを使用できるように、キックスタートを Web サーバー経由で提供するか、PXE で提供するか、ISO イメージに埋め込みます。詳細な手順については、「RHEL の自動インストール」ドキュメントの RHEL の完全自動および半自動インストール の章を参照してください。
6. インストールが完了すると、システムが自動的に再起動します。再起動後、ログインして、/root ディレクトリーに保存されているインストール SCAP レポートを確認します。