6.11. 特定のベースラインを使用したコンテナーまたはコンテナーイメージのセキュリティーコンプライアンスの評価
コンテナーまたはコンテナーイメージが、Operating System Protection Profile (OSPP)、Payment Card Industry Data Security Standard (PCI-DSS)、Health Insurance Portability and Accountability Act (HIPAA) などの特定のセキュリティーベースラインに準拠しているかどうかを評価できます。
注記
oscap-podman コマンドは、RHEL 8.2 で利用できます。RHEL 8.1 および 8.0 の場合は、ナレッジベースの記事 Using OpenSCAP for scanning containers in RHEL 8 で説明されている回避策を利用します。
前提条件
-
openscap-utilsパッケージおよびscap-security-guideパッケージがインストールされている。 - システムへの root アクセス権があります。
手順
コンテナーまたはコンテナーイメージの ID を見つけます。
-
コンテナーの ID を見つけるには、
podman ps -aコマンドを入力します。 -
コンテナーイメージの ID を見つけるには、
podman imagesコマンドを入力します。
-
コンテナーの ID を見つけるには、
コンテナーまたはコンテナーイメージがプロファイルに準拠しているかどうかを評価し、スキャン結果をファイルに保存します。
# oscap-podman <ID> xccdf eval --report <scan-report.html> --profile <profileID> /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml以下を置き換えます。
-
<ID>は、コンテナーまたはコンテナーイメージの ID です。 -
<scan-report.html>は、oscapがスキャン結果を保存するファイル名です。 -
<profileID>は、システムが準拠する必要があるプロファイル ID (例:hipaa、ospp、pci-dss) です。
-
検証
結果をブラウザーで確認します。以下に例を示します。
$ firefox <scan-report.html> &
注記
notapplicable とマークされたルールは、ベアメタルおよび仮想化システムにのみ適用され、コンテナーまたはコンテナーイメージには適用されません。
関連情報
-
oscap-podman(8)およびscap-security-guide(8)の man ページ。 -
/usr/share/doc/scap-security-guide/ディレクトリー。
