21.10. UEFI システム用のカスタム署名付き IMA ポリシーのデプロイ
セキュアブート環境では、カスタム IMA 鍵で署名された署名付き IMA ポリシーのみをロードすることをお勧めします。
前提条件
- MOK リストにカスタム IMA 鍵が含まれている。ガイダンスについては、公開鍵を MOK リストに追加することでターゲットシステムで公開鍵を登録する手順 を参照してください。
- システムにインストールされているカーネルのバージョンが 5.14.0-335 以降である。
手順
- Secure Boot を有効にします。
ima_policy=secure_bootカーネルパラメーターを永続的に追加します。手順については、sysctl を使用したカーネルパラメーターの永続的な設定 を参照してください。
次のコマンドを実行して、IMA ポリシーを準備します。
# evmctl ima_sign /etc/sysconfig/ima-policy -k <PATH_TO_YOUR_CUSTOM_IMA_KEY> Place your public certificate under /etc/keys/ima/ and add it to the .ima keyring次のコマンドを実行して、カスタム IMA コード署名鍵を使用してポリシーに署名します。
# keyctl padd asymmetric CUSTOM_IMA1 %:.ima < /etc/ima/keys/my_ima.cer次のコマンドを実行して、IMA ポリシーをロードします。
# echo /etc/sysconfig/ima-policy > /sys/kernel/security/ima/policy # echo $? 0
