24.4. カスタム IMA 鍵で署名された IMA ポリシーの読み込み

手順

1. カスタム IMA コード署名鍵を .ima キーリングに追加します。

   # keyctl padd asymmetric <KEY_SUBJECT> %:.ima < <PATH_TO_YOUR_CUSTOM_IMA_KEY>

   Copy to Clipboard Toggle word wrap

2. IMA ポリシーを準備し、カスタム IMA コード署名鍵で署名します。

   # evmctl ima_sign <PATH_TO_YOUR_CUSTOM_IMA_POLICY> -k <PATH_TO_YOUR_CUSTOM_IMA_KEY>

   Copy to Clipboard Toggle word wrap

3. 署名した IMA ポリシーを読み込みます。

   # echo <PATH_TO_YOUR_CUSTOM_SIGNED_IMA_POLICY> > /sys/kernel/security/ima/policy
   # echo $?
   0

   Copy to Clipboard Toggle word wrap

   0

   IMA ポリシーが正常に読み込まれたことを示します。コマンドがゼロ以外の値を返した場合、IMA ポリシーは正常に読み込まれていません。

   警告

   この手順をスキップしないでください。スキップすると、システムが起動しなくなり、システムの回復が必要になる場合があります。

   IMA ポリシーの読み込みに失敗した場合は、ステップ 2 と 3 を繰り返して問題を修正します。

4. 署名した IMA ポリシーを /etc/ima/ima-policy にコピーして、起動時に systemd が自動的にそのポリシーを読み込めるようにします。

   # cp --preserve=xattr <PATH_TO_YOUR_CUSTOM_IMA_POLICY> /etc/ima/ima-policy

   Copy to Clipboard Toggle word wrap

5. dracut の整合性モジュールを使用して、起動時にカスタム IMA コード署名鍵を .ima キーリングに自動的に追加します。

   # cp <PATH_TO_YOUR_CUSTOM_IMA_KEY> /etc/keys/ima/
   # cp --preserve=xattr /usr/share/ima/dracut-98-integrity.conf /etc/dracut.conf.d/98-integrity.conf
   # dracut -f

   Copy to Clipboard Toggle word wrap

   • s390x システムの場合は、さらに以下を実行します。

     # zipl

     Copy to Clipboard Toggle word wrap