24.2. カスタム IMA ポリシーの作成

カーネルコマンドラインパラメーター (ima_policy=tcb や ima_policy=critical_data など) を使用して有効にする組み込みの IMA ポリシー、または /usr/share/ima/policies/ 内のサンプルポリシーが要件に合わない場合は、カスタムの IMA ポリシールールを作成できます。systemd が /etc/ima/ima-policy からポリシーを読み込むと、組み込みの IMA ポリシーが置き換えられます。

IMA ポリシールールでは、action [condition …​] という形式を使用して、特定の条件下でトリガーされるアクションを指定します。たとえば、/usr/share/ima/policies/01-appraise-executable-and-lib-signatures のサンプルポリシーには、次のルールが含まれています。

# Skip some unsupported filesystems
# For a list of these filesystems, see
https://www.kernel.org/doc/Documentation/ABI/testing/ima_policy
# PROC_SUPER_MAGIC
dont_appraise fsmagic=0x9fa0
…
appraise func=BPRM_CHECK appraise_type=imasig

# Skip some unsupported filesystems
# For a list of these filesystems, see
# https://www.kernel.org/doc/Documentation/ABI/testing/ima_policy
# PROC_SUPER_MAGIC
dont_appraise fsmagic=0x9fa0
…
appraise func=BPRM_CHECK appraise_type=imasig

最初のルール dont_appraise fsmagic=0x9fa0 は、PROC_SUPER_MAGIC ファイルシステム内のファイルの評価をスキップするように IMA に指示します。最後のルール appraise func=BPRM_CHECK appraise_type=imasig は、ファイルの実行時に署名の検証を強制します。