10.2. 強化されたブート可能イメージのカスタマイズ

前提条件

• container-tools メタパッケージがインストールされている。
• プロファイルのカスタマイズファイルがある。詳細は、SCAP Workbench を使用したセキュリティープロファイルのカスタマイズ を 参照してください。

• イメージにテーラリングファイルを注入します。
• oscap-im ツールを提供する openscap-utils パッケージと、Security Content Automation Protocol (SCAP) コンテンツを含むデータストリームを提供する scap-security-guide パッケージをインストールします。
• SSH ルートログインを阻止するプロファイルに sudoer 権限を持つユーザーを追加します。

• 選択されたプロファイルに準拠して、イメージのスキャンと修復を行います。

  1. カレントディレクトリーにある Containerfile を使用してイメージをビルドします。

     $ podman build -t quay.io/<namespace>/<image>:<tag> .

検証

• すべてのイメージをリスト表示します。

  $ podman images
  REPOSITORY                                  TAG      IMAGE ID       CREATED              SIZE
  quay.io/<namespace>/<image>                 <tag>   b28cd00741b3   About a minute ago   2.1 GB

次のステップ

• 通常のブート可能イメージのデプロイメント方法のいずれかを使用して、強化されたブート可能イメージをデプロイできます。詳細は、RHEL bootc イメージのデプロイ を参照してください。

  ただし、デプロイメント方法は、対象システムのコンプライアンス状態に影響を与える可能性があります。

  注記

  bootc-image-builder のブループリントや Anaconda のキックスタートでデプロイメント時に行われた一部のカスタマイズは、コンテナーイメージに含まれる設定と干渉する可能性があります。セキュリティーポリシーの要件と競合するカスタマイズは使用しないでください。

• パッケージモード RHEL と同じ構文と使用法で oscap ツールを使用して、Image Mode RHEL で実行中のシステムのコンプライアンスを検証できます。詳細は、設定コンプライアンススキャン を参照してください。