FedRAMP に準拠した RHEL システムのセキュリティーポリシーコンプライアンスの評価および監視

手順

1. Security > Compliance > SCAP policies ページに移動します。
2. 編集するポリシーを見つけます。
3. ポリシー名をクリックします。これにより、ポリシー詳細ビューが開きます。

4. 鉛筆アイコンが表示されている場合は、アイコンをクリックしてそのフィールドの詳細を編集できます。編集可能なフィールドには以下が含まれます。

   • コンプライアンスのしきい値
   • ビジネスの目的
   • ポリシーの説明
5. フィールドを編集したら、フィールドの右側にある青いチェックマークをクリックし、入力を保存します。

手順

1. Security > Compliance > SCAP policies ページに移動します。
2. 編集するポリシーを見つけます。
3. ポリシー行の右側にある More actions アイコン をクリックし、Edit policy をクリックします。
4. Edit ポップアップで Rules タブをクリックします。

5. RHEL マイナーバージョンをクリックします。

   重要

   RHEL のマイナーバージョンごとに異なる SCAP Security Guide (SSG) バージョンが存在するため、RHEL のマイナーバージョンごとにルールを編集する必要があります。

6. Name フィルターおよび search 関数を使用して、削除するルールを見つけます。

   注記

   Name プライマリーフィルターを選択した状態で、ルール名またはその識別子で検索できます。

7. 削除するルールの横にあるチェックボックスの選択を解除します。

   または、追加するルールの横にあるボックスにチェックを入れます。

8. 各 RHEL マイナーバージョンタブで、これらの手順を繰り返します。
9. Save をクリックします。

検証

1. Security > Compliance > SCAP policies ページに移動し、編集されたポリシーを見つけます。
2. ポリシーをクリックし、追加したルールが編集した内容と一致していることを確認します。

1. Security > Compliance > SCAP policies ページに移動します。
2. 編集するポリシーを見つけます。
3. ポリシー行の右側にある More actions アイコン をクリックし、Edit policy をクリックします。

4. Edit ポップアップで、Systems タブをクリックします。

   利用可能なシステムの一覧が表示されます。

   ポリシーにすでに含まれているシステムの場合は、システム名の左側のボックスにチェックマークが付いています。

   システム名の横にあるチェックマークのないシステムは、このポリシーには含まれません。

5. 名前でシステムを検索します。このシステムをポリシーに含めるには、システム名の横にあるチェックボックスにチェックを入れます。

   または、ポリシーからシステムを削除するには、システム名の横にあるチェックボックスの選択を解除します。

6. Save をクリックして変更を保存します。

検証

1. Security > Compliance > SCAP policies ページに移動し、編集されたポリシーを見つけます。
2. ポリシーをクリックし、含まれているシステムが編集内容と一致していることを確認します。

手順

1. 評価するデータベースで、SQL 認証を使用して SQL Server 評価用のログインを作成します。次の Transact-SQL は、ログインを作成します。<*PASSWORD*> を強力なパスワードに置き換えます。

   USE [master]
   GO
   CREATE LOGIN [assessmentLogin] with PASSWORD= N'<*PASSWORD*>’
   ALTER SERVER ROLE [sysadmin] ADD MEMBER [assessmentLogin]
   GO

   Copy to Clipboard Toggle word wrap

2. システムにログインするための認証情報を次のように保存します。ここでも <*PASSWORD*> をステップ 1 で使用したパスワードに置き換えます。

   # echo "assessmentLogin" > /var/opt/mssql/secrets/assessment
   # echo "<*PASSWORD*>" >> /var/opt/mssql/secrets/assessment

   Copy to Clipboard Toggle word wrap

3. mssql ユーザーのみが資格情報にアクセスできるようにして、評価ツールで使用される資格情報を保護します。

   # chmod 0600 /var/opt/mssql/secrets/assessment
   # chown mssql:mssql /var/opt/mssql/secrets/assessment

   Copy to Clipboard Toggle word wrap

4. microsoft-tools リポジトリーから PowerShell をダウンロードします。これは、SQL Server インストールの一部として mssql-tools および mssqlodbc17 パッケージをインストールしたときに設定したものと同じリポジトリーです。

   # yum -y  install powershell

   Copy to Clipboard Toggle word wrap

5. PowerShell 用の SQLServer モジュールをインストールします。このモジュールには、評価 API が含まれています。

   # su mssql -c "/usr/bin/pwsh -Command Install-Module SqlServer"

   Copy to Clipboard Toggle word wrap

6. Microsoft のサンプル GitHub リポジトリーから runassessment スクリプトをダウンロードします。mssql によって所有され、実行可能であることを確認してください。

   # /bin/curl -LJ0 -o /opt/mssql/bin/runassessment.ps1 https://raw.githubusercontent.com/microsoft/sql-server-samples/master/samples/manage/sql-assessment-api/RHEL/runassessment.ps1
   # chown mssql:mssql /opt/mssql/bin/runassessment.ps1
   # chmod 0700 /opt/mssql/bin/runassessment.ps1

   Copy to Clipboard Toggle word wrap

7. Red Hat Lightspeed が使用するログファイルを保存するディレクトリーを作成します。繰り返しますが、mssql によって所有され、実行可能であることを確認してください。

   # mkdir /var/opt/mssql/log/assessments/
   # chown mssql:mssql /var/opt/mssql/log/assessments/
   # chmod 0700 /var/opt/mssql/log/assessments/

   Copy to Clipboard Toggle word wrap

8. 最初の評価を作成できるようになりましたが、mssql ユーザーとしてより安全に cron または systemd を介して後続の評価を自動的に実行できるように、必ずユーザー mssql として作成してください。

   # su mssql -c "pwsh -File /opt/mssql/bin/runassessment.ps1"

   Copy to Clipboard Toggle word wrap

9. Red Hat Lightspeed は次回実行時に評価を自動的に含めますが、次のコマンドを実行して Red Hat Lightspeed クライアントを開始することもできます。

   # insights-client

   Copy to Clipboard Toggle word wrap

グループの新規作成手順

1. --group= の後にカスタムグループ名を追加して、root で以下のコマンドを実行します。

   [root@server ~]# insights-client --group=<name-you-choose>

   Copy to Clipboard Toggle word wrap

カスタムグループが作成されたことを確認する手順

1. Red Hat Lightspeed > RHEL > Inventory > Systems に移動し、必要に応じてログインします。
2. Filter results ドロップダウンメニューをクリックします。
3. リストをスクロールするか、検索機能を使用してタグを見つけます。
4. タグをクリックしてフィルター処理を行います。
5. システムが、アドバイザーシステムリストの結果に含まれていることを確認します。

システムがタグ付けされていることを確認する手順

1. Red Hat Lightspeed > RHEL > Inventory > Systems に移動し、必要に応じてログインします。
2. Name フィルターをアクティブにし、システムが表示されるまでシステム名を入力してから選択します。
3. システム名の横にタグシンボルがグレイになり、適用されるタグの正確な数を表す数字が表示されることを確認します。

手順

1. コマンドラインで、編集するタグ設定ファイルを開きます。

   [root@server ~]# vi /etc/insights-client/tags.yaml

2. 必要に応じてコンテンツを編集するか、追加値を追加します。以下の例は、システムに複数のタグを追加する際の tags.yaml の管理方法を示しています。

   # tags
   ---
   group: eastern-sap
   location: Boston
   description:
   - RHEL8
   - SAP
   key 4: value

   Copy to Clipboard Toggle word wrap
   注記

   必要な数の key=value ペアを追加します。大文字、文字、数字、記号、および空白文字の組み合わせを使用します。

3. 変更を保存してエディターを閉じます。

4. 必要に応じて、Red Hat Lightspeed へのアップロードを生成します。

   # insights-client

   Copy to Clipboard Toggle word wrap

手順

1. コマンドラインと任意のエディターを使用して、/etc/insights-client/tags.yaml を開きます。(次の例では Vim を使用しています。)

   [root@server ~]# vi /etc/insights-client/tags.yaml

   Copy to Clipboard Toggle word wrap

2. /etc/insights-client/tags.yaml ファイルを編集して、タグの定義済みの key=value ペアを追加します。この例は、security: strict および network_performance: latency タグを追加する方法を示しています。

   # cat /etc/insights-client/tags.yaml
   group: redhat
   location: Brisbane/Australia
   description:
   - RHEL8
   - SAP
   security: strict
   network_performance: latency

   Copy to Clipboard Toggle word wrap
3. 変更を保存します。
4. エディターを終了します。

5. オプション: insights-client コマンドを実行して Red Hat Lightspeed へのアップロードを生成するか、次にスケジュールされている Red Hat Lightspeed アップロードまで待機します。

   [root@server ~]# insights-client

   Copy to Clipboard Toggle word wrap