第24章 完全なディスクイメージの作成
メインのオーバークラウドイメージは、パーティション情報またはブートローダーが含まれないフラットパーティションイメージです。director は、ノードをブートする時には別のカーネルおよび ramdisk を使用し、オーバークラウドイメージをディスクに書き込む時に基本的なパーティションレイアウトを作成します。ただし、パーティションレイアウト、ブートローダー、および強化されたセキュリティー機能が含まれる完全なディスクイメージを作成することができます。
重要
以下のプロセスでは、director のイメージビルド機能を使用します。Red Hat では、本項に記載の指針に従うイメージのみをサポートしています。これらとは異なる仕様でビルドされたカスタムイメージはサポートされていません。
24.1. セキュリティー強化手段
完全なディスクイメージには、セキュリティーが重要な機能となる Red Hat OpenStack Platform のデプロイメントに必要な、追加のセキュリティー強化手段が含まれます。
イメージを作成する際のセキュリティーに関する推奨事項
-
/tmpディレクトリーを別のボリュームまたはパーティションにマウントし、rw、nosuid、nodev、noexec、およびrelatimeのフラグを付ける。 -
/var、/var/log、および/var/log/auditディレクトリーを別のボリュームまたはパーティションにマウントし、rwおよびrelatimeのフラグを付ける。 -
/homeディレクトリーを別のパーティションまたはボリュームにマウントし、rw、nodev、およびrelatimeのフラグを付ける。 GRUB_CMDLINE_LINUXの設定に以下の変更を加える。-
監査を有効にするには、
audit=1カーネルブートフラグを追加します。 -
ブートローダー設定を使用した USB のカーネルサポートを無効にするには、
nousbを追加します -
セキュアでないブートフラグを削除するには、
crashkernel=autoを削除します。
-
監査を有効にするには、
-
セキュアでないモジュール (
usb-storage、cramfs、freevxfs、jffs2、hfs、hfsplus、squashfs、udf、vfat) をブラックリストに登録して、読み込まれないようにする。 -
telnetなどの安全でないパッケージはデフォルトでインストールされているため、イメージから削除します。
