10장. bootc 이미지 빌드에서 FIPS 모드 활성화

프로세스

1. FIPS 활성화를 구성하려면 01-fips.toml 를 생성합니다. 예를 들면 다음과 같습니다.

   # Enable FIPS
   kargs = ["fips=1"]

2. 다음 지침으로 Containerfile을 생성하여 fips=1 커널 인수를 활성화하고 암호화 정책을 조정합니다.

   FROM quay.io/<namespace>/<image>:latest
   # Enable fips=1 kernel argument: https://bootc-dev.github.io/bootc/building/kernel-arguments.html
   COPY 01-fips.toml /usr/lib/bootc/kargs.d/
   # Install and enable the FIPS crypto policy
   RUN dnf install -y crypto-policies-scripts && update-crypto-policies --no-reload --set FIPS

3. 컨테이너를 실행하기 전에 출력 폴더를 초기화합니다. 디렉터리가 이미 존재하는 경우 -p 인수를 사용하여 명령이 실패하지 않도록 합니다.

   $ mkdir -p ./output

4. 현재 디렉터리에서 Containerfile 을 사용하여 bootc <image> 호환 기본 디스크 이미지를 생성합니다.

   $ sudo podman run \
       --rm \
       -it \
       --privileged \
       --pull=newer \
       --security-opt label=type:unconfined_t \
       -v ./config.toml:/config.toml \
       -v ./output:/output \
       -v /var/lib/containers/storage:/var/lib/containers/storage \
       registry.redhat.io/rhel10/bootc-image-builder:latest \
       --type iso \
       quay.io/<namespace>/<image>:<tag>

5. 시스템 설치 중에 FIPS 모드를 활성화합니다.

   1. RHEL Anaconda 설치 프로그램을 부팅할 때 설치 화면에서 TAB 키를 누른 후 fips=1 커널 인수를 추가합니다. 설치 후 FIPS 모드에서 시스템이 자동으로 시작됩니다.