9장. 부팅 가능한 이미지의 보안 강화 및 컴플라이언스

프로세스

1. 컨테이너 파일을 생성합니다.

   FROM registry.redhat.io/rhel10/rhel-bootc:latest
   
   # Install OpenSCAP scanner and security content to the image
   RUN dnf install -y openscap-utils scap-security-guide && dnf clean all
   
   # Run scan and hardening
   RUN oscap-im --profile <profile_ID> /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml
   
   # Because certain profiles prevent ssh root logins, add a separate sudo user with a password
   # Alternatively, you can add users with Kickstart, cloud-init, or other methods
   RUN useradd -G wheel -p "<password_hash>" <admin_user>

   & lt;admin_user >를 사용자 이름으로 바꾸고 < password_hash >를 선택한 암호의 해시로 바꿉니다.

   이 Containerfile 은 다음 작업을 수행합니다.

   • oscap-im 툴 및 SCAP(Security Content Automation Protocol) 콘텐츠가 포함된 데이터 스트림을 제공하는 openscap- utils 패키지를 설치합니다.
   • SSH root 로그인을 방지하는 프로필에 대한 sudoer 권한이 있는 사용자를 추가합니다.
   • 선택한 프로필을 준수하는 이미지를 스캔하고 해결합니다.

2. 현재 디렉터리에서 Containerfile 을 사용하여 이미지를 빌드합니다.

   $ podman build -t quay.io/<namespace>/<image>:<tag> .