보안 강화

절차

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

2. 개요 탭에서 시스템 정보 필드를 찾아 하드웨어 세부 정보 보기를 클릭합니다.

3. CPU 보안 행에서 Mitigations 를 클릭합니다.

   이 링크가 없으면 시스템이 SMT를 지원하지 않으므로 취약하지 않습니다.

4. CPU Security Toggles 표에서 Disable concurrent multithreading (nosmt) 옵션을 켭니다.
5. 저장 및 재부팅 버튼을 클릭합니다.

절차

1. 시스템 설치 중에 커널 명령줄에 fips=1 옵션을 추가합니다.
2. 소프트웨어 선택 단계에서는 타사 소프트웨어를 설치하지 마십시오.
3. 설치 후 FIPS 모드에서 시스템이 자동으로 시작됩니다.

절차

1. 시스템을 FIPS 모드로 전환하려면 다음을 수행합니다.

   # fips-mode-setup --enable
   Kernel initramdisks are being regenerated. This might take some time.
   Setting system policy to FIPS
   Note: System-wide crypto policies are applied on application start-up.
   It is recommended to restart the system for the change of policies
   to fully take place.
   FIPS mode will be enabled.
   Please reboot the system for the setting to take effect.

   Copy to Clipboard Toggle word wrap

2. 커널이 FIPS 모드로 전환되도록 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap

절차

1. 선택 사항: 현재 암호화 정책을 표시합니다.

   $ update-crypto-policies --show
   DEFAULT

   Copy to Clipboard Toggle word wrap

2. 새 암호화 정책을 설정합니다.

   # update-crypto-policies --set <POLICY>
   <POLICY>

   Copy to Clipboard Toggle word wrap

   < POLICY >를 설정할 정책 또는 하위 정책(예: FUTURE,LEGACY 또는 FIPS:OSPP )으로 바꿉니다.

3. 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap

절차

1. 시스템 전체 암호화 정책을 LEGACY 수준으로 전환하려면 root로 다음 명령을 입력합니다.

   # update-crypto-policies --set LEGACY
   Setting system policy to LEGACY

   Copy to Clipboard Toggle word wrap

절차

1. SHA1 하위 정책을 DEFAULT 암호화 정책에 적용합니다.

   # update-crypto-policies --set DEFAULT:SHA1
   Setting system policy to DEFAULT:SHA1
   Note: System-wide crypto policies are applied on application start-up.
   It is recommended to restart the system for the change of policies
   to fully take place.

   Copy to Clipboard Toggle word wrap

2. 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap

절차

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

2. 개요 페이지의 구성 카드에서 policy 옆에 있는 현재 정책 값을 클릭합니다.

   

3. 암호화 정책 변경 대화 상자에서 시스템에서 사용을 시작할 정책을 클릭합니다.

   

4. 적용 및 재부팅 버튼을 클릭합니다.

절차

1. /etc/crypto-policies/policies/modules/ 디렉토리로 체크아웃합니다.

   # cd /etc/crypto-policies/policies/modules/

   Copy to Clipboard Toggle word wrap

2. 조정을 위한 하위 정책을 생성합니다. 예를 들면 다음과 같습니다.

   # touch MYCRYPTO-1.pmod
   # touch SCOPES-AND-WILDCARDS.pmod

   Copy to Clipboard Toggle word wrap
   중요

   정책 모듈의 파일 이름에 대문자를 사용합니다.

3. 선택한 텍스트 편집기에서 정책 모듈을 열고 시스템 전체 암호화 정책을 수정하는 옵션을 삽입합니다. 예를 들면 다음과 같습니다.

   # vi MYCRYPTO-1.pmod

   Copy to Clipboard Toggle word wrap

   min_rsa_size = 3072
   hash = SHA2-384 SHA2-512 SHA3-384 SHA3-512

   Copy to Clipboard Toggle word wrap

   # vi SCOPES-AND-WILDCARDS.pmod

   Copy to Clipboard Toggle word wrap

   # Disable the AES-128 cipher, all modes
   cipher = -AES-128-*
   
   # Disable CHACHA20-POLY1305 for the TLS protocol (OpenSSL, GnuTLS, NSS, and OpenJDK)
   cipher@TLS = -CHACHA20-POLY1305
   
   # Allow using the FFDHE-1024 group with the SSH protocol (libssh and OpenSSH)
   group@SSH = FFDHE-1024+
   
   # Disable all CBC mode ciphers for the SSH protocol (libssh and OpenSSH)
   cipher@SSH = -*-CBC
   
   # Allow the AES-256-CBC cipher in applications using libssh
   cipher@libssh = AES-256-CBC+

   Copy to Clipboard Toggle word wrap
4. 모듈 파일의 변경 사항을 저장합니다.

5. DEFAULT 시스템 전체 암호화 정책 수준에 정책 조정을 적용합니다.

   # update-crypto-policies --set DEFAULT:MYCRYPTO-1:SCOPES-AND-WILDCARDS

   Copy to Clipboard Toggle word wrap

6. 이미 실행 중인 서비스 및 애플리케이션에 암호화 설정을 적용하려면 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap

절차

1. 사용자 지정 정책 파일을 생성합니다.

   # cd /etc/crypto-policies/policies/
   # touch MYPOLICY.pol

   Copy to Clipboard Toggle word wrap

   또는 사전 정의된 4가지 정책 수준 중 하나를 복사하여 시작합니다.

   # cp /usr/share/crypto-policies/policies/DEFAULT.pol /etc/crypto-policies/policies/MYPOLICY.pol

   Copy to Clipboard Toggle word wrap

2. 다음과 같은 요구 사항에 맞게 선택한 텍스트 편집기에서 사용자 지정 암호화 정책으로 파일을 편집합니다.

   # vi /etc/crypto-policies/policies/MYPOLICY.pol

   Copy to Clipboard Toggle word wrap

3. 시스템 전체 암호화 정책을 사용자 지정 수준으로 전환합니다.

   # update-crypto-policies --set MYPOLICY

   Copy to Clipboard Toggle word wrap

4. 이미 실행 중인 서비스 및 애플리케이션에 암호화 설정을 적용하려면 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap

절차

1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

   ---
   - name: Configure cryptographic policies
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure the FUTURE cryptographic security policy on the managed node
         ansible.builtin.include_role:
           name: rhel-system-roles.crypto_policies
         vars:
           - crypto_policies_policy: FUTURE
           - crypto_policies_reboot_ok: true

   Copy to Clipboard Toggle word wrap

   예제 플레이북에 지정된 설정은 다음과 같습니다.

   crypto_policies_policy: 미래

   관리 노드에서 필요한 암호화 정책(FUTURE)을 구성합니다. 기본 정책 또는 일부 하위 정책이 있는 기본 정책일 수 있습니다. 지정된 기본 정책 및 하위 정책을 관리 노드에서 사용할 수 있어야 합니다. 기본값은 null 입니다. 즉, 구성이 변경되지 않고 crypto_policies RHEL 시스템 역할은 Ansible 팩트만 수집합니다.

   crypto_policies_reboot_ok: true

   암호화 정책이 변경된 후 시스템이 재부팅되어 모든 서비스와 애플리케이션이 새 구성 파일을 읽습니다. 기본값은 false입니다.

   플레이북에 사용되는 모든 변수에 대한 자세한 내용은 제어 노드의 /usr/share/ansible/roles/rhel-system-roles.crypto_policies/README.md 파일을 참조하십시오.

2. 플레이북 구문을 확인합니다.

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

3. 플레이북을 실행합니다.

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard Toggle word wrap

검증

1. 제어 노드에서 verify_playbook.yml:이라는 다른 플레이북을 생성합니다.

   ---
   - name: Verification
     hosts: managed-node-01.example.com
     tasks:
       - name: Verify active cryptographic policy
         ansible.builtin.include_role:
           name: rhel-system-roles.crypto_policies
       - name: Display the currently active cryptographic policy
         ansible.builtin.debug:
           var: crypto_policies_active

   Copy to Clipboard Toggle word wrap

   예제 플레이북에 지정된 설정은 다음과 같습니다.

   crypto_policies_active

   crypto_policies_policy 변수에서 수락한 형식으로 현재 활성 정책 이름이 포함된 내보낸 Ansible 팩트입니다.

2. 플레이북 구문을 확인합니다.

   $ ansible-playbook --syntax-check ~/verify_playbook.yml

   Copy to Clipboard Toggle word wrap

3. 플레이북을 실행합니다.

   $ ansible-playbook ~/verify_playbook.yml
   TASK [debug] **************************
   ok: [host] => {
       "crypto_policies_active": "FUTURE"
   }

   Copy to Clipboard Toggle word wrap

   crypto_policies_active 변수는 관리 노드의 활성 정책을 표시합니다.

절차

1. PKCS #11 URI를 포함하여 OpenSC PKCS #11 모듈에서 제공하는 모든 키를 나열하고 출력을 keys.pub 파일에 저장합니다.

   $ ssh-keygen -D pkcs11: > keys.pub

   Copy to Clipboard Toggle word wrap

2. 공개 키를 원격 서버로 전송합니다. 이전 단계에서 만든 keys.pub 파일과 함께 ssh-copy-id 명령을 사용합니다.

   $ ssh-copy-id -f -i keys.pub <username@ssh-server-example.com>

   Copy to Clipboard Toggle word wrap

3. ECDSA 키를 사용하여 < ssh-server-example.com >에 연결합니다. 키를 고유하게 참조하는 URI의 하위 집합만 사용할 수 있습니다. 예를 들면 다음과 같습니다.

   $ ssh -i "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so" <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   Copy to Clipboard Toggle word wrap

   OpenSSH는 p11-kit-proxy 래퍼를 사용하고 OpenSC PKCS #11 모듈이 p11-kit 툴에 등록되므로 이전 명령을 단순화할 수 있습니다.

   $ ssh -i "pkcs11:id=%01" <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   Copy to Clipboard Toggle word wrap

   PKCS #11 URI의 id= 부분을 건너뛰면 OpenSSH는 proxy 모듈에서 사용할 수 있는 모든 키를 로드합니다. 이렇게 하면 필요한 입력 횟수가 줄어듭니다.

   $ ssh -i pkcs11: <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   Copy to Clipboard Toggle word wrap

4. 선택 사항: ~/.ssh/config 파일에서 동일한 URI 문자열을 사용하여 구성을 영구적으로 만들 수 있습니다.

   $ cat ~/.ssh/config
   IdentityFile "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so"
   $ ssh <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   Copy to Clipboard Toggle word wrap

   이제 ssh 클라이언트 유틸리티에서 이 URI와 스마트 카드의 키를 자동으로 사용합니다.

절차

1. /etc/polkit-1/rules.d/ 디렉토리에 새 파일을 생성합니다.

   # touch /etc/polkit-1/rules.d/00-test.rules

   Copy to Clipboard Toggle word wrap

2. 선택한 편집기에서 파일을 편집합니다. 예를 들면 다음과 같습니다.

   # vi /etc/polkit-1/rules.d/00-test.rules

   Copy to Clipboard Toggle word wrap

3. 다음 행을 삽입합니다.

   polkit.addRule(function(action, subject) {
     if (action.id == "org.debian.pcsc-lite.access_pcsc" ||
     	action.id == "org.debian.pcsc-lite.access_card") {
   	polkit.log("action=" + action);
   	polkit.log("subject=" + subject);
     }
   });

   Copy to Clipboard Toggle word wrap

   파일을 저장하고 편집기를 종료합니다.

4. pcscd 및 polkit 서비스를 다시 시작합니다.

   # systemctl restart pcscd.service pcscd.socket polkit.service

   Copy to Clipboard Toggle word wrap

검증

1. pcscd에 대한 권한 부여 요청을 만듭니다. 예를 들어 Firefox 웹 브라우저를 열거나 opensc 패키지에서 제공하는 pkcs11-tool -L 명령을 사용합니다.

2. 확장 로그 항목을 표시합니다. 예를 들면 다음과 같습니다.

   # journalctl -u polkit --since "1 hour ago"
   polkitd[1224]: <no filename>:4: action=[Action id='org.debian.pcsc-lite.access_pcsc']
   polkitd[1224]: <no filename>:5: subject=[Subject pid=2020481 user=user' groups=user,wheel,mock,wireshark seat=null session=null local=true active=true]

   Copy to Clipboard Toggle word wrap

절차

1. --remediate 옵션과 함께 oscap 명령을 사용하여 시스템을 교정합니다.

   # oscap xccdf eval --profile <profileID> --remediate /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

   Copy to Clipboard Toggle word wrap

   & lt;profileID >를 시스템이 준수해야 하는 프로필 ID로 바꿉니다(예: hipaa ).

2. 시스템을 다시 시작합니다.

검증

1. 프로필로 시스템 규정 준수를 평가하고 검사 결과를 파일에 저장합니다.

   $ oscap xccdf eval --report <scan-report.html> --profile <profileID> /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

   Copy to Clipboard Toggle word wrap

   교체:

   • oscap 이 검사 결과를 저장하는 파일 이름이 <scan-report.html >입니다.
   • 시스템이 준수해야 하는 프로파일 ID 가 있는 <profileID>(예: hipaa ).

절차

1. Ansible을 사용하여 HIPAA에 맞게 시스템을 교정합니다.

   # ansible-playbook -i localhost, -c local /usr/share/scap-security-guide/ansible/rhel9-playbook-hipaa.yml

   Copy to Clipboard Toggle word wrap
2. 시스템을 다시 시작합니다.

검증

1. HIPAA 프로필을 사용하여 시스템의 규정 준수를 평가하고 검사 결과를 파일에 저장합니다.

   # oscap xccdf eval --profile hipaa --report <scan-report.html> /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

   Copy to Clipboard Toggle word wrap

   & lt;scan-report.html& gt;을 oscap 이 검사 결과를 저장하는 파일 이름으로 바꿉니다.

절차

1. 시스템을 스캔하고 결과를 저장합니다.

   # oscap xccdf eval --profile hipaa --results <hipaa-results.xml> /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

   Copy to Clipboard Toggle word wrap

2. 결과를 사용하여 파일에서 결과 ID 값을 찾습니다.

   # oscap info <hipaa-results.xml>

   Copy to Clipboard Toggle word wrap

3. 1단계에서 생성된 파일을 기반으로 Ansible 플레이북을 생성합니다.

   # oscap xccdf generate fix --fix-type ansible --result-id <xccdf_org.open-scap_testresult_xccdf_org.ssgproject.content_profile_hipaa> --output <hipaa-remediations.yml> <hipaa-results.xml>

   Copy to Clipboard Toggle word wrap
4. 1단계에서 수행한 검사 중에 실패한 규칙에 대한 Ansible 수정이 포함된 생성된 파일을 검토합니다. 생성된 이 파일을 검토한 후 ansible-playbook < hipaa-remediations.yml > 명령을 사용하여 적용할 수 있습니다.

절차

1. oscap 명령을 사용하여 시스템을 스캔하고 결과를 XML 파일에 저장합니다. 다음 예에서 oscap은 hipaa 프로필에 대해 시스템을 평가합니다.

   # oscap xccdf eval --profile hipaa --results <hipaa-results.xml> /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

   Copy to Clipboard Toggle word wrap

2. 결과를 사용하여 파일에서 결과 ID 값을 찾습니다.

   # oscap info <hipaa-results.xml>

   Copy to Clipboard Toggle word wrap

3. 1단계에서 생성된 결과 파일을 기반으로 Bash 스크립트를 생성합니다.

   # oscap xccdf generate fix --fix-type bash --result-id <xccdf_org.open-scap_testresult_xccdf_org.ssgproject.content_profile_hipaa> --output <hipaa-remediations.sh> <hipaa-results.xml>

   Copy to Clipboard Toggle word wrap
4. & lt;hipaa-remediations.sh > 파일에는 1단계에서 수행한 검사 중에 실패한 규칙에 대한 수정이 포함되어 있습니다. 생성된 이 파일을 검토한 후 이 파일과 동일한 디렉터리에 있는 경우 ./ <hipaa-remediations.sh > 명령으로 적용할 수 있습니다.

절차

1. 시스템에 대한 최신 RHSA OVAL 정의를 다운로드합니다.

   # wget -O - https://www.redhat.com/security/data/oval/v2/RHEL9/rhel-9.oval.xml.bz2 | bzip2 --decompress > rhel-9.oval.xml

   Copy to Clipboard Toggle word wrap

2. 컨테이너 또는 컨테이너 이미지의 ID를 가져옵니다. 예를 들면 다음과 같습니다.

   # podman images
   REPOSITORY                            TAG      IMAGE ID       CREATED       SIZE
   registry.access.redhat.com/ubi9/ubi   latest   096cae65a207   7 weeks ago   239 MB

   Copy to Clipboard Toggle word wrap

3. 컨테이너 또는 컨테이너 이미지에서 취약점을 검사하고 결과를 vulnerability.html 파일에 저장합니다.

   # oscap-podman 096cae65a207 oval eval --report vulnerability.html rhel-9.oval.xml

   Copy to Clipboard Toggle word wrap

   oscap-podman 명령에는 루트 권한이 필요하며 컨테이너 ID는 첫 번째 인수입니다.

절차

1. 컨테이너 또는 컨테이너 이미지의 ID를 찾습니다.

   1. 컨테이너 ID를 찾으려면 podman ps -a 명령을 입력합니다.
   2. 컨테이너 이미지의 ID를 찾으려면 podman images 명령을 입력합니다.

2. 프로필이 있는 컨테이너 또는 컨테이너 이미지의 규정 준수를 평가하고 검사 결과를 파일에 저장합니다.

   # oscap-podman <ID> xccdf eval --report <scan-report.html> --profile <profileID> /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

   Copy to Clipboard Toggle word wrap

   교체:

   • 컨테이너 또는 컨테이너 이미지의 ID가 있는 <ID>
   • oscap 이 검사 결과를 저장하는 파일 이름이 < scan-report.html >
   • <profileID > 시스템이 준수해야 하는 프로필 ID(예: hipaa,ospp 또는 pci-dss) 사용

절차

1. Keylime 검증기를 설치합니다.

   # dnf install keylime-verifier

   Copy to Clipboard Toggle word wrap

2. /etc/keylime/verifier .conf.d/ 디렉터리에 새 .conf 파일을 생성하여 검증기의 IP 주소 및 포트를 정의합니다(예: /etc/keylime/verifier.conf.d/00-verifier-ip.conf ).

   [verifier]
   ip = <verifier_IP_address>

   Copy to Clipboard Toggle word wrap
   • & lt;verifier_IP_address& gt;를 검증자의 IP 주소로 바꿉니다. 또는 ip = * 또는 ip = 0.0.0.0 을 사용하여 확인자를 사용 가능한 모든 IP 주소에 바인딩합니다.
   • 선택적으로 port 옵션을 사용하여 verifier의 포트를 기본값 8881 에서 변경할 수도 있습니다.

3. 선택 사항: 에이전트 목록에 대해 검증자 데이터베이스를 구성합니다. 기본 구성은 검증자의 /var/lib/keylime/cv_data.sqlite/ 디렉터리의 SQLite 데이터베이스를 사용합니다. /etc/keylime/verifier .conf.d/ 디렉터리에 새 .conf 파일을 생성하여 다른 데이터베이스를 정의할 수 있습니다(예: /etc/keylime/verifier.conf.d/ 00-db-url.conf ).

   [verifier]
   database_url = <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties>

   Copy to Clipboard Toggle word wrap

   < protocol>://<name>:<password>@<ip_address_or_hostname>/<properties >를 데이터베이스의 URL로 바꿉니다(예: postgresql://verifier:UQ?nRNY9g7GZzN7@198.51.100.1/verifierdb ).

   사용하는 인증 정보가 Keylime에 대한 권한을 제공하여 데이터베이스 구조를 만들어야 합니다.

4. 검증에 인증서와 키를 추가합니다. Keylime에서 해당 키를 생성하거나 기존 키 및 인증서를 사용하도록 할 수 있습니다.

   • 기본 tls_dir = generate 옵션을 사용하면 Keylime에서 검증자, 등록 기관 및 테넌트에 대한 새 인증서를 /var/lib/keylime/cv_ca/ 디렉터리에 생성합니다.

   • 구성에서 기존 키와 인증서를 로드하려면 확인자 구성에서 해당 위치를 정의합니다. 인증서는 keylime 사용자가 Keylime 서비스가 실행 중인 액세스할 수 있어야 합니다.

     /etc/keylime/verifier .conf.d/ 디렉터리에 새 .conf 파일을 만듭니다(예: /etc/keylime/verifier.conf.d/ 00-keys-and-certs.conf ).

     [verifier]
     tls_dir = /var/lib/keylime/cv_ca
     server_key = </path/to/server_key>
     server_key_password = <passphrase1>
     server_cert = </path/to/server_cert>
     trusted_client_ca = ['</path/to/ca/cert1>', '</path/to/ca/cert2>']
     client_key = </path/to/client_key>
     client_key_password = <passphrase2>
     client_cert = </path/to/client_cert>
     trusted_server_ca = ['</path/to/ca/cert3>', '</path/to/ca/cert4>']

     Copy to Clipboard Toggle word wrap
     참고

     절대 경로를 사용하여 키 및 인증서 위치를 정의합니다. 또는 tls_dir 옵션에 정의된 디렉터리에서 상대 경로가 확인됩니다.

5. 방화벽에서 포트를 엽니다.

   # firewall-cmd --add-port 8881/tcp
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

   다른 포트를 사용하는 경우 8881 을 .conf 파일에 정의된 포트 번호로 바꿉니다.

6. 검증 서비스를 시작합니다.

   # systemctl enable --now keylime_verifier

   Copy to Clipboard Toggle word wrap
   참고

   기본 구성에서 확인자가 다른 Keylime 구성 요소에 대한 CA 및 인증서를 생성하므로 keylime_registrar 서비스를 시작하기 전에 keylime_verifier 를 시작합니다. 사용자 정의 인증서를 사용할 때는 이 순서가 필요하지 않습니다.

절차

1. 선택 사항: keylime-verifier 패키지를 설치하여 구성 파일에 액세스합니다. 이 패키지 없이 컨테이너를 구성할 수 있지만 패키지와 함께 제공된 구성 파일을 더 쉽게 수정할 수 있습니다.

   # dnf install keylime-verifier

   Copy to Clipboard Toggle word wrap

2. /etc/keylime/verifier .conf.d/ 디렉터리에 새 .conf 파일을 생성하여 검증기를 모든 사용 가능한 IP 주소에 바인딩합니다(예: /etc/keylime/verifier.conf.d/00-verifier-ip.conf ).

   [verifier]
   ip = *

   Copy to Clipboard Toggle word wrap
   • 선택적으로 port 옵션을 사용하여 verifier의 포트를 기본값 8881 에서 변경할 수도 있습니다.

3. 선택 사항: 에이전트 목록에 대해 검증자 데이터베이스를 구성합니다. 기본 구성은 검증자의 /var/lib/keylime/cv_data.sqlite/ 디렉터리의 SQLite 데이터베이스를 사용합니다. /etc/keylime/verifier .conf.d/ 디렉터리에 새 .conf 파일을 생성하여 다른 데이터베이스를 정의할 수 있습니다(예: /etc/keylime/verifier.conf.d/ 00-db-url.conf ).

   [verifier]
   database_url = <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties>

   Copy to Clipboard Toggle word wrap

   < protocol>://<name>:<password>@<ip_address_or_hostname>/<properties >를 데이터베이스의 URL로 바꿉니다(예: postgresql://verifier:UQ?nRNY9g7GZzN7@198.51.100.1/verifierdb ).

   사용하는 인증 정보에 데이터베이스 구조를 생성하기 위한 Keylime에 대한 권한이 있는지 확인합니다.

4. 검증에 인증서와 키를 추가합니다. Keylime에서 해당 키를 생성하거나 기존 키 및 인증서를 사용하도록 할 수 있습니다.

   • 기본 tls_dir = generate 옵션을 사용하면 Keylime에서 검증자, 등록 기관 및 테넌트에 대한 새 인증서를 /var/lib/keylime/cv_ca/ 디렉터리에 생성합니다.

   • 구성에서 기존 키와 인증서를 로드하려면 확인자 구성에서 해당 위치를 정의합니다. 인증서는 keylime 사용자가 Keylime 프로세스가 실행 중인 액세스할 수 있어야 합니다.

     /etc/keylime/verifier .conf.d/ 디렉터리에 새 .conf 파일을 만듭니다(예: /etc/keylime/verifier.conf.d/ 00-keys-and-certs.conf ).

     [verifier]
     tls_dir = /var/lib/keylime/cv_ca
     server_key = </path/to/server_key>
     server_cert = </path/to/server_cert>
     trusted_client_ca = ['</path/to/ca/cert1>', '</path/to/ca/cert2>']
     client_key = </path/to/client_key>
     client_cert = </path/to/client_cert>
     trusted_server_ca = ['</path/to/ca/cert3>', '</path/to/ca/cert4>']

     Copy to Clipboard Toggle word wrap
     참고

     절대 경로를 사용하여 키 및 인증서 위치를 정의합니다. 또는 tls_dir 옵션에 정의된 디렉터리에서 상대 경로가 확인됩니다.

5. 방화벽에서 포트를 엽니다.

   # firewall-cmd --add-port 8881/tcp
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

   다른 포트를 사용하는 경우 8881 을 .conf 파일에 정의된 포트 번호로 바꿉니다.

6. 컨테이너를 실행합니다.

   $ podman run --name keylime-verifier \
     -p 8881:8881 \
     -v /etc/keylime/verifier.conf.d:/etc/keylime/verifier.conf.d:Z \
     -v /var/lib/keylime/cv_ca:/var/lib/keylime/cv_ca:Z \
     -d \
     -e KEYLIME_VERIFIER_SERVER_KEY_PASSWORD=<passphrase1> \
     -e KEYLIME_VERIFIER_CLIENT_KEY_PASSWORD=<passphrase2> \
     registry.access.redhat.com/rhel9/keylime-verifier

   Copy to Clipboard Toggle word wrap
   • -p 옵션은 호스트 및 컨테이너에서 기본 포트 8881 을 엽니다.

   • -v 옵션은 디렉터리에 대한 바인딩 마운트를 컨테이너에 생성합니다.

     • Z 옵션을 사용하면 Podman은 비공개 비공유 레이블로 콘텐츠를 표시합니다. 즉, 현재 컨테이너만 개인 볼륨을 사용할 수 있습니다.
   • d 옵션은 컨테이너 분리 및 백그라운드에서 실행됩니다.
   • 옵션 -e KEYLIME_VERIFIER_SERVER_KEY_PASSWORD= <passphrase1& gt;은 서버 키 암호를 정의합니다.
   • 옵션 -e KEYLIME_VERIFIER_CLIENT_KEY_PASSWORD= <passphrase2& gt;는 클라이언트 키 암호를 정의합니다.
   • -e KEYLIME_VERIFIER _<ENVIRONMENT_VARIABLE> = <value > 옵션을 사용하여 환경 변수로 구성 옵션을 덮어쓸 수 있습니다. 추가 옵션을 수정하려면 각 환경 변수에 대해 -e 옵션을 별도로 삽입합니다. 환경 변수 및 기본값의 전체 목록은 Keylime 환경 변수를 참조하십시오.

절차

1. Keylime 등록 기관을 설치합니다.

   # dnf install keylime-registrar

   Copy to Clipboard Toggle word wrap

2. /etc/keylime/registrar .conf.d/ 디렉터리에 새 .conf 파일을 생성하여 등록 기관의 IP 주소 및 포트를 정의합니다(예: /etc/keylime/registrar.conf.d/00-registrar-ip.conf ).

   [registrar]
   ip = <registrar_IP_address>

   Copy to Clipboard Toggle word wrap
   • & lt;registrar_IP_address&gt;를 등록 기관의 IP 주소로 바꿉니다. 또는 ip = * 또는 ip = 0.0.0.0 을 사용하여 사용 가능한 모든 IP 주소에 등록 기관을 바인딩합니다.
   • 선택적으로 port 옵션을 사용하여 Keylime 에이전트가 연결하는 포트 를 변경합니다. 기본값은 8890 입니다.
   • 필요한 경우 tls_port 옵션을 사용하여 Keylime verifier 및 테넌트가 연결하는 TLS 포트를 변경합니다. 기본값은 8891 입니다.

3. 선택 사항: 에이전트 목록에 대한 등록 기관의 데이터베이스를 구성합니다. 기본 구성에서는 등록 기관의 /var/lib/keylime/reg_data.sqlite 디렉터리의 SQLite 데이터베이스를 사용합니다. /etc/keylime/registrar .conf.d/ 디렉터리에 새 .conf 파일을 생성할 수 있습니다(예: /etc/keylime/registrar.conf.d/00-db-url.conf ).

   [registrar]
   database_url = <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties>

   Copy to Clipboard Toggle word wrap

   < protocol>://<name>:<password>@<ip_address_or_hostname>/<properties >를 데이터베이스의 URL로 바꿉니다(예: postgresql://registrar:EKYYX-bqY2?#raXm@198.51.100.1/registrardb ).

   사용하는 인증 정보에 데이터베이스 구조를 생성하기 위한 Keylime에 대한 권한이 있는지 확인합니다.

4. 등록 기관에 인증서 및 키를 추가합니다.

   • 기본 구성을 사용하여 키와 인증서를 /var/lib/keylime/reg_ca/ 디렉터리에 로드할 수 있습니다.

   • 또는 구성에서 키와 인증서의 위치를 정의할 수 있습니다. /etc/keylime/registrar .conf.d/ 디렉터리에 새 .conf 파일을 만듭니다(예: /etc/keylime/registrar.conf.d/ 00-keys-and-certs.conf ).

     [registrar]
     tls_dir = /var/lib/keylime/reg_ca
     server_key = </path/to/server_key>
     server_key_password = <passphrase1>
     server_cert = </path/to/server_cert>
     trusted_client_ca = ['</path/to/ca/cert1>', '</path/to/ca/cert2>']

     Copy to Clipboard Toggle word wrap
     참고

     절대 경로를 사용하여 키 및 인증서 위치를 정의합니다. 또는 tls_dir 옵션에 디렉터리를 정의하고 해당 디렉터리에 상대적인 경로를 사용할 수 있습니다.

5. 방화벽에서 포트를 엽니다.

   # firewall-cmd --add-port 8890/tcp --add-port 8891/tcp
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

   다른 포트를 사용하는 경우 8890 또는 8891 을 .conf 파일에 정의된 포트 번호로 바꿉니다.

6. keylime_registrar 서비스를 시작합니다.

   # systemctl enable --now keylime_registrar

   Copy to Clipboard Toggle word wrap
   참고

   기본 구성에서 확인자가 다른 Keylime 구성 요소에 대한 CA 및 인증서를 생성하므로 keylime_registrar 서비스를 시작하기 전에 keylime_verifier 를 시작합니다. 사용자 정의 인증서를 사용할 때는 이 순서가 필요하지 않습니다.

절차

1. 선택 사항: keylime-registrar 패키지를 설치하여 구성 파일에 액세스합니다. 이 패키지 없이 컨테이너를 구성할 수 있지만 패키지와 함께 제공된 구성 파일을 더 쉽게 수정할 수 있습니다.

   # dnf install keylime-registrar

   Copy to Clipboard Toggle word wrap

2. /etc/keylime/registrar .conf.d/ 디렉터리에 새 .conf 파일을 생성하여 등록 기관을 모든 사용 가능한 IP 주소에 바인딩합니다(예: /etc/keylime/registrar.conf.d/00-registrar-ip.conf ).

   [registrar]
   ip = *

   Copy to Clipboard Toggle word wrap
   • 선택적으로 port 옵션을 사용하여 Keylime 에이전트가 연결하는 포트 를 변경합니다. 기본값은 8890 입니다.
   • 필요한 경우 tls_port 옵션을 사용하여 Keylime 테넌트가 연결하는 TLS 포트를 변경합니다. 기본값은 8891 입니다.

3. 선택 사항: 에이전트 목록에 대한 등록 기관의 데이터베이스를 구성합니다. 기본 구성에서는 등록 기관의 /var/lib/keylime/reg_data.sqlite 디렉터리의 SQLite 데이터베이스를 사용합니다. /etc/keylime/registrar .conf.d/ 디렉터리에 새 .conf 파일을 생성할 수 있습니다(예: /etc/keylime/registrar.conf.d/00-db-url.conf ).

   [registrar]
   database_url = <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties>

   Copy to Clipboard Toggle word wrap

   < protocol>://<name>:<password>@<ip_address_or_hostname>/<properties >를 데이터베이스의 URL로 바꿉니다(예: postgresql://registrar:EKYYX-bqY2?#raXm@198.51.100.1/registrardb ).

   사용하는 인증 정보에 데이터베이스 구조를 생성하기 위한 Keylime에 대한 권한이 있는지 확인합니다.

4. 등록 기관에 인증서 및 키를 추가합니다.

   • 기본 구성을 사용하여 키와 인증서를 /var/lib/keylime/reg_ca/ 디렉터리에 로드할 수 있습니다.

   • 또는 구성에서 키와 인증서의 위치를 정의할 수 있습니다. /etc/keylime/registrar .conf.d/ 디렉터리에 새 .conf 파일을 만듭니다(예: /etc/keylime/registrar.conf.d/ 00-keys-and-certs.conf ).

     [registrar]
     tls_dir = /var/lib/keylime/reg_ca
     server_key = </path/to/server_key>
     server_cert = </path/to/server_cert>
     trusted_client_ca = ['</path/to/ca/cert1>', '</path/to/ca/cert2>']

     Copy to Clipboard Toggle word wrap
     참고

     절대 경로를 사용하여 키 및 인증서 위치를 정의합니다. 또는 tls_dir 옵션에 디렉터리를 정의하고 해당 디렉터리에 상대적인 경로를 사용할 수 있습니다.

5. 방화벽에서 포트를 엽니다.

   # firewall-cmd --add-port 8890/tcp --add-port 8891/tcp
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

   다른 포트를 사용하는 경우 8890 또는 8891 을 .conf 파일에 정의된 포트 번호로 바꿉니다.

6. 컨테이너를 실행합니다.

   $ podman run --name keylime-registrar \
     -p 8890:8890 \
     -p 8891:8891 \
     -v /etc/keylime/registrar.conf.d:/etc/keylime/registrar.conf.d:Z \
     -v /var/lib/keylime/reg_ca:/var/lib/keylime/reg_ca:Z \
     -d \
     -e KEYLIME_REGISTRAR_SERVER_KEY_PASSWORD=<passphrase1> \
     registry.access.redhat.com/rhel9/keylime-registrar

   Copy to Clipboard Toggle word wrap
   • -p 옵션은 호스트 및 컨테이너에서 기본 포트 8890 및 8881 을 엽니다.

   • -v 옵션은 디렉터리에 대한 바인딩 마운트를 컨테이너에 생성합니다.

     • Z 옵션을 사용하면 Podman은 비공개 비공유 레이블로 콘텐츠를 표시합니다. 즉, 현재 컨테이너만 개인 볼륨을 사용할 수 있습니다.
   • d 옵션은 컨테이너 분리 및 백그라운드에서 실행됩니다.
   • 옵션 -e KEYLIME_VERIFIER_SERVER_KEY_PASSWORD= <passphrase1& gt;은 서버 키 암호를 정의합니다.
   • -e KEYLIME_REGISTRAR _<ENVIRONMENT_VARIABLE> = <value > 옵션을 사용하여 환경 변수로 구성 옵션을 덮어쓸 수 있습니다. 추가 옵션을 수정하려면 각 환경 변수에 대해 -e 옵션을 별도로 삽입합니다. 환경 변수 및 기본값의 전체 목록은 7.12절. “Keylime 환경 변수” 을 참조하십시오.