5.3. 配置合规补救

步骤

1. 使用 oscap 命令和 --remediate 选项修复系统：

   # oscap xccdf eval --profile <profile_ID> --remediate /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

   Copy to Clipboard Toggle word wrap

   使用系统应该遵守的配置文件 ID，例如 hipaa 替换 <profile_ID>。

2. 重启您的系统。

验证

1. 使用配置文件评估系统合规性，并将扫描结果保存到一个文件中：

   $ oscap xccdf eval --report <scan_report.html> --profile <profile_ID> /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

   Copy to Clipboard Toggle word wrap

   替换：

   • 使用 oscap 保存扫描结果的文件名替换 <scan_report.html>。
   • 使用系统应该遵守的配置文件 ID，例如 hipaa ，替换 <profile_ID>。

流程

1. 使用 Ansible 修复您的系统，使其与所选的配置文件保持一致：

   # ANSIBLE_COLLECTIONS_PATH=/usr/share/rhc-worker-playbook/ansible/collections/ansible_collections/ ansible-playbook -i "localhost," -c local /usr/share/scap-security-guide/ansible/rhel10-playbook-<profile_ID>.yml

   Copy to Clipboard Toggle word wrap

   ANSIBLE_COLLECTIONS_PATH 环境变量对于运行 playbook 的命令是必需的。

   将 <profile_ID> 替换为所选的配置文件的配置文件 ID。

2. 重新启动系统。

流程

1. 扫描系统并保存结果：

   # oscap xccdf eval --profile <profile_ID> --results <profile_results.xml> /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

   Copy to Clipboard Toggle word wrap

2. 在带有结果的文件中找到结果 ID 的值：

   # oscap info <profile_results.xml>

   Copy to Clipboard Toggle word wrap

3. 根据第 1 步中生成的文件生成一个 Ansible Playbook：

   # oscap xccdf generate fix --fix-type ansible --result-id xccdf_org.open-scap_testresult_xccdf_org.ssgproject.content_profile_<profile_ID> --output <profile_remediations.yml> <profile_results.xml>

   Copy to Clipboard Toggle word wrap
4. 检查生成的 <profile_remediations.yml> 文件是否包含在第 1 步中执行的扫描中失败的规则的 Ansible 修复。

5. 使用 Ansible 修复您的系统，使其与所选的配置文件保持一致：

   # ANSIBLE_COLLECTIONS_PATH=/usr/share/rhc-worker-playbook/ansible/collections/ansible_collections/ ansible-playbook -i "localhost," -c local <profile_remediations.yml>`

   Copy to Clipboard Toggle word wrap

   ANSIBLE_COLLECTIONS_PATH 环境变量对于运行 playbook 的命令是必需的。

   警告

   如果不小心使用，在启用了 Remediate 选项的情况下运行系统评估可能会导致系统无法正常工作。红帽不提供任何自动的方法来恢复由安全强制补救所做的更改。默认配置的 RHEL 系统支持自动安全补救功能。如果在安装后更改了您的系统，运行修复可能无法使其遵守所需的安全配置文件。