红帽全球峰会6.9. 安装后立即部署符合安全配置集的系统
您可以在安装过程后立即使用 OpenSCAP 套件部署符合安全配置集的 RHEL 系统，如 OSPP、PCI-DSS 和 HIPAA 配置集。使用此部署方法时，您可以使用修复脚本（例如密码强度和分区的规则）应用之后无法应用的特定规则。
6.9.1. 配置文件与 Server with GUI 不兼容
作为 SCAP 安全指南 的一部分提供的某些安全配置文件与 Server with GUI 基本环境中包含的扩展软件包集合不兼容。因此，在安装与以下配置文件兼容的系统时，不要选择 Server with GUI ：
| 配置文件名称 | 配置文件 ID | 原因 | 备注 |
|---|---|---|---|
| CIS Red Hat Enterprise Linux 8 基准第 2 级 - 服务器 |
|
软件包 | |
| CIS Red Hat Enterprise Linux 8 基准第 1 级 - 服务器 |
|
软件包 | |
| 非联邦信息系统和组织中的非保密信息(NIST 800-171) |
|
| |
| 常规目的操作系统的保护配置文件 |
|
| |
| Red Hat Enterprise Linux 8 的 DISA STIG |
|
软件包 | 要将 RHEL 系统安装为与 RHEL 8.4 及之后的版本中的 DISA STIG 一致的 Server with GUI，您可以使用 DISA STIG with GUI 配置文件。 |
6.9.2. 使用图形安装部署基本兼容 RHEL 系统
使用此流程部署与特定基准兼容的 RHEL 系统。这个示例为常规目的操作系统(OSPP)使用保护配置集。
作为 SCAP 安全指南 的一部分提供的某些安全配置文件与 Server with GUI 基本环境中包含的扩展软件包集合不兼容。如需了解更多详细信息，请参阅 与 GUI 服务器不兼容的配置文件。
先决条件
-
您已引导到
图形化安装程序。请注意，OSCAP Anaconda Add-on 不支持交互式文本安装。 -
您已访问
安装概述窗口。
流程
-
在
安装概述窗口中点击软件选择。此时会打开软件选择窗口。 -
在
Base Environment窗格中选择服务器环境。您只能选择一个基本环境。 -
点击
完成应用设置并返回安装概述窗口。 -
由于 OSPP 有必须满足的严格的分区要求，所以为
/boot、/home、/var、/tmp、/var/log、/var/tmp和/var/log/audit创建单独的分区。 -
点击
安全策略。此时会打开Security Policy窗口。 -
要在系统中启用安全策略，将
Apply security policy切换为ON。 -
从配置集栏中选择
Protection Profile for General Purpose Operating Systems. -
点
Select Profile来确认选择。 -
确认在窗口底部显示
Changes that were done or need to be done。完成所有剩余的手动更改。 完成图形安装过程。
注意图形安装程序在安装成功后自动创建对应的 Kickstart 文件。您可以使用
/root/anaconda-ks.cfg文件自动安装兼容 OSPP 的系统。
验证
要在安装完成后检查系统当前的状态,请重启系统并启动新的扫描：
oscap xccdf eval --profile ospp --report eval_postinstall_report.html /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml
# oscap xccdf eval --profile ospp --report eval_postinstall_report.html /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xmlCopy to Clipboard Copied! Toggle word wrap Toggle overflow
6.9.3. 使用 Kickstart 部署基本兼容 RHEL 系统
您可以部署与特定基准一致的 RHEL 系统。这个示例为常规目的操作系统(OSPP)使用保护配置集。
先决条件
-
scap-security-guide软件包已安装在 RHEL 8 系统上。
流程
-
在您选择的编辑器中打开
/usr/share/scap-security-guide/kickstart/ssg-rhel8-ospp-ks.cfgKickstart 文件。 -
更新分区方案以符合您的配置要求。对于 OSPP 合规性，必须保留
/boot、/home、/var、/tmp、/var/log、/var/tmp和/var/log/audit的独立分区，您只能更改分区的大小。 - 按照 使用 Kickstart 执行自动安装 中所述来开始 Kickstart 安装。
对于 OSPP 的要求，不检查 Kickstart 文件中的密码。
验证
要在安装完成后检查系统当前的状态,请重启系统并启动新的扫描：
oscap xccdf eval --profile ospp --report eval_postinstall_report.html /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml
# oscap xccdf eval --profile ospp --report eval_postinstall_report.html /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xmlCopy to Clipboard Copied! Toggle word wrap Toggle overflow
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}