第 24 章 扩展、自定义并故障排除内核完整性子系统

流程

1. 安装 rpm-plugin-ima ：

   $ sudo dnf install rpm-plugin-ima -yq

   这样可确保软件包文件在软件包安装、重新安装或升级过程中自动存储在 security.xattr 中。

2. 重新安装所有软件包：

   $ sudo dnf reinstall "*" -y

   这样可确保为所有软件包更新了 security.xattr 扩展属性。

3. 启用 dracut 完整性模块，以便在引导时自动在 /etc/keys/ima 载入中的官方 IMA code-signing 密钥：

   $ sudo dracut -f

流程

1. 可选：启用您选择的 IMA-appraisal 策略，或者如果您只使用自定义策略，请跳过这一步。使用内置 ima_policy=appraise_tcb 作为示例：

   # grubby --update-kernel=/boot/vmlinuz-$(uname -r) --args="ima_policy=appraise_tcb"

   • 另外，s390x 系统：

     # zipl

2. 通过添加 ima_appraise=fix 内核命令行参数来启用 IMA-appraisal 修复模式：

   # grubby --update-kernel=/boot/vmlinuz-$(uname -r) --args="ima_appraise=fix"

   • 另外，s390x 系统：

     # zipl

3. 重启系统：

   # reboot

4. 可选：加载您的自定义 IMA 策略：

   # echo <path_to_your_custom_ima_policy> > /sys/kernel/security/ima/policy

5. 重新标记整个系统：

   # find / -fstype xfs -type f -uid 0 -exec head -c 0 '{}' \;

6. 通过删除 ima_appraise=fix 内核命令行参数来关闭 IMA-appraisal 修复模式：

   # grubby --update-kernel=/boot/vmlinuz-$(uname -r) --remove-args="ima_appraise=fix"

   • 另外，s390x 系统：

     # zipl

7. 如果禁用了安全引导，则启用安全引导。