5.8. 定制 Compliance Operator

流程

1. 浏览 Red Hat Enterprise Linux CoreOS (RHCOS) ProfileBundle 的可用规则：

   $ oc get rules.compliance -n openshift-compliance -l compliance.openshift.io/profile-bundle=rhcos4

   Copy to Clipboard Toggle word wrap

2. 浏览同一 ProfileBundle 中的可用变量：

   $ oc get variables.compliance -n openshift-compliance -l compliance.openshift.io/profile-bundle=rhcos4

   Copy to Clipboard Toggle word wrap

3. 创建名为 nist-moderate-modified 的定制配置集：

   1. 选择您要添加到 nist-moderate-modified 定制配置集中的规则。这个示例通过禁用两个规则并更改一个值来扩展 rhcos4-moderate 配置集。使用 rationale 值描述进行这些更改的原因：

      new-profile-node.yaml示例

      apiVersion: compliance.openshift.io/v1alpha1
      kind: TailoredProfile
      metadata:
        name: nist-moderate-modified
      spec:
        extends: rhcos4-moderate
        description: NIST moderate profile
        title: My modified NIST moderate profile
        disableRules:
        - name: rhcos4-file-permissions-var-log-messages
          rationale: The file contains logs of error messages in the system
        - name: rhcos4-account-disable-post-pw-expiration
          rationale: No need to check this as it comes from the IdP
        setValues:
        - name: rhcos4-var-selinux-state
          rationale: Organizational requirements
          value: permissive

      Copy to Clipboard Toggle word wrap

      Expand

      表 5.2. spec 变量的属性

      属性	描述
      extends	构建此 TailoredProfile 的 Profile 对象的名称。
      title	TailoredProfile 的人类可读标题.
      disableRules	名称和理由对列表。每个名称引用要禁用的规则对象的名称。合理值是人类可读的文本，描述禁用规则的原因。
      manualRules	名称和理由对列表。添加手动规则时，检查结果状态始终是 manual，且不会生成补救。此属性是自动的，在默认情况下，设置手动规则时没有值。
      enableRules	名称和理由对列表。每个名称引用要启用的规则对象的名称。合理值是人类可读的文本，描述启用规则的原因。
      description	描述 TailoredProfile 的人类可读文本.
      setValues	名称、理由和值分组列表。每个名称都引用值集的名称。理由是人类可读的文本描述该集合。值是实际设置。

      Show more

   2. 添加 tailoredProfile.spec.manualRules 属性：

      示例 tailoredProfile.spec.manualRules.yaml

      apiVersion: compliance.openshift.io/v1alpha1
      kind: TailoredProfile
      metadata:
        name: ocp4-manual-scc-check
      spec:
        extends: ocp4-cis
        description: This profile extends ocp4-cis by forcing the SCC check to always return MANUAL
        title: OCP4 CIS profile with manual SCC check
        manualRules:
          - name: ocp4-scc-limit-container-allowed-capabilities
            rationale: We use third party software that installs its own SCC with extra privileges

      Copy to Clipboard Toggle word wrap

   3. 创建 TailoredProfile 对象：

      $ oc create -n openshift-compliance -f new-profile-node.yaml 

      1

      Copy to Clipboard Toggle word wrap

      1

      TailoredProfile 对象在默认的 openshift-compliance 命名空间中创建。

      输出示例

      tailoredprofile.compliance.openshift.io/nist-moderate-modified created

      Copy to Clipboard Toggle word wrap

4. 定义 ScanSettingBinding 对象，将新的 nist-moderate-modified 定制配置集绑定到默认的 ScanSetting 对象。

   new-scansettingbinding.yaml示例

   apiVersion: compliance.openshift.io/v1alpha1
   kind: ScanSettingBinding
   metadata:
     name: nist-moderate-modified
   profiles:
     - apiGroup: compliance.openshift.io/v1alpha1
       kind: Profile
       name: ocp4-moderate
     - apiGroup: compliance.openshift.io/v1alpha1
       kind: TailoredProfile
       name: nist-moderate-modified
   settingsRef:
     apiGroup: compliance.openshift.io/v1alpha1
     kind: ScanSetting
     name: default

   Copy to Clipboard Toggle word wrap

5. 创建 ScanSettingBinding 对象：

   $ oc create -n openshift-compliance -f new-scansettingbinding.yaml

   Copy to Clipboard Toggle word wrap

   输出示例

   scansettingbinding.compliance.openshift.io/nist-moderate-modified created

   Copy to Clipboard Toggle word wrap