强化和合规性

安装 Ansible Automation Platform 时，安装程序会检查安装程序清单中的 完全限定域名 (FQDN)是否定义了某些基础架构服务器。本指南建议所有 Ansible Automation Platform 基础架构节点在 DNS 中定义有效的 FQDN，它解析为可路由的 IP 地址，并在安装程序清单文件中使用这些 FQDN。

当在 Ansible Automation Platform 中使用负载均衡器时，如部署拓扑中所述，负载均衡器需要额外的 FQDN。例如，FQDN （如 aap.example.com ）可用于负载均衡器，将流量定向到安装清单中定义的每个平台网关组件。

在 Ansible Automation Platform 基础架构中配置每个服务器，以将时间与 网络时间协议 (NTP)池或机构的 NTP 服务同步。这样可确保 Ansible Automation Platform 生成的日志记录和审核事件具有准确的时间戳，并且任何从自动化控制器运行的作业都正确执行。这也启用了 Ansible Automation Platform 中系统之间的通信，以根据超时拒绝消息。

有关为 NTP 同步配置 chrony 服务的详情，请参考 Red Hat Enterprise Linux 文档中的 使用 Chrony。

Ansible Automation Platform 以操作方式使用多个 secret （密码、密钥等）。这些 secret 存储在各种 Ansible Automation Platform 服务器上，因为每个组件服务都必须在启动时读取它们。所有文件都受到 Unix 权限保护，仅限于 root 用户或相应的服务帐户用户。应定期监控这些文件，以确保没有未经授权的访问或修改。

自动化控制器会在数据库中存储各种用于自动化的 secret 或自动化生成的 secret。自动化使用 secret 包括：

您可以向用户和团队授予使用这些凭证的权限，而无需实际向用户公开凭证。这意味着，如果用户移至不同的团队或离开组织，您不必更新所有系统的密钥。

自动化控制器使用 SSH （或 Windows 等效）连接到远程主机。要将密钥从自动化控制器传递给 SSH，必须在将其写入命名管道之前解密密钥。然后，自动化控制器会使用该管道将密钥发送到 SSH （因此永远不会写入磁盘）。如果使用密码，自动化控制器会直接响应密码提示符并解密密码，然后再将其写入提示符。

作为具有超级用户访问权限的管理员，您可以使用类似 YAML/JSON 的定义以标准格式定义自定义凭证类型，从而将新凭证类型分配给作业和清单更新。这可让您定义一个与现有凭证类型类似的自定义凭证类型。例如，您可以创建一个自定义凭证类型，将第三方 Web 服务的 API 令牌注入环境变量，您的 playbook 或自定义清单脚本可以使用它。

要加密 secret 字段，Ansible Automation Platform 使用 Cipher Block Chaining (CBC)模式中的 高级加密标准 (AES)模式，使用 256 位 密钥进行加密、公钥加密标准 (PKCS7)填充 和基于哈希的消息身份验证代码 (HMAC)使用 SHA256 进行身份验证。加密/解密过程从 SECRET_KEY、模型字段的字段名称和数据库分配的自动递增记录 ID 生成 AES-256 位加密密钥。因此，如果密钥生成过程中使用的任何属性发生变化，Ansible Automation Platform 无法正确解密 secret。Ansible Automation Platform 的设计使得 SECRET_KEY 不能在 playbook Ansible Automation Platform 启动时读取。这意味着，Ansible Automation Platform 用户不会读取这些 secret，并且 Ansible Automation Platform REST API 没有提供 secret 字段值。如果在 playbook 中使用 secret 值，您必须在任务中使用 no_log，使其不会被意外记录。如需更多信息，请参阅 保护没有日志的敏感数据。

如果将 Ansible 输出保存到日志，您可以在 Ansible 输出中公开任何 secret 数据，如密码和用户名。要将敏感值保留在日志中，请使用 no_log: True 属性公开它们的任务。但是，no_log 属性不会影响调试输出，因此请小心不要在生产环境中调试 playbook。

对于运行 Ansible Automation Platform 服务的 RHEL 服务器上的用户帐户，请按照您的机构策略来确定单个用户帐户是否应该是本地的，或者应使用外部身份验证源。只有对 Ansible Automation Platform 组件本身具有有效执行维护任务的用户才应被授予对底层 RHEL 服务器的访问权限，因为服务器存储包含敏感信息的配置文件，如加密密钥和服务密码。由于这些个人必须有特权访问权限才能维护 Ansible Automation Platform 服务，因此尽量减少对底层 RHEL 服务器的访问至关重要。不要将 sudo 访问权限授予 root 帐户或本地 Ansible Automation Platform 服务帐户(awx、pulp、postgres)给不受信任的用户。

用于访问用户界面或 API 的 Ansible Automation Platform 用户帐户可以是本地（存储在 Ansible Automation Platform 数据库中）或映射到外部身份验证源，如 轻量级目录访问协议 (LDAP)服务器。本指南建议尽可能，所有主用户帐户都应映射到外部身份验证源。使用外部帐户源可在此上下文中使用权限时消除错误来源，并尽可能减少用于维护整个 Ansible Automation Platform 中用户的时间。这包括分配给个人个人的帐户以及非个人实体，如用于外部应用程序集成的服务帐户。保留任何本地帐户，如默认"admin"帐户，以满足外部身份验证机制不可用的紧急访问或"破坏镜"的情况。

选择符合您组织的验证策略的身份验证机制，并参考 访问管理和身份验证，以了解相关身份验证机制的先决条件。在公共或非安全网络中发生流量时，必须确保 Ansible Automation Platform 和身份验证后端之间的与身份验证相关的流量加密（例如，LDAPS 或 LDAP 通过 TLS，OAuth2 和 SAML 提供程序的 HTTPS 等）。

在 Ansible Automation Platform UI 中，任何"系统管理员"帐户都可以编辑、更改和更新任何清单或自动化定义。将这些帐户权限限制为可能的最小用户集合，以进行低级自动化控制器配置和灾难恢复。

当在 Red Hat Enterprise Linux 服务器上安装 Ansible Automation Platform 组件时，Red Hat Enterprise Linux 服务器应该只专用于使用它。除了 Ansible Automation Platform 外，不得安装其他服务器功能，因为这是一个不支持的配置，并可能会影响 Ansible Automation Platform 软件的安全性和性能。

同样，当 Ansible Automation Platform 部署到 Red Hat Enterprise Linux 主机上时，它会像 nginx web 服务器、Pulp 软件存储库和 PostgreSQL 数据库服务器（除非使用用户提供的外部数据库）安装软件。此软件不应以更通用的方式修改或使用（例如，不要使用 nginx 来提供额外的网站内容或 PostgreSQL 来托管其他数据库），因为这是一个不支持的配置，并可能会影响 Ansible Automation Platform 的安全性和性能。此软件的配置由 Ansible Automation Platform 安装程序管理，执行升级时可能会撤消任何手动更改。

对于基于 RPM 的安装，您可以在执行设置脚本时在运行时提供 Ansible vault。

在 vault 文件中添加以下敏感变量：

admin_password: <secure_password>
pg_password: <secure_password>
automationgateway_admin_password: <secure_password>
automationgateway_pg_password: <secure_password>
automationhub_admin_password: <secure_password>
automationhub_pg_password: <secure_password>
automationedacontroller_admin_password: <secure_password>
automationedacontroller_pg_password: <secure_password>

*In the case of a connected installation:

registry_password: <secure_cdn_password>

admin_password: <secure_password>
pg_password: <secure_password>
automationgateway_admin_password: <secure_password>
automationgateway_pg_password: <secure_password>
automationhub_admin_password: <secure_password>
automationhub_pg_password: <secure_password>
automationedacontroller_admin_password: <secure_password>
automationedacontroller_pg_password: <secure_password>

*In the case of a connected installation:

registry_password: <secure_cdn_password>

要在安装过程中使用 vault，请使用以下流程：

使用这个流程可确保安装程序从密码库读取加密变量并提示输入 vault 密码。

对于 Ansible Automation Platform 的容器化安装，请使用提供的自动化执行 playbook 和外部 vault 文件。

在 vault 文件中添加以下敏感变量：

postgresql_admin_password:  <secure_password>
gateway_admin_password:  <secure_password>
gateway_pg_password:  <secure_password>
controller_admin_password:  <secure_password>
controller_pg_password:  <secure_password>
hub_admin_password:  <secure_password>c
hub_pg_password:  <secure_password>
eda_admin_password:  <secure_password>
eda_pg_password: <secure_password>

*In the case of a connected installation:

registry_password: <secure_cdn_password>

postgresql_admin_password:  <secure_password>
gateway_admin_password:  <secure_password>
gateway_pg_password:  <secure_password>
controller_admin_password:  <secure_password>
controller_pg_password:  <secure_password>
hub_admin_password:  <secure_password>c
hub_pg_password:  <secure_password>
eda_admin_password:  <secure_password>
eda_pg_password: <secure_password>

*In the case of a connected installation:

registry_password: <secure_cdn_password>

要将新的 Ansible 库与安装程序搭配使用，请使用以下流程：

确保 vault 文件位于工作目录中，或者提供完整路径。不要在 明文 清单文件中重复加密的变量。

合规策略可能需要 fapolicyd 守护进程正在运行。但是，当 fapolicyd 为 enforcing 策略时，Ansible Automation Platform 目前不支持，因为这会导致 Ansible Automation Platform 的安装和操作过程中失败。因此，安装程序会运行一个 pre-flight 检查，如果发现 fapolicyd 处于 enforcing 策略，则会停止安装。本指南建议在 Ansible Automation Platform 上将 fapolicyd 设置为 permissive 模式，执行以下步骤：

合规性配置文件可能需要使用 noexec 选项挂载某些文件系统，以防止执行位于这些文件系统中二进制文件。基于 Ansible Automation Platform RPM 的安装程序运行 preflight 检查，如果以下任何文件系统是使用 noexec 选项挂载的，该检查会失败：

要安装 Ansible Automation Platform，您必须卸载这些文件系统，并删除了 noexec 选项。安装完成后，执行以下步骤：

在正常操作过程中，包含 /var/lib/awx 子目录的文件系统（通常为 /var）不能使用 noexec 选项挂载，或者自动化控制器无法在执行环境中运行自动化作业。

在通常审核 STIG 控制的环境中，讨论与您的安全审核员相关的 STIG 控制。

合规性配置集可能需要内核设置 user.max_user_namespaces 设置为 "0"，以防止 Linux 容器启动。例如，DISA STIG 需要此控制，但仅在不需要 Linux 容器时才需要。由于 Ansible Automation Platform 可以在容器中安装和操作，并将容器用作其执行环境功能的一部分，所以需要 Linux 容器，且必须禁用此控制。

要检查 user.max_user_namespaces 内核设置，请在安装清单中的每个 Ansible Automation Platform 组件上完成以下步骤：

合规性配置集可能需要强制实施交互式会话超时。例如，DISA STIG 要求所有用户在 15 分钟不活跃后自动注销。安装过程通常需要一小时或更长时间来完成，这个控制可以停止安装过程，并在安装完成前注销用户。这也适用于备份和恢复等第二天操作，在生产环境中，这些操作通常比推荐的交互式会话超时要长。在这些操作过程中，增加交互式会话超时以确保操作成功。

可以强制实施此控制的方法有多种，包括 shell 超时变量，为 systemd-logind 设置空闲会话超时，或者设置 SSH 连接超时，不同的合规性配置集可以使用这些方法中的一个或多个。最经常中断安装和第 2 天操作的超时时间是 systemd-logind 的空闲会话超时，该超时是在 DISA STIG 版本 V2R1 (Red Hat Enterprise Linux 8)和 V2R2 (Red Hat Enterprise Linux 9)中引入的。要增加 systemd-logind 的空闲会话超时，以 root 用户身份：

合规性配置集可能要求具有 sudo 特权的所有用户都必须提供密码（也就是说，NO PASSWD 指令不得在 sudoers 文件中使用）。Ansible Automation Platform 安装程序以特权用户身份运行许多任务，默认情况下，需要能够在不输入密码的情况下提升特权。要为安装程序提供用于提升权限的密码，请在启动 RPM 安装程序脚本时附加以下选项：

./setup.sh <setup options> --ask-become-pass.

对于基于容器的安装程序：

ansible-playbook ansible.containerized_installer.install --ask-become-pass

当安装程序运行时，会提示您输入用户的密码来提升权限。

要将日志记录设置为集中日志的任何聚合器类型，请按照以下步骤操作：

设置以下选项：

以下步骤启用 LDAP 日志记录：

要为 LDAP 启用日志记录，请使用以下流程：

以下一些满足合规要求的示例来自美国国防部 安全技术实施指南，但返回完整性和安全性最佳实践。

自动化控制器必须使用外部日志供应商，这些供应商可在独立的受保护的存储库中收集用户活动日志，以防止修改或回复。自动化控制器必须配置为使用外部日志记录来编译来自服务器中多个组件的日志记录。发生事件必须时间与时间相关，才能准确进行诊断分析。此外，关联性必须满足某些容错标准。

以下步骤实现安全控制：

自动化控制器必须分配日志记录存储容量，并在日志失败时默认关闭（除非可用性是一个覆盖问题）。当系统面临处理日志的风险时，它会检测到并采取措施来缓解故障。日志处理失败包括软件/硬件错误、日志捕获机制中的故障，以及达到或超过日志存储容量。在故障期间，必须将应用服务器配置为关闭，除非应用服务器是高可用性系统的一部分。当可用性是覆盖时，响应日志失败的其他批准操作如下：

自动化控制器的日志文件必须通过明确定义的特权访问。自动化控制器日志文件的保密性会导致攻击者识别他们可能无法获取的系统的关键信息，使它们能够枚举更多信息以启用升级或随后的移动。

要实现安全控制，请使用以下流程：

在日志子系统失败时，自动化控制器必须配置为切换到另一个系统。自动化控制器主机必须能够切换到另一个自动化控制器主机，这些自动化控制器主机可以在检测应用程序日志处理失败时处理应用程序和日志记录功能。这可实现应用程序的持续操作和日志记录功能，同时尽量减少用户丢失和日志数据的操作。

对 Ansible Automation Platform 进行常规备份是灾难恢复计划的关键部分。备份和恢复都是使用安装程序执行的，因此这些操作应该从本文档前面描述的专用安装主机执行。有关如何执行这些操作的详情，请参阅自动化控制器文档中的 备份和恢复 部分。

备份的一个重要方面是，它们包含数据库的副本以及用于解密数据库中存储的凭证的 secret 密钥，因此备份文件应存储在安全加密位置。这意味着，对端点凭证的访问会被正确保护。对备份的访问应限制为具有对自动化控制器和专用安装主机的 root shell 访问权限的 Ansible Automation Platform 管理员。

Ansible Automation Platform 管理员需要备份其 Ansible Automation Platform 环境的主要原因如下：

在所有情况下，推荐和安全的过程总是使用相同的 PostgreSQL 和 Ansible Automation Platform 版本来备份和恢复环境。

强烈建议在系统中使用一些冗余功能。如果 secret 系统停机，自动化控制器无法获取信息，并可能会因为恢复服务后可以恢复的方式失败。如果您认为为您生成的 SECRET_KEY 自动化控制器已被被破坏，且必须重新生成，您可以从安装程序运行一个工具，它的行为与自动化控制器备份和恢复工具非常相似。

要生成新的 secret 密钥，请执行以下步骤：

以上密钥的备份副本保存在 /etc/tower/ 中。

在企业环境中，拥有外部管理的 secret 是在多个服务间管理敏感数据的便捷方式。HashiCorp vault 的最常见和推荐的身份验证方法之一就是，在签发令牌前，使用带有策略和登录要求的 AppRoles。要将 Ansible Automation Platform 配置为使用 HashiCorp vault 中存储的 secret，请使用 HashiCorp Vault Secret Lookup 类型设置新凭证。有关如何执行此操作的详情，请参考 Hashicorp vault secret 查找。

输入相关信息，如可识别的凭证名称、机构以及 vault 服务器的 URL，例如 https://vault.domain.com:8200。

使用 Token、AppRole role_id 和 AppRole secret_id 等信息填充必要的字段，然后为 API 版本选择 v2。

要测试凭证以测试功能和操作，请使用以下流程：

要在 Ansible Automation Platform 中使用 HashiCorp vault 凭证，请使用类型 Machine Credential 创建新凭据。输入相关信息，如可识别的凭证名称和机构。

要配置 HashiCorp Vault 凭证的使用，请使用以下流程：

使用以下步骤：

服务帐户需要足够的权限才能在受管节点上运行任何当前或将来的自动化作业。本节介绍 sudo 的使用，但其他特权升级方法可用。

由于 Ansible Automation Platform 默认为在基于 Linux 的受管节点上使用 ansible.builtin.sudo become 插件，因此该服务帐户必须使用 sudo 命令在 RHEL 受管节点上运行任何命令。

要配置此功能，请使用以下流程：

该服务帐户不得被允许使用带有与受管节点的 SSH 连接的密码身份验证。

使用以下步骤配置 SSH 守护进程：

假设禁止密码身份验证，则必须将至少一个 SSH 公钥附加到服务帐户的 authorized_keys 文件（通常位于 /home/ansible/.ssh/authorized_keys）。

这些公钥必须与用于在 Ansible Automation Platform 中建立机器凭证的私钥对应，因为这些凭证有助于连接到 RHEL 受管节点。

本指南为单个服务帐户提供与受管 RHEL 节点的连接，但这并不意味着在所有节点上使用单个 SSH 密钥。在大型组织中，管理 RHEL 服务器的单个团队可以在 Ansible Automation Platform 中生成自己的机器凭证。然后，团队可以在其特定 RHEL 服务器上的授权密钥文件中添加对应的密钥。这种方法确保通过使用通用服务帐户在机构范围内一致访问受管节点，同时让每个团队独立管理其分配节点的凭据。

要限制来自 Ansible Automation Platform 自动化控制器和执行节点的远程登录访问，并确保服务帐户完全被 Ansible Automation Platform 使用，请使用以下步骤：

当针对 RHEL 受管节点运行 Ansible Automation Platform 作业时，大多数任务都通过将 Python 代码复制到受管节点来执行，然后在本地执行。如果在受管节点上启用了 fapolicyd 服务，则作业将失败，因为 RHEL 附带的默认规则集可防止这个 Python 代码运行。

要防止这个问题发生，请使用以下方法之一：

fapolicyd 服务可以被设置为 "permissive" 模式，这意味着它只记录 fapolicyd 规则违反情况，而不是强制执行它们。

要为 fapolicyd 配置 permissive 模式，请使用以下流程：

在此配置不符合所需的合规性配置集或本地策略的环境中，讨论与您的安全审核员相关的安全控制。

如果 fapolicyd 服务必须强制执行其规则，请考虑设计一组自定义规则来允许 Ansible Automation Platform 执行其 Python 代码。

以下示例流程将 "ansible" 服务帐户视为可信实体，并使它在本地 Ansible 临时目录中执行内容（默认为 $HOME/.ansible/tmp）。

这个示例规则可能需要修改来与受管 RHEL 节点上存在的任何其他 fapolicyd 规则一起使用，在投入生产前，安全审核员必须经过全面测试和批准。