安全强化

流程

1. 在系统安装开始时，当 Red Hat Enterprise Linux 引导窗口打开并显示可用的引导选项时，将 fips=1 选项添加到内核命令行中。

   1. 在 UEFI 系统上，按 e 键，将光标移至 linuxefi 内核命令行的末尾，将 fips=1 添加到此行的末尾，例如：

      linuxefi /images/pxeboot/vmlinuz inst.stage2=hd:LABEL=RHEL-10-0-BaseOS-x86_64 rd.live.\
      check quiet fips=1

      Copy to Clipboard Toggle word wrap

   2. 在 BIOS 系统上，按 Tab 键，将光标移至内核命令行的末尾，并将 fips=1 添加到此行的末尾，例如：

      > vmlinuz initrd=initrd.img inst.stage2=hd:LABEL=RHEL-10-0-BaseOS-x86_64 rd.live.check quiet fips=1

      Copy to Clipboard Toggle word wrap
2. 在软件选择阶段，请勿安装任何第三方软件。
3. 安装后，系统会自动以 FIPS 模式启动。

流程

1. 使用以下内容，创建一个 Tom's Obvious, Minimal Language (TOML)格式的纯文本文件：

   name = "system-fips-mode-enabled"
   description = "blueprint with FIPS enabled "
   version = "0.0.1"
   
   [customizations]
   fips = true
   
   [[customizations.user]]
   name = "admin"
   password = "admin"
   groups = ["users", "wheel"]

   Copy to Clipboard Toggle word wrap

2. 将蓝图导入到 RHEL 镜像构建器服务器中：

   # composer-cli blueprints push blueprint-name.toml

   Copy to Clipboard Toggle word wrap

3. 列出现有的蓝图，以检查创建的蓝图是否已成功导入且存在：

   # composer-cli blueprints show blueprint-name

   Copy to Clipboard Toggle word wrap

4. 检查蓝图中列出的组件和版本是否有效：

   # composer-cli blueprints depsolve blueprint-name

   Copy to Clipboard Toggle word wrap

5. 构建自定义的 RHEL 镜像：

   # composer-cli compose start \ blueprint-name \ image-type \

   Copy to Clipboard Toggle word wrap

6. 查看镜像状态：

   # composer-cli compose status
   …
   $ UUID FINISHED date blueprint-name blueprint-version image-type
   …

   Copy to Clipboard Toggle word wrap

7. 下载镜像：

   # composer-cli compose image UUID

   Copy to Clipboard Toggle word wrap

   RHEL 镜像构建器将镜像下载到当前目录路径。UUID 号和镜像大小会同时显示：

   $ UUID-image-name.type: size MB

   Copy to Clipboard Toggle word wrap

验证

1. 使用您在蓝图中配置的用户名和密码登录到系统镜像。

2. 检查是否启用了 FIPS 模式：

   $ cat /proc/sys/crypto/fips_enabled
   1

   Copy to Clipboard Toggle word wrap

流程

1. 创建一个 01-fips.toml 来配置 FIPS 启用，例如：

   # Enable FIPS
   kargs = ["fips=1"]

   Copy to Clipboard Toggle word wrap

2. 使用以下说明创建一个 Containerfile，以启用 fips=1 内核参数并调整加密策略：

   FROM registry.redhat.io/rhel10/rhel-bootc:latest
   # Enable fips=1 kernel argument: https://bootc-dev.github.io/bootc/building/kernel-arguments.html
   COPY 01-fips.toml /usr/lib/bootc/kargs.d/
   # Install and enable the FIPS crypto policy
   RUN dnf install -y crypto-policies-scripts && update-crypto-policies --no-reload --set FIPS

   Copy to Clipboard Toggle word wrap

3. 使用当前目录中的 Containerfile 创建 bootc <image> 兼容的基础磁盘镜像：

   $ sudo podman run \
       --rm \
       -it \
       --privileged \
       --pull=newer \
       --security-opt label=type:unconfined_t \
       -v $(pwd)/config.toml:/config.toml:ro \
       -v $(pwd)/output:/output \
       -v /var/lib/containers/storage:/var/lib/containers/storage \
       registry.redhat.io/rhel10/bootc-image-builder:latest \
       --local
       --type qcow2 \
       --type iso \
       quay.io/<namespace>/<image>:<tag>

   Copy to Clipboard Toggle word wrap

4. 在系统安装过程中启用 FIPS 模式：

   1. 引导 RHEL Anaconda 安装程序时，在安装屏幕上，按 TAB 键并添加 fips=1 内核参数。

      安装后，系统会自动以 FIPS 模式启动。

流程

1. 可选：显示当前的加密策略：

   $ update-crypto-policies --show
   DEFAULT

   Copy to Clipboard Toggle word wrap

2. 设置新的加密策略：

   # update-crypto-policies --set <POLICY>
   <POLICY>

   Copy to Clipboard Toggle word wrap

   将 <POLICY> 替换为您要设置的策略或子策略，例如 FUTURE、LEGACY 或 FIPS:OSPP。

3. 重启系统：

   # reboot

   Copy to Clipboard Toggle word wrap

流程

1. 要将系统范围的加密策略切换到 LEGACY，请输入：

   # update-crypto-policies --set LEGACY
   Setting system policy to LEGACY

   Copy to Clipboard Toggle word wrap

   有关可用的加密策略的列表，请查看您系统上的 update-crypto-policies (8) 手册页。

2. 要使您的加密设置对已经运行的服务和应用程序有效，请重启系统：

   $ reboot

   Copy to Clipboard Toggle word wrap

流程

1. 登录到 RHEL 10 web 控制台。

2. 在 Overview 页面的 Configuration 卡中，点 Crypto 策略旁的当前策略值。

   

3. 在 Change crypto policy 对话框窗口中，点您要在系统上开始使用的策略。
4. 点应用并重新引导按钮。

流程

1. 签出到 /etc/crypto-policies/policies/modules/ 目录：

   # cd /etc/crypto-policies/policies/modules/

   Copy to Clipboard Toggle word wrap

2. 为您的调整创建子策略，例如：

   # touch <MYCRYPTO-1>.pmod
   # touch <SCOPES-AND-WILDCARDS>.pmod

   Copy to Clipboard Toggle word wrap
   重要

   在策略模块的文件名中使用大写字母。

3. 在您选择的文本编辑器中打开策略模块并插入修改系统范围加密策略的选项，例如：

   # vi <MYCRYPTO-1>.pmod

   Copy to Clipboard Toggle word wrap

   min_rsa_size = 3072
   hash = SHA2-384 SHA2-512 SHA3-384 SHA3-512

   Copy to Clipboard Toggle word wrap

   # vi <SCOPES-AND-WILDCARDS>.pmod

   Copy to Clipboard Toggle word wrap

   # Disable the AES-128 cipher, all modes
   cipher = -AES-128-*
   
   # Disable CHACHA20-POLY1305 for the TLS protocol (OpenSSL, GnuTLS, NSS, and OpenJDK)
   cipher@TLS = -CHACHA20-POLY1305
   
   # Allow using the FFDHE-1024 group with the SSH protocol (libssh and OpenSSH)
   group@SSH = FFDHE-1024+
   
   # Disable all CBC mode ciphers for the SSH protocol (libssh and OpenSSH)
   cipher@SSH = -*-CBC
   
   # Allow the AES-256-CBC cipher in applications using libssh
   cipher@libssh = AES-256-CBC+

   Copy to Clipboard Toggle word wrap
4. 将更改保存到模块文件中。

5. 将您的策略调整应用到 DEFAULT 系统范围加密策略级别：

   # update-crypto-policies --set DEFAULT:<MYCRYPTO-1>:<SCOPES-AND-WILDCARDS>

   Copy to Clipboard Toggle word wrap

6. 要使您的加密设置对已经运行的服务和应用程序有效，请重启系统：

   # reboot

   Copy to Clipboard Toggle word wrap

步骤

1. 为自定义创建一个策略文件：

   # cd /etc/crypto-policies/policies/
   # touch <MYPOLICY>.pol

   Copy to Clipboard Toggle word wrap

   或者，从复制四个预定义策略级别中的一个开始：

   # cp /usr/share/crypto-policies/policies/DEFAULT.pol /etc/crypto-policies/policies/<MYPOLICY>.pol

   Copy to Clipboard Toggle word wrap

2. 在您选择的文本编辑器中编辑带有自定义加密策略的文件以满足您的要求，例如：

   # vi /etc/crypto-policies/policies/<MYPOLICY>.pol

   Copy to Clipboard Toggle word wrap

   有关完整的语法参考，请参阅您系统上 update-crypto-policies (8) 手册页中的 自定义策略 部分和 crypto-policies (7) 手册页中的 加密策略定义格式 部分。

3. 将系统范围的加密策略切换到自定义级别：

   # update-crypto-policies --set <MYPOLICY>

   Copy to Clipboard Toggle word wrap

4. 要使您的加密设置对已经运行的服务和应用程序有效，请重启系统：

   # reboot

   Copy to Clipboard Toggle word wrap

流程

1. 安装 crypto-policies-pq-preview 软件包：

   # dnf install -y crypto-policies-pq-preview

   Copy to Clipboard Toggle word wrap

2. 在当前系统范围的加密策略之上启用 TEST-PQ 加密子策略，例如：

   # update-crypto-policies --show
   DEFAULT
   # update-crypto-policies --set DEFAULT:TEST-PQ

   Copy to Clipboard Toggle word wrap

3. 要使您的加密设置对已经运行的服务和应用程序有效，请重启系统：

   # reboot

   Copy to Clipboard Toggle word wrap

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configure cryptographic policies
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure the FUTURE cryptographic security policy on the managed node
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.crypto_policies
         vars:
           - crypto_policies_policy: FUTURE
           - crypto_policies_reboot_ok: true

   Copy to Clipboard Toggle word wrap

   示例 playbook 中指定的设置包括如下：

   crypto_policies_policy: FUTURE

   在受管节点上配置所需的加密策略(FUTURE)。它可以是基本策略，也可以是带有一些子策略的基本策略。指定的基本策略和子策略必须在受管节点上可用。默认值为 null，这意味着配置没有更改，并且 crypto_policies RHEL 系统角色仅收集 Ansible 事实。

   crypto_policies_reboot_ok: true

   加密策略更改后导致系统重启，以确保所有服务和应用程序都将读取新的配置文件。默认值为 false。

   有关角色变量和加密配置选项的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.crypto_policies/README.md 文件以及 update-crypto-policies (8) 和 crypto-policies (7) 手册页。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   请注意，这个命令只验证语法，不能防止错误的、但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard Toggle word wrap

验证

1. 在控制节点上，创建另一个 playbook，例如 verify_playbook.yml ：

   ---
   - name: Verification
     hosts: managed-node-01.example.com
     tasks:
       - name: Verify active cryptographic policy
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.crypto_policies
       - name: Display the currently active cryptographic policy
         ansible.builtin.debug:
           var: crypto_policies_active

   Copy to Clipboard Toggle word wrap

   示例 playbook 中指定的设置包括如下：

   crypto_policies_active

   导出的 Ansible 事实包含当前活动的 crypto_policies_policy 变量可接受的格式的策略名称。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/verify_playbook.yml

   Copy to Clipboard Toggle word wrap

3. 运行 playbook：

   $ ansible-playbook ~/verify_playbook.yml
   TASK [debug] **************************
   ok: [host] => {
       "crypto_policies_active": "FUTURE"
   }

   Copy to Clipboard Toggle word wrap

   crypto_policies_active 变量显示受管节点上活动的策略。

流程

1. 列出所有由 OpenSC PKCS #11 模块提供的密钥，包括其 PKCS #11 URIs，并将输出保存到 key.pub 文件：

   $ ssh-keygen -D pkcs11: > keys.pub

   Copy to Clipboard Toggle word wrap

2. 将公钥传送到远程服务器。使用ssh-copy-id 命令和上一步中创建的 keys.pub 文件：

   $ ssh-copy-id -f -i keys.pub <username@ssh-server-example.com>

   Copy to Clipboard Toggle word wrap

3. 使用 ECDSA 密钥连接到 <ssh-server-example.com>。您可以只使用 URI 的子集，它唯一引用您的密钥，例如：

   $ ssh -i "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so" <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   Copy to Clipboard Toggle word wrap

   因为 OpenSSH 使用 p11-kit-proxy 包装器，且 OpenSC PKCS #11 模块已注册到 p11-kit 工具，因此您可以简化上一个命令：

   $ ssh -i "pkcs11:id=%01" <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   Copy to Clipboard Toggle word wrap

   如果您跳过 PKCS #11 URI 的 id= 部分，则 OpenSSH 会加载代理模块中可用的所有密钥。这可减少输入所需的数量：

   $ ssh -i pkcs11: <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   Copy to Clipboard Toggle word wrap

4. 可选：您可以在 ~/.ssh/config 文件中使用同样的 URI 字符串来使配置持久：

   $ cat ~/.ssh/config
   IdentityFile "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so"
   $ ssh <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   Copy to Clipboard Toggle word wrap

   ssh 客户端工具现在自动使用此 URI 和智能卡中的密钥。

步骤

1. 在 /etc/polkit-1/rules.d/ 目录中创建一个新文件：

   # touch /etc/polkit-1/rules.d/00-test.rules

   Copy to Clipboard Toggle word wrap

2. 在您选择的编辑器中编辑该文件，例如：

   # vi /etc/polkit-1/rules.d/00-test.rules

   Copy to Clipboard Toggle word wrap

3. 插入以下行：

   polkit.addRule(function(action, subject) {
     if (action.id == "org.debian.pcsc-lite.access_pcsc" ||
     	action.id == "org.debian.pcsc-lite.access_card") {
   	polkit.log("action=" + action);
   	polkit.log("subject=" + subject);
     }
   });

   Copy to Clipboard Toggle word wrap

   保存文件并退出编辑器。

4. 重启 pcscd 和 polkit 服务：

   # systemctl restart pcscd.service pcscd.socket polkit.service

   Copy to Clipboard Toggle word wrap

验证

1. 为 pcscd 发出一个授权请求。例如，打开 Firefox Web 浏览器，或者使用 opensc 软件包提供的 pkcs11-tool -L 命令。

2. 显示扩展的日志条目，例如：

   # journalctl -u polkit --since "1 hour ago"
   polkitd[1224]: <no filename>:4: action=[Action id='org.debian.pcsc-lite.access_pcsc']
   polkitd[1224]: <no filename>:5: subject=[Subject pid=2020481 user=user' groups=user,wheel,mock,wireshark seat=null session=null local=true active=true]

   Copy to Clipboard Toggle word wrap

流程

1. 从数据流文件中找到安全配置文件的 ID：

   $ oscap info /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml
   Profiles:
   …
     Title: Australian Cyber Security Centre (ACSC) Essential Eight
   	Id: xccdf_org.ssgproject.content_profile_e8
     Title: Health Insurance Portability and Accountability Act (HIPAA)
   	Id: xccdf_org.ssgproject.content_profile_hipaa
     Title: PCI-DSS v3.2.1 Control Baseline for Red Hat Enterprise Linux 10
   	Id: xccdf_org.ssgproject.content_profile_pci-dss
   …

   Copy to Clipboard Toggle word wrap
2. 可选：如果要使用 XCCDF 定制文件自定义强化，您可以使用 openscap-utils 软件包提供的 autotailor 命令。如需更多信息，请参阅 使用 autotailor 自定义安全配置文件。

3. 从 SCAP 源数据流生成 kickstart 文件：

   $ oscap xccdf generate fix --profile <profile_ID> --output <kickstart_file>.cfg --fix-type kickstart /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

   Copy to Clipboard Toggle word wrap

   如果您使用定制文件，请使用 --tailoring-file tailoring.xml 选项和自定义配置文件 ID 将定制文件嵌入到生成的 kickstart 文件中，例如：

   $ oscap xccdf generate fix --tailoring-file tailoring.xml --profile <custom_profile_ID> --output <kickstart_file>.cfg --fix-type kickstart ./ssg-rhel10-ds.xml

   Copy to Clipboard Toggle word wrap

4. 进行检查，如果需要，手动修改生成的 <kickstart_file>.cfg，以适应您的部署需求。按照文件中的注释中的说明进行操作。

   注意

   有些更改可能会影响 kickstart 文件安装的系统的合规性。例如，一些安全策略需要定义的分区或特定的软件包和服务。

5. 使用 kickstart 文件进行安装。要让安装程序使用 kickstart，可以通过 PXE 中提供的 Web 服务器，或嵌入到 ISO 镜像中来提供 kickstart。具体步骤请查看自动安装 RHEL 文档中的 完全和半自动化安装 RHEL 章节。
6. 安装完成后，系统会自动重启。重启后，登录并查看保存在 /root 目录中的安装 SCAP 报告。

流程

1. 使用 autotailor 命令为配置文件创建一个定制文件，例如：

   $ autotailor \ --select=<rule_ID_1> \ --select=<rule_ID_2> \ --unselect=<rule_ID_3> \ --var-value=<value_ID_1>=<value_1> \ --var-value=<value_ID_2>=<value_2> \ --output=<tailoring.xml> \ --tailored-profile-id=<custom_profile_ID> \ /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml <profile_ID>

   Copy to Clipboard Toggle word wrap

   其中：

   • <customization_options> 是配置文件的修改。使用以下选项之一：

     --select=<rule_ID>

     将现有规则添加到配置文件中。

     --unselect=<rule_ID>

     从配置文件中删除规则。

     --var-value=<value_ID>=<value>

     覆盖预设置的值。例如，要将 var_sshd_max_sessions 设置为 10，请使用 --var-value=var_sshd_max_sessions=10。

   • <tailoring.xml> 是 autotailor 保存定制的文件名。
   • <custom_profile_ID> 是 autotailor 在其中保存自定义的配置文件 ID，如 custom_cis。
   • <profile_ID> 是系统应该遵守的配置文件 ID，例如 cis。
   注意

   对于所有配置文件、规则和变量 XCCDF ID，您可以使用完整的命名空间标识符或 autotailor 自动使用命名空间前缀进行扩展的短 ID 。例如，cis 等同于 xccdf_org.ssgproject.content_profile_cis。

   您可以使用 --id-namespace 选项覆盖默认命名空间 org.ssgproject.content。

2. 可选：根据以 JSON Tailoring 格式定义的自定义创建一个定制文件：

   $ autotailor --output=<tailoring.xml> --json-tailoring=<json_tailoring.json>

   Copy to Clipboard Toggle word wrap

   替换：

   • 使用带有 JSON Tailoring 定义的文件名替换 <json_tailoring.json>。
   注意

   您可以将 --json-tailoring 与 --select, --unselect 和 --var-value 命令行自定义混在一起。在这种情况下，命令行自定义的优先级高于 JSON Tailoring。

流程

1. 安装 Keylime 验证器：

   # dnf install keylime-verifier

   Copy to Clipboard Toggle word wrap

2. 通过在 /etc/keylime/verifier.conf.d/ 目录中创建一个新的 .conf 文件来定义验证器的 IP 地址和端口，例如：/etc/keylime/verifier.conf.d/00-verifier-ip.conf，其内容如下：

   [verifier]
   ip = <verifier_IP_address>

   Copy to Clipboard Toggle word wrap
   • 将 <verifier_IP_address> 替换为验证器的 IP 地址。或者，使用 ip = * 或 ip = 0.0.0.0 将验证器绑定到所有可用 IP 地址。
   • 另外，您还可以使用 port 选项更改验证器的端口默认值 8881 。

3. 可选：为代理列表配置验证器的数据库。默认配置使用验证器的 /var/lib/keylime/cv_data.sqlite/ 目录中的 SQLite 数据库。您可以通过在 /etc/keylime/verifier.conf.d/ 目录中创建一个新的 .conf 文件来定义一个不同的数据库，例如：/etc/keylime/verifier.conf.d/00-db-url.conf，其内容如下：

   [verifier]
   database_url = <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties>

   Copy to Clipboard Toggle word wrap

   将 <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties> 替换为数据库的 URL，如 postgresql://verifier:UQ?nRNY9g7GZzN7@198.51.100.1/verifierdb。

   确保您使用的凭证为 Keylime 提供了权限，来创建数据库结构。

4. 将证书和密钥添加到验证器（verifier）中。您可以让 Keylime 生成它们，或使用现有的密钥和证书生成它们：

   • 使用默认 tls_dir = generate 选项，Keylime 在 /var/lib/keylime/cv_ca/ 目录中为验证器、注册器和租户生成新证书。

   • 要在配置中加载现有的密钥和证书，请在验证器配置中定义其位置。证书必须可以被运行 Keylime 服务的 keylime 用户访问。

     在 /etc/keylime/verifier.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/verifier.conf.d/00-keys-and-certs.conf，其内容如下：

     [verifier]
     tls_dir = /var/lib/keylime/cv_ca
     server_key = </path/to/server_key>
     server_key_password = <passphrase1>
     server_cert = </path/to/server_cert>
     trusted_client_ca = ['</path/to/ca/cert1>', '</path/to/ca/cert2>']
     client_key = </path/to/client_key>
     client_key_password = <passphrase2>
     client_cert = </path/to/client_cert>
     trusted_server_ca = ['</path/to/ca/cert3>', '</path/to/ca/cert4>']

     Copy to Clipboard Toggle word wrap
     注意

     使用绝对路径定义密钥和证书位置。或者，相对路径是从 tls_dir 选项中定义的目录解析的。

5. 在防火墙中打开端口：

   # firewall-cmd --add-port 8881/tcp
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

   如果您使用其他端口，请将 8881 替换为 .conf 文件中定义的端口号。

6. 启动验证器（verifier）服务：

   # systemctl enable --now keylime_verifier

   Copy to Clipboard Toggle word wrap
   注意

   在默认配置中，在启动 keylime_registrar 服务前启动 keylime_verifier，因为验证器会为其他 Keylime 组件创建 CA 和证书。使用自定义证书时不需要这个顺序。

流程

1. 可选：安装 keylime-verifier 软件包，以访问配置文件。您可以配置没有此软件包的容器，但这可能更容易修改软件包提供的配置文件。

   # dnf install keylime-verifier

   Copy to Clipboard Toggle word wrap

2. 通过在 /etc/keylime/verifier.conf.d/ 目录中创建一个新的 .conf 文件，来将验证器绑定到所有可用 IP 地址上，例如：/etc/keylime/verifier.conf.d/00-verifier-ip.conf，其内容如下：

   [verifier]
   ip = *

   Copy to Clipboard Toggle word wrap
   • 另外，您还可以使用 port 选项更改验证器的端口默认值 8881 。

3. 可选：为代理列表配置验证器的数据库。默认配置使用验证器的 /var/lib/keylime/cv_data.sqlite/ 目录中的 SQLite 数据库。您可以通过在 /etc/keylime/verifier.conf.d/ 目录中创建一个新的 .conf 文件来定义一个不同的数据库，例如：/etc/keylime/verifier.conf.d/00-db-url.conf，其内容如下：

   [verifier]
   database_url = <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties>

   Copy to Clipboard Toggle word wrap

   将 <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties> 替换为数据库的 URL，如 postgresql://verifier:UQ?nRNY9g7GZzN7@198.51.100.1/verifierdb。

   确保您使用的凭证对 Keylime 有权限，以创建数据库结构。

4. 将证书和密钥添加到验证器（verifier）中。您可以让 Keylime 生成它们，或使用现有的密钥和证书生成它们：

   • 使用默认 tls_dir = generate 选项，Keylime 在 /var/lib/keylime/cv_ca/ 目录中为验证器、注册器和租户生成新证书。

   • 要在配置中加载现有的密钥和证书，请在验证器配置中定义其位置。证书必须可以被运行 Keylime 进程的 keylime 用户访问。

     在 /etc/keylime/verifier.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/verifier.conf.d/00-keys-and-certs.conf，其内容如下：

     [verifier]
     tls_dir = /var/lib/keylime/cv_ca
     server_key = </path/to/server_key>
     server_cert = </path/to/server_cert>
     trusted_client_ca = ['</path/to/ca/cert1>', '</path/to/ca/cert2>']
     client_key = </path/to/client_key>
     client_cert = </path/to/client_cert>
     trusted_server_ca = ['</path/to/ca/cert3>', '</path/to/ca/cert4>']

     Copy to Clipboard Toggle word wrap
     注意

     使用绝对路径定义密钥和证书位置。或者，相对路径是从 tls_dir 选项中定义的目录解析的。

5. 在防火墙中打开端口：

   # firewall-cmd --add-port 8881/tcp
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

   如果您使用其他端口，请将 8881 替换为 .conf 文件中定义的端口号。

6. 运行容器：

   $ podman run --name keylime-verifier \
     -p 8881:8881 \
     -v /etc/keylime/verifier.conf.d:/etc/keylime/verifier.conf.d:Z \
     -v /var/lib/keylime/cv_ca:/var/lib/keylime/cv_ca:Z \
     -d \
     -e KEYLIME_VERIFIER_SERVER_KEY_PASSWORD=<passphrase1> \
     -e KEYLIME_VERIFIER_CLIENT_KEY_PASSWORD=<passphrase2> \
     registry.access.redhat.com/rhel9/keylime-verifier

   Copy to Clipboard Toggle word wrap
   • -p 选项在主机和容器上打开默认端口 8881。

   • -v 选项为目录创建到容器的绑定挂载。

     • 使用 Z 选项，Podman 使用私有未共享标签标记内容。这意味着只有当前容器可以使用私有卷。
   • -d 选项在后台运行分离的容器。
   • 选项 -e KEYLIME_VERIFIER_SERVER_KEY_PASSWORD=<passphrase1> 定义服务器密钥密码短语。
   • 选项 -e KEYLIME_VERIFIER_CLIENT_KEY_PASSWORD=<passphrase2> 定义客户端密钥密码短语。
   • 您可以使用选项 -e KEYLIME_VERIFIER_<ENVIRONMENT_VARIABLE>=<value> ，使用环境变量覆盖配置选项。要修改附加选项，请为每个环境变量单独插入 -e 选项。有关环境变量及其默认值的完整列表，请参阅 Keylime 环境变量。

流程

1. 安装 Keylime 注册器：

   # dnf install keylime-registrar

   Copy to Clipboard Toggle word wrap

2. 通过在 /etc/keylime/registrar.conf.d/ 目录中创建一个新的 .conf 文件来定义注册中心的 IP 地址和端口，例如：/etc/keylime/registrar.conf.d/00-registrar-ip.conf，其内容如下：

   [registrar]
   ip = <registrar_IP_address>

   Copy to Clipboard Toggle word wrap
   • 将 <registrar_IP_address> 替换为注册中心的 IP 地址。或者，使用 ip = * 或 ip = 0.0.0.0 将注册器绑定到所有可用 IP 地址。
   • 可选，使用 port 选项更改 Keylime 代理连接的端口。默认值为 8890。
   • 可选，使用 tls_port 选项更改 Keylime 验证器和租户连接的 TLS 端口。默认值为 8891。

3. 可选：为代理列表配置注册器的数据库。默认配置使用注册器的 /var/lib/keylime/reg_data.sqlite 目录中的 SQLite 数据库。您可以在 /etc/keylime/registrar.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/registrar.conf.d/00-db-url.conf，其内容如下：

   [registrar]
   database_url = <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties>

   Copy to Clipboard Toggle word wrap

   将 <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties> 替换为数据库的 URL，如 postgresql://registrar:EKYX-bqY2?#raXm@198.51.100.1/registrardb。

   确保您使用的凭证对 Keylime 有权限，以创建数据库结构。

4. 在注册器中添加证书和密钥：

   • 您可以使用默认配置，并将密钥和证书加载到 /var/lib/keylime/reg_ca/ 目录中。

   • 或者，您可以在配置中定义密钥和证书的位置。在 /etc/keylime/registrar.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/registrar.conf.d/00-keys-and-certs.conf，其内容如下：

     [registrar]
     tls_dir = /var/lib/keylime/reg_ca
     server_key = </path/to/server_key>
     server_key_password = <passphrase1>
     server_cert = </path/to/server_cert>
     trusted_client_ca = ['</path/to/ca/cert1>', '</path/to/ca/cert2>']

     Copy to Clipboard Toggle word wrap
     注意

     使用绝对路径定义密钥和证书位置。或者，您可以在 tls_dir 选项中定义目录，并使用相对于该目录的路径。

5. 在防火墙中打开端口：

   # firewall-cmd --add-port 8890/tcp --add-port 8891/tcp
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

   如果您使用其他端口，请将 8890 或 8891 替换为 .conf 文件中定义的端口号。

6. 启动 keylime_registrar 服务：

   # systemctl enable --now keylime_registrar

   Copy to Clipboard Toggle word wrap
   注意

   在默认配置中，在启动 keylime_registrar 服务前启动 keylime_verifier，因为验证器会为其他 Keylime 组件创建 CA 和证书。使用自定义证书时不需要这个顺序。

流程

1. 可选：安装 keylime-registrar 软件包，以访问配置文件。您可以配置没有此软件包的容器，但这可能更容易修改软件包提供的配置文件。

   # dnf install keylime-registrar

   Copy to Clipboard Toggle word wrap

2. 通过在 /etc/keylime/registrar.conf.d/ 目录中创建一个新的 .conf 文件，来将注册器绑定到所有可用的 IP 地址，例如 /etc/keylime/registrar.conf.d/00-registrar-ip.conf，其内容如下：

   [registrar]
   ip = *

   Copy to Clipboard Toggle word wrap
   • 可选，使用 port 选项更改 Keylime 代理连接的端口。默认值为 8890。
   • 可选，使用 tls_port 选项更改 Keylime 租户连接的 TLS 端口。默认值为 8891。

3. 可选：为代理列表配置注册器的数据库。默认配置使用注册器的 /var/lib/keylime/reg_data.sqlite 目录中的 SQLite 数据库。您可以在 /etc/keylime/registrar.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/registrar.conf.d/00-db-url.conf，其内容如下：

   [registrar]
   database_url = <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties>

   Copy to Clipboard Toggle word wrap

   将 <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties> 替换为数据库的 URL，如 postgresql://registrar:EKYX-bqY2?#raXm@198.51.100.1/registrardb。

   确保您使用的凭证对 Keylime 有权限，以创建数据库结构。

4. 在注册器中添加证书和密钥：

   • 您可以使用默认配置，并将密钥和证书加载到 /var/lib/keylime/reg_ca/ 目录中。

   • 或者，您可以在配置中定义密钥和证书的位置。在 /etc/keylime/registrar.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/registrar.conf.d/00-keys-and-certs.conf，其内容如下：

     [registrar]
     tls_dir = /var/lib/keylime/reg_ca
     server_key = </path/to/server_key>
     server_cert = </path/to/server_cert>
     trusted_client_ca = ['</path/to/ca/cert1>', '</path/to/ca/cert2>']

     Copy to Clipboard Toggle word wrap
     注意

     使用绝对路径定义密钥和证书位置。或者，您可以在 tls_dir 选项中定义目录，并使用相对于该目录的路径。

5. 在防火墙中打开端口：

   # firewall-cmd --add-port 8890/tcp --add-port 8891/tcp
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

   如果您使用其他端口，请将 8890 或 8891 替换为 .conf 文件中定义的端口号。

6. 运行容器：

   $ podman run --name keylime-registrar \
     -p 8890:8890 \
     -p 8891:8891 \
     -v /etc/keylime/registrar.conf.d:/etc/keylime/registrar.conf.d:Z \
     -v /var/lib/keylime/reg_ca:/var/lib/keylime/reg_ca:Z \
     -d \
     -e KEYLIME_REGISTRAR_SERVER_KEY_PASSWORD=<passphrase1> \
     registry.access.redhat.com/rhel9/keylime-registrar

   Copy to Clipboard Toggle word wrap
   • -p 选项打开主机和容器上的默认端口 8890 和 8881。

   • -v 选项为目录创建到容器的绑定挂载。

     • 使用 Z 选项，Podman 使用私有未共享标签标记内容。这意味着只有当前容器可以使用私有卷。
   • -d 选项在后台运行分离的容器。
   • 选项 -e KEYLIME_VERIFIER_SERVER_KEY_PASSWORD=<passphrase1> 定义服务器密钥密码短语。
   • 您可以使用选项 -e KEYLIME_REGISTRAR__<ENVIRONMENT_VARIABLE>=<value>，使用环境变量覆盖配置选项。要修改附加选项，请为每个环境变量单独插入 -e 选项。有关环境变量及其默认值的完整列表，请参阅 第 6.12 节 “Keylime 环境变量”。

流程

1. 创建定义所需角色的 playbook:

   1. 创建新 YAML 文件，并在文本编辑器中打开，例如：

      # vi keylime-playbook.yml

      Copy to Clipboard Toggle word wrap

   2. 插入以下内容：

      ---
      - name: Manage keylime servers
        hosts: all
        vars:
          keylime_server_verifier_ip: "{{ ansible_host }}"
          keylime_server_registrar_ip: "{{ ansible_host }}"
          keylime_server_verifier_tls_dir: <ver_tls_directory>
          keylime_server_verifier_server_cert: <ver_server_certfile>
          keylime_server_verifier_server_key: <ver_server_key>
          keylime_server_verifier_server_key_passphrase: <ver_server_key_passphrase>
          keylime_server_verifier_trusted_client_ca: <ver_trusted_client_ca_list>
          keylime_server_verifier_client_cert: <ver_client_certfile>
          keylime_server_verifier_client_key: <ver_client_key>
          keylime_server_verifier_client_key_passphrase: <ver_client_key_passphrase>
          keylime_server_verifier_trusted_server_ca: <ver_trusted_server_ca_list>
          keylime_server_registrar_tls_dir: <reg_tls_directory>
          keylime_server_registrar_server_cert: <reg_server_certfile>
          keylime_server_registrar_server_key: <reg_server_key>
          keylime_server_registrar_server_key_passphrase: <reg_server_key_passphrase>
          keylime_server_registrar_trusted_client_ca: <reg_trusted_client_ca_list>
        roles:
          - rhel-system-roles.keylime_server

      Copy to Clipboard Toggle word wrap

      您可以在 keylime_server RHEL 系统角色的变量 中找到更多有关变量的信息。

2. 运行 playbook：

   $ ansible-playbook <keylime-playbook.yml>

   Copy to Clipboard Toggle word wrap

验证

1. 检查 keylime_verifier 服务是否活跃并在受管主机上运行：

   # systemctl status keylime_verifier
   ● keylime_verifier.service - The Keylime verifier
        Loaded: loaded (/usr/lib/systemd/system/keylime_verifier.service; disabled; vendor preset: disabled)
        Active: active (running) since Wed 2022-11-09 10:10:08 EST; 1min 45s ago

   Copy to Clipboard Toggle word wrap

2. 检查 keylime_registrar 服务是否活跃且在运行：

   # systemctl status keylime_registrar
   ● keylime_registrar.service - The Keylime registrar service
        Loaded: loaded (/usr/lib/systemd/system/keylime_registrar.service; disabled; vendor preset: disabled)
        Active: active (running) since Wed 2022-11-09 10:10:17 EST; 1min 42s ago
   ...

   Copy to Clipboard Toggle word wrap

流程

1. 安装 Keylime 租户：

   # dnf install keylime-tenant

   Copy to Clipboard Toggle word wrap

2. 通过编辑 /etc/keylime/tenant.conf.d/00-verifier-ip.conf 文件将租户的连接定义到 Keylime 验证器的连接：

   [tenant]
   verifier_ip = <verifier_ip>

   Copy to Clipboard Toggle word wrap
   • 将 <verifier_ip> 替换为验证器系统的 IP 地址。
   • 如果验证器使用与默认值 8881 不同的端口，请添加 verifier_port = <verifier_port> 设置。

3. 通过编辑 /etc/keylime/tenant.conf.d/00-registrar-ip.conf 文件将租户的连接定义到 Keylime 注册器的连接：

   [tenant]
   registrar_ip = <registrar_ip>

   Copy to Clipboard Toggle word wrap
   • 将 <registrar_ip> 替换为注册器系统的 IP 地址。
   • 如果注册器使用与默认值 8891 不同的端口，请添加 registrar_port = <registrar_port> 设置。

4. 在租户中添加证书和密钥：

   1. 您可以使用默认配置，并将密钥和证书加载到 /var/lib/keylime/cv_ca 目录。

   2. 或者，您可以在配置中定义密钥和证书的位置。在 /etc/keylime/tenant.conf.d/ 目录中创建一个新的 .conf 文件，例如：/etc/keylime/tenant.conf.d/00-keys-and-certs.conf，其内容如下：

      [tenant]
      tls_dir = /var/lib/keylime/cv_ca
      client_key = tenant-key.pem
      client_key_password = <passphrase1>
      client_cert = tenant-cert.pem
      trusted_server_ca = ['</path/to/ca/cert>']

      Copy to Clipboard Toggle word wrap

      trusted_server_ca 参数接受到验证器和注册器服务器 CA 证书的路径。您可以提供多个以逗号分隔的路径，例如，验证器和注册器使用不同的 CA。

      注意

      使用绝对路径定义密钥和证书位置。或者，您可以在 tls_dir 选项中定义目录，并使用相对于该目录的路径。

5. 可选：如果无法使用 /var/lib/keylime/tpm_cert_store 目录中的证书验证可信平台模块(TPM)签署密钥(EK)，请将证书添加到那个目录中。这在使用具有模拟 TPM 的虚拟机时会出现这种情况。

验证

1. 检查 verifier 的状态：

   # keylime_tenant -c cvstatus
   Reading configuration from ['/etc/keylime/logging.conf']
   2022-10-14 12:56:08.155 - keylime.tpm - INFO - TPM2-TOOLS Version: 5.2
   Reading configuration from ['/etc/keylime/tenant.conf']
   2022-10-14 12:56:08.157 - keylime.tenant - INFO - Setting up client TLS...
   2022-10-14 12:56:08.158 - keylime.tenant - INFO - Using default client_cert option for tenant
   2022-10-14 12:56:08.158 - keylime.tenant - INFO - Using default client_key option for tenant
   2022-10-14 12:56:08.178 - keylime.tenant - INFO - TLS is enabled.
   2022-10-14 12:56:08.178 - keylime.tenant - WARNING - Using default UUID d432fbb3-d2f1-4a97-9ef7-75bd81c00000
   2022-10-14 12:56:08.221 - keylime.tenant - INFO - Verifier at 127.0.0.1 with Port 8881 does not have agent d432fbb3-d2f1-4a97-9ef7-75bd81c00000.

   Copy to Clipboard Toggle word wrap

   如果正确设置了，且没有配置代理，验证器会响应它无法识别的默认代理 UUID。

2. 检查 registrar 的状态：

   # keylime_tenant -c regstatus
   Reading configuration from ['/etc/keylime/logging.conf']
   2022-10-14 12:56:02.114 - keylime.tpm - INFO - TPM2-TOOLS Version: 5.2
   Reading configuration from ['/etc/keylime/tenant.conf']
   2022-10-14 12:56:02.116 - keylime.tenant - INFO - Setting up client TLS...
   2022-10-14 12:56:02.116 - keylime.tenant - INFO - Using default client_cert option for tenant
   2022-10-14 12:56:02.116 - keylime.tenant - INFO - Using default client_key option for tenant
   2022-10-14 12:56:02.137 - keylime.tenant - INFO - TLS is enabled.
   2022-10-14 12:56:02.137 - keylime.tenant - WARNING - Using default UUID d432fbb3-d2f1-4a97-9ef7-75bd81c00000
   2022-10-14 12:56:02.171 - keylime.registrar_client - CRITICAL - Error: could not get agent d432fbb3-d2f1-4a97-9ef7-75bd81c00000 data from Registrar Server: 404
   2022-10-14 12:56:02.172 - keylime.registrar_client - CRITICAL - Response code 404: agent d432fbb3-d2f1-4a97-9ef7-75bd81c00000 not found
   2022-10-14 12:56:02.172 - keylime.tenant - INFO - Agent d432fbb3-d2f1-4a97-9ef7-75bd81c00000 does not exist on the registrar. Please register the agent with the registrar.
   2022-10-14 12:56:02.172 - keylime.tenant - INFO - {"code": 404, "status": "Agent d432fbb3-d2f1-4a97-9ef7-75bd81c00000 does not exist on registrar 127.0.0.1 port 8891.", "results": {}}

   Copy to Clipboard Toggle word wrap

   如果正确设置了，且没有配置代理，注册器会响应它无法识别的默认代理 UUID。

流程

1. 安装 Keylime 代理：

   # dnf install keylime-agent

   Copy to Clipboard Toggle word wrap

   这个命令会安装 keylime-agent-rust 软件包。

2. 在配置文件中定义代理的 IP 地址和端口。在 /etc/keylime/agent.conf.d/ 目录中创建一个新的 .conf 文件，例如：/etc/keylime/agent.conf.d/00-agent-ip.conf，其内容如下：

   [agent]
   ip = '<agent_ip>'

   Copy to Clipboard Toggle word wrap
   注意

   Keylime 代理配置使用 TOML 格式，它与用于其他组件配置的 INI 格式不同。因此，使用有效 TOML 语法输入值，例如，在带单引号的路径以及带方括号的多个路径的数组。

   • 将 <agent_IP_address> 替换为代理的 IP 地址。或者，使用 ip = '*' 或 ip = '0.0.0.0' 将代理绑定到所有可用 IP 地址。
   • 另外，您还可以使用 port = '<agent_port>' 选项更改代理端口的默认值 9002 。

3. 在配置文件中定义注册的 IP 地址和端口。在 /etc/keylime/agent.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/agent.conf.d/00-registrar-ip.conf，其内容如下：

   [agent]
   registrar_ip = '<registrar_IP_address>'

   Copy to Clipboard Toggle word wrap
   • 将 <registrar_IP_address> 替换为注册中心的 IP 地址。
   • 另外，您还可以使用 registrar_port = '<registrar_port>' 选项更改注册器端口的默认值 8890。

4. 可选：定义代理的通用唯一标识符(UUID)。如果没有定义，则使用默认 UUID。在 /etc/keylime/agent.conf.d/ 目录中创建一个新的 .conf 文件，例如：/etc/keylime/agent.conf.d/00-agent-uuid.conf，其内容如下：

   [agent]
   uuid = '<agent_UUID>'

   Copy to Clipboard Toggle word wrap
   • 将 <agent_UUID> 替换为代理的 UUID，如 d432fbb3-d2f1-4a97-9ef7-abcdef012345。您可以使用 uuidgen 工具生成 UUID。

5. 可选：为代理加载现有密钥和证书。如果代理没有接收 server_key 和 server_cert，它会生成自己的密钥和自签名证书。

   在配置中定义密钥和证书的位置。在 /etc/keylime/agent.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/agent.conf.d/00-keys-and-certs.conf，其内容如下：

   [agent]
   server_key = '</path/to/server_key>'
   server_key_password = '<passphrase1>'
   server_cert = '</path/to/server_cert>'
   trusted_client_ca = '[</path/to/ca/cert3>, </path/to/ca/cert4>]'

   Copy to Clipboard Toggle word wrap
   注意

   使用绝对路径定义密钥和证书位置。Keylime 代理不接受相对路径。

6. 在防火墙中打开端口：

   # firewall-cmd --add-port 9002/tcp
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

   如果您使用不同的端口，请将 9002 替换为 .conf 文件中定义的端口号。

7. 启用并启动 keylime_agent 服务：

   # systemctl enable --now keylime_agent

   Copy to Clipboard Toggle word wrap

8. 可选：从配置了 Keylime 租户的系统验证代理是否已正确配置，并可连接到注册器。

   # keylime_tenant -c regstatus --uuid <agent_uuid>
   Reading configuration from ['/etc/keylime/logging.conf']
   ...
   ==\n-----END CERTIFICATE-----\n", "ip": "127.0.0.1", "port": 9002, "regcount": 1, "operational_state": "Registered"}}}

   Copy to Clipboard Toggle word wrap

   • 将 <agent_uuid> 替换为代理的 UUID。

     如果正确配置了注册器和代理，输出会显示代理的 IP 地址和端口，后跟 "operational_state": "Registered"。

9. 通过在 /etc/ima/ima-policy 文件中输入以下内容来创建新的 IMA 策略：

   # PROC_SUPER_MAGIC = 0x9fa0
   dont_measure fsmagic=0x9fa0
   # SYSFS_MAGIC = 0x62656572
   dont_measure fsmagic=0x62656572
   # DEBUGFS_MAGIC = 0x64626720
   dont_measure fsmagic=0x64626720
   # TMPFS_MAGIC = 0x01021994
   dont_measure fsmagic=0x1021994
   # RAMFS_MAGIC
   dont_measure fsmagic=0x858458f6
   # DEVPTS_SUPER_MAGIC=0x1cd1
   dont_measure fsmagic=0x1cd1
   # BINFMTFS_MAGIC=0x42494e4d
   dont_measure fsmagic=0x42494e4d
   # SECURITYFS_MAGIC=0x73636673
   dont_measure fsmagic=0x73636673
   # SELINUX_MAGIC=0xf97cff8c
   dont_measure fsmagic=0xf97cff8c
   # SMACK_MAGIC=0x43415d53
   dont_measure fsmagic=0x43415d53
   # NSFS_MAGIC=0x6e736673
   dont_measure fsmagic=0x6e736673
   # EFIVARFS_MAGIC
   dont_measure fsmagic=0xde5e81e4
   # CGROUP_SUPER_MAGIC=0x27e0eb
   dont_measure fsmagic=0x27e0eb
   # CGROUP2_SUPER_MAGIC=0x63677270
   dont_measure fsmagic=0x63677270
   # OVERLAYFS_MAGIC
   # when containers are used we almost always want to ignore them
   dont_measure fsmagic=0x794c7630
   # MEASUREMENTS
   measure func=BPRM_CHECK
   measure func=FILE_MMAP mask=MAY_EXEC
   measure func=MODULE_CHECK uid=0

   Copy to Clipboard Toggle word wrap

   此策略针对已执行的应用程序的运行时监控。您可以根据您的场景调整此策略。您可以在 statfs (2) 手册页中找到 MAGIC 常量。

10. 更新内核参数：

    # grubby --update-kernel DEFAULT --args 'ima_appraise=fix ima_canonical_fmt ima_policy=tcb ima_template=ima-ng'

    Copy to Clipboard Toggle word wrap
11. 重启系统以应用新的 IMA 策略。

验证

1. 验证代理是否正在运行：

   # systemctl status keylime_agent
   ● keylime_agent.service - The Keylime compute agent
        Loaded: loaded (/usr/lib/systemd/system/keylime_agent.service; enabled; preset: disabled)
        Active: active (running) since ...

   Copy to Clipboard Toggle word wrap

流程

1. 在配置并运行了 Keylime 代理的被监控系统上，安装 python3-keylime 软件包，其包含 keylime-policy 工具：

   # dnf -y install python3-keylime

   Copy to Clipboard Toggle word wrap

2. 从代理系统的当前状态创建一个运行时策略：

   # keylime-policy create runtime --ima-measurement --rootfs '/' --ramdisk-dir '/boot/' --output <policy.json>

   Copy to Clipboard Toggle word wrap

   在这个命令中，

   • 将 <policy.json> 替换为运行时策略的文件名。

   • 以下目录会自动从测量中排除：

     • /sys
     • /run
     • /proc
     • /lost+found
     • /dev
     • /media
     • /snap
     • /mnt
     • /var
     • /tmp
   • 另外，您可以通过添加 --excludelist <excludelist.txt> 选项，从测量中排除其他具体的路径。excludelist 接受 Python 正则表达式，每行一个正则表达式。有关特殊字符的完整列表，请参阅 docs.python.org 中的正则表达式操作。

3. 将生成的运行时策略复制到配置了 keylime_tenant 工具的系统中，例如：

   # scp <policy.json> root@<tenant.ip>:/root/<policy.json>

   Copy to Clipboard Toggle word wrap

4. 在配置了 Keylime 租户的系统上，使用 keylime_tenant 工具置备代理：

   # keylime_tenant --command add --targethost <agent_ip> --uuid <agent_uuid> --runtime-policy <policy.json> --cert default

   Copy to Clipboard Toggle word wrap
   • 将 <agent_ip> 替换为代理的 IP 地址。
   • 将 <agent_uuid> 替换为代理的 UUID。
   • 将 <policy.json> 替换为 Keylime 运行时策略文件的路径。

   • 使用 --cert 选项时，租户通过使用指定目录或默认的 /var/lib/keylime/ca/ 目录中的 CA 证书和密钥为代理生成和签名证书。如果目录不包含 CA 证书和密钥，则租户将根据 /etc/keylime/ca.conf 文件中的配置自动生成它们，并将其保存到指定的目录中。然后，租户将这些密钥和证书发送给代理。

     在生成 CA 证书或签名代理证书时，可能会提示您输入访问 CA 私钥的密码：Please enter the password to decrypt your keystore:

     注意

     Keylime 对发送到代理的文件进行加密，只有在代理系统符合 TPM 策略和 IMA allowlist 时才解密该文件。默认情况下，Keylime 解压缩发送的 .zip 文件。

   例如，使用以下命令，keylime_tenant 在 127.0.0.1 处添加一个新的 UUID 为 d432fbb3-d2f1-4a97-9ef7-75bd81c00000 的 Keylime 代理，并加载运行时策略 policy.json。它还在默认目录中生成一个证书，并将证书文件发送给代理。只有满足 /etc/keylime/verifier.conf 中的 TPM 策略才对文件进行解密：

   # keylime_tenant --command add --targethost 127.0.0.1 --uuid d432fbb3-d2f1-4a97-9ef7-75bd81c00000 --runtime-policy policy.json --cert default

   Copy to Clipboard Toggle word wrap
   注意

   您可以使用 # keylime_tenant --command delete --uuid <agent_uuid> 命令停止 Keylime 监控节点。

   您可以使用 keylime_tenant --command update 命令修改已注册的代理的配置。

验证

1. 可选：重启被监控的系统，以验证设置是否持久。

2. 验证代理是否成功：

   # keylime_tenant --command cvstatus --uuid <agent_uuid>
   ...
   {"<agent_uuid>": {"operational_state": "Get Quote"..."attestation_count": 5
   ...

   Copy to Clipboard Toggle word wrap

   将 <agent_uuid> 替换为代理的 UUID。

   如果 operational_state 的值为 Get Quote，并且 attestation_count 为非零，则此代理的证明成功。

   如果 operational_state 的值为 Invalid Quote 或 Failed，则验证失败，命令会显示类似如下的输出：

   {"<agent_uuid>": {"operational_state": "Invalid Quote", ... "ima.validation.ima-ng.not_in_allowlist", "attestation_count": 5, "last_received_quote": 1684150329, "last_successful_attestation": 1684150327}}

   Copy to Clipboard Toggle word wrap

3. 如果验证失败，请在验证器日志中显示更多详细信息：

   # journalctl --unit keylime_verifier
   keylime.tpm - INFO - Checking IMA measurement list...
   keylime.ima - WARNING - File not found in allowlist: /root/bad-script.sh
   keylime.ima - ERROR - IMA ERRORS: template-hash 0 fnf 1 hash 0 good 781
   keylime.cloudverifier - WARNING - agent D432FBB3-D2F1-4A97-9EF7-75BD81C00000 failed, stopping polling

   Copy to Clipboard Toggle word wrap