5.3.3. 创建一个修复 Ansible Playbook，以使系统与特定的基准保持一致

流程

1. 扫描系统并保存结果：

   # oscap xccdf eval --profile <profile_ID> --results <profile_results.xml> /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

   使用系统应遵守的配置集 ID 替换：* <profile_ ID>，例如 hipaa * & lt;profile_results.xml >，使用 oscap 保存结果的文件的路径

2. 在带有结果的文件中找到结果 ID 的值：

   # oscap info <profile_results.xml>

3. 根据第 1 步中生成的文件生成一个 Ansible Playbook：

   # oscap xccdf generate fix --fix-type ansible --result-id xccdf_org.open-scap_testresult_xccdf_org.ssgproject.content_profile_<profile_ID> --output <profile_remediations.yml> <profile_results.xml>

   将 <profile_remediations.yml > 替换为到文件的路径，其中 oscap 保存扫描失败的规则。

4. 查看生成的 < profile_remediations.yml> 文件。

5. 使用 Ansible 修复您的系统，使其与所选的配置文件保持一致：

   # ANSIBLE_COLLECTIONS_PATH=/usr/share/rhc-worker-playbook/ansible/collections/ansible_collections/ ansible-playbook -i "localhost," -c local <profile_remediations.yml>`

   ANSIBLE_COLLECTIONS_PATH 环境变量对于运行 playbook 的命令是必需的。

   警告

   默认配置的 RHEL 系统支持自动安全补救功能。修复安装后更改的系统可能会导致系统无法使用所需的安全配置集运行或不合规。红帽不提供任何自动的方法来恢复由安全强制补救所做的更改。

   在对生产环境系统应用之前，测试补救的影响。