11.2. 自定义强化的可引导镜像

流程

1. 创建 Containerfile ：

   FROM quay.io/<namespace>/<image>:latest
   
   # Copy a tailoring file into the Containerfile
   COPY tailoring.xml /usr/share/
   
   # Install OpenSCAP scanner and security content to the image
   RUN dnf install -y openscap-utils scap-security-guide && dnf clean all
   
   
   # Add sudo user 'admin' with password 'admin123'.
   # The user can be used with profiles that prevent
   # ssh root logins.
   RUN useradd -G wheel -p "\$6\$Ga6Zn
   IlytrWpuCzO\$q0LqT1USHpahzUafQM9jyHCY9BiE5/ahXLNWUMiVQnFGblu0WWGZ1e6icTaCGO4GNgZNtspp1Let/qpM7FMVB0" admin
   
   # Run scan and hardening including the tailoring file
   RUN oscap-im --tailoring-file /usr/share/tailoring.xml --profile stig_customized /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

   这个 Containerfile 执行以下任务：

   • 将定制文件注入到您的镜像中。
   • 安装提供 oscap-im 工具的 openscap-utils 软件包和提供具有安全内容自动化协议(SCAP)内容的数据流的 scap-security-guide 软件包。
   • 为阻止 SSH root 登录的配置文件添加具有 sudoer 特权的用户。
   • 扫描并修复镜像，以符合所选的配置文件。

2. 使用当前目录中的 Containerfile 构建镜像：

   $ podman build -t quay.io/<namespace>/<image>:<tag> .