第 9 章 可引导镜像的安全性强化和合规性

流程

1. 创建 Containerfile ：

   FROM registry.redhat.io/rhel10/rhel-bootc:latest
   
   # Install OpenSCAP scanner and security content to the image
   RUN dnf install -y openscap-utils scap-security-guide && dnf clean all
   
   # Run scan and hardening
   RUN oscap-im --profile <profile_ID> /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml
   
   # Because certain profiles prevent ssh root logins, add a separate sudo user with a password
   # Alternatively, you can add users with Kickstart, cloud-init, or other methods
   RUN useradd -G wheel -p "<password_hash>" <admin_user>

   将 <admin_user> 替换为用户名，将 <password_hash> 替换为所选密码的哈希值。

   这个 Containerfile 执行以下任务：

   • 安装提供 oscap-im 工具的 openscap-utils 软件包和提供具有安全内容自动化协议(SCAP)内容的数据流的 scap-security-guide 软件包。
   • 为阻止 SSH root 登录的配置文件添加具有 sudoer 特权的用户。
   • 扫描并修复镜像，以符合所选的配置文件。

2. 使用当前目录中的 Containerfile 构建镜像：

   $ podman build -t quay.io/<namespace>/<image>:<tag> .