8.11. 使用 原子扫描扫描对容器镜像和容器进行扫描和补救配置合规性

流程

1. 列出 OpenSCAP 镜像为 configuration_compliance 扫描提供的 SCAP 内容：

   ~]# atomic help registry.access.redhat.com/rhel7/openscap

   Copy to Clipboard Toggle word wrap
   使用 Defense Information Systems Agency Security Technical Implementation Guide (DISA STIG)策略验证最新 Red Hat Enterprise Linux 7 容器镜像合规性，并从扫描中生成 HTML 报告：

   ~]# atomic scan --scan_type configuration_compliance --scanner_args xccdf-id=scap_org.open-scap_cref_ssg-rhel7-xccdf-1.2.xml,profile=xccdf_org.ssgproject.content_profile_stig-rhel7-disa,report registry.access.redhat.com/rhel7:latest

   Copy to Clipboard Toggle word wrap
   以上命令的输出包含有关末尾扫描关联的文件的信息：

   ............
   
   Files associated with this scan are in /var/lib/atomic/openscap/2017-11-03-13-35-34-296606.
   
   ~]# tree /var/lib/atomic/openscap/2017-11-03-13-35-34-296606
   /var/lib/atomic/openscap/2017-11-03-13-35-34-296606
   ├── db7a70a0414e589d7c8c162712b329d4fc670fa47ddde721250fb9fcdbed9cc2
   │   ├── arf.xml
   │   ├── fix.sh
   │   ├── json
   │   └── report.html
   └── environment.json
   
   1 directory, 5 files

   Copy to Clipboard Toggle word wrap
   atomic 扫描生成含有所有结果的子目录，并从 /var/lib/atomic/openscap/ 目录中的扫描报告。每次扫描配置合规性时都会生成带有结果的 arf.xml 文件。要生成人类可读的 HTML 报告文件，请将 报告 子选项添加到 --scanner_args 选项。
2. 可选： 要生成由 DISA STIG Viewer 读取的 XCCDF 结果，请将 stig-viewer 子选项添加到 --scanner_args 选项中。结果放置在 stig.xml 中。

流程

1. 列出 OpenSCAP 镜像为 configuration_compliance 扫描提供的 SCAP 内容：

   ~]# atomic help registry.access.redhat.com/rhel7/openscap

   Copy to Clipboard Toggle word wrap
2. 要将容器镜像修复到指定的策略中，请在扫描配置合规性时将 --remediate 选项添加到 atomic scan 命令中。以下命令构建与 Red Hat Enterprise Linux 7 容器镜像中的 DISA STIG 策略兼容的新修复的容器镜像：

   ~]# atomic scan --remediate --scan_type configuration_compliance --scanner_args profile=xccdf_org.ssgproject.content_profile_stig-rhel7-disa,report registry.access.redhat.com/rhel7:latest 
   
   registry.access.redhat.com/rhel7:latest (db7a70a0414e589)
   
   The following issues were found:
   ............
   	 Configure Time Service Maxpoll Interval
   	 Severity: Low
   		 XCCDF result: fail
   
   	 Configure LDAP Client to Use TLS For All Transactions
   	 Severity: Moderate
   		 XCCDF result: fail
   ............
   Remediating rule 43/44: 'xccdf_org.ssgproject.content_rule_chronyd_or_ntpd_set_maxpoll'
   Remediating rule 44/44: 'xccdf_org.ssgproject.content_rule_ldap_client_start_tls'
   
   Successfully built 9bbc7083760e
   Successfully built remediated image 9bbc7083760e from db7a70a0414e589d7c8c162712b329d4fc670fa47ddde721250fb9fcdbed9cc2.
   
   Files associated with this scan are in /var/lib/atomic/openscap/2017-11-06-13-01-42-785000.
   

   Copy to Clipboard Toggle word wrap
3. 可选： atomic scan 命令的输出报告修复的镜像 ID。要方便记住镜像，请使用一些名称进行标记，例如：

   ~]# docker tag 9bbc7083760e rhel7_disa_stig 

   Copy to Clipboard Toggle word wrap