18.7. 创建修复 Ansible Playbook，使系统与特定基准保持一致

流程

1. 扫描系统并保存结果：

   # oscap xccdf eval --profile <profileID> --results <profile-results.xml> /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml

   Copy to Clipboard Toggle word wrap

2. 在带有结果的文件中找到结果 ID 的值：

   # oscap info <profile-results.xml>

   Copy to Clipboard Toggle word wrap

3. 根据第 1 步中生成的文件生成 Ansible Playbook：

   # oscap xccdf generate fix --fix-type ansible --result-id xccdf_org.open-scap_testresult_xccdf_org.ssgproject.content_profile_<profileID> --output <profile-remediations.yml> <profile-results.xml>

   Copy to Clipboard Toggle word wrap
4. 检查生成的 &lt ;profile-remediations.yml > 文件是否包含在第 1 步中执行的扫描中失败的规则的 Ansible 修复。

5. 使用 Ansible 修复您的系统，使其与所选配置文件一致：

   # ANSIBLE_COLLECTIONS_PATH=/usr/share/rhc-worker-playbook/ansible/collections/ansible_collections/ ansible-playbook -i "localhost," -c local <profile-remediations.yml>`

   Copy to Clipboard Toggle word wrap

   ANSIBLE_COLLECTIONS_PATH 环境变量是运行命令才能运行 playbook 所必需的。

   警告

   如果不小心使用，在启用了 Remediate 选项的情况下运行系统评估可能会导致系统无法正常工作。红帽不提供任何自动的方法来恢复由安全补救补救所做的更改。默认配置的 RHEL 系统支持自动安全补救功能。如果在安装后更改了您的系统，运行修复可能无法使其遵守所需的安全配置文件。