第 9 章 使用 fapolicyd RHEL 系统角色限制应用程序的执行

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configuring fapolicyd
     hosts: managed-node-01.example.com
     tasks:
       - name: Allow only executables installed from RPM database and specific files
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.fapolicyd
         vars:
           fapolicyd_setup_permissive: false
           fapolicyd_setup_integrity: sha256
           fapolicyd_setup_trust: rpmdb,file
           fapolicyd_add_trusted_file:
             - <path_to_allowed_command>
             - <path_to_allowed_service>

   Copy to Clipboard Toggle word wrap

   示例 playbook 中指定的设置包括如下：

   fapolicyd_setup_permissive: <true|false>

   启用或禁用向内核发送策略决策以强制执行。出于调试和测试目的，将此变量设置为 false。

   fapolicyd_setup_integrity: <type_type>

   定义完整性检查方法。您可以设置以下值之一：

   • none（默认）：禁用完整性检查。
   • size ：服务仅比较允许的应用程序的文件大小。
   • ima: 服务检查内核完整性测量架构(IMA)存储在文件的扩展属性中的 SHA-256 哈希。此外，服务也执行大小检查。请注意，该角色不会配置 IMA 内核子系统。要使用这个选项，您必须手动配置 IMA 子系统。
   • sha256 ：该服务比较允许的应用程序的 SHA-256 哈希。

   fapolicyd_setup_trust: <trust_backends>

   定义信任后端的列表。如果您包含了 file 后端，请在 fapolicyd_add_trusted_file 列表中指定允许的可执行文件。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.fapolicyd.README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook ~/playbook.yml --syntax-check

   Copy to Clipboard Toggle word wrap

   请注意，这个命令只验证语法，不能防止错误的、但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard Toggle word wrap