6.11. 在 FIPS 模式下创建并引导 RHEL for Edge 镜像

流程

1. 使用以下内容，创建一个 Tom's Obvious, Minimal Language (TOML)格式的纯文本文件：

   name = "system-fips-mode-enabled"
   description = "blueprint with FIPS enabled "
   version = "0.0.1"
   
   [ostree]
   ref= "example/edge"
   url= "http://example.com/repo"
   
   [customizations]
   installation_device = "/dev/vda"
   fips = true
   
   [[customizations.user]]
   name = "admin"
   password = "admin"
   groups = ["users", "wheel"]
   
   [customizations.fdo]
   manufacturing_server_url = "https://fdo.example.com"
   diun_pub_key_insecure = true

2. 将蓝图导入到 RHEL 镜像构建器服务器中：

   # composer-cli blueprints push <blueprint-name>.toml

3. 列出现有的蓝图，以检查创建的蓝图是否已成功导入且存在：

   # composer-cli blueprints show <blueprint-name>

4. 检查蓝图中列出的组件和版本是否有效：

   # composer-cli blueprints depsolve <blueprint-name>

5. 提供要嵌入到镜像中的提交的 OSTree 存储库，例如 http://10.0.2.2:8080/repo。如需更多信息，请参阅 建立一个 UEFI HTTP 引导服务器。

6. 创建可引导的 ISO 镜像：

   # composer-cli compose start-ostree \ <blueprint-name> \ edge-simplified-installer \ --ref rhel/8/x86_64/edge \ --url <URL-OSTree-repository> \

7. 查看 RHEL for Edge 镜像状态：

   # composer-cli compose status
   …
   $ <UUID> FINISHED <date> <blueprint-name> <blueprint-version> <image-type>
   …

8. 下载镜像：

   # composer-cli compose image <UUID>

   RHEL 镜像构建器将镜像作为 .iso 文件下载到当前目录路径。UUID 号和镜像大小会同时显示：

   $ <UUID>-simplified-installer.iso: <size> MB

9. 从 UEFI HTTP Boot 服务器创建 RHEL for Edge 虚拟机，例如：

   # virt-install \ --name edge-device --disk path="/var/lib/libvirt/images/edge-device.qcow2",size=5,format=qcow2 \ --memory 4096 \ --vcpus 2 \ --network network=default \ --os-type linux \ --os-variant rhel8.9 \ --cdrom /var/lib/libvirt/images/<UUID>-simplified-installer.iso \ --boot uefi,loader.secure=false \ --virt-type kvm \ --graphics none \ --wait=-1 \ --noreboot

验证

1. 使用您在蓝图中配置的用户名和密码登录到创建的虚拟机。

2. 检查是否启用了 FIPS 设置：

   $ cat /proc/sys/crypto/fips_enabled
   1