23.2. 通过基于 IMA 的 appraisal 启用内核的运行时完整性监控

• 将软件包文件签名存储在 security.ima 中，适用于所有安装的软件包。
• 包括 dracut integrity 模块，以将 IMA 代码签名密钥加载到内核。
• 将策略复制到 /etc/ima/ima-policy，以便 systemd 在引导时加载它。

验证

• ip 命令可以被成功执行。

• 如果 ip 复制到 /tmp，默认情况下，它会丢失其 security.ima，因此 ip 命令不会被执行。

  # cp /usr/sbin/ip /tmp
  # /tmp/ip
  -bash: /tmp/ip: Permission denied
  # /tmp/ip doesn’t have security.ima
  # getfattr -m security.ima -d /tmp/ip
  # whereas /usr/sbin/ip has
  # getfattr -m security.ima /usr/sbin/ip
  # file: usr/sbin/ip
  security.ima=0sAwIE0zIESQBnMGUCMQCLXZ7ukyDcguLgPYwzXU16dcVrmlHxOta7vm7EUfX07Nf0xnP1MyE//AZaqeNIKBoCMFHNDOuA4uNvS+8OOAy7YEn8oathfsF2wsDSZi+NAoumC6RFqIB912zkRKxraSX8sA==