12.7. 使用 fapolicyd RHEL 系统角色防止用户执行不可靠代码

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configuring fapolicyd
     hosts: managed-node-01.example.com
     tasks:
       - name: Allow only executables installed from RPM database and specific files
         ansible.builtin.include_role:
           name: rhel-system-roles.fapolicyd
         vars:
           fapolicyd_setup_permissive: false
           fapolicyd_setup_integrity: sha256
           fapolicyd_setup_trust: rpmdb,file
           fapolicyd_add_trusted_file:
             - <path_to_allowed_command>
             - <path_to_allowed_service>

   示例 playbook 中指定的设置包括以下内容：

   fapolicyd_setup_permissive: <true|false>

   启用或禁用向内核发送策略决策以强制执行。出于调试和测试目的，将此变量设置为 false。

   fapolicyd_setup_integrity: <type_type>

   定义完整性检查方法。您可以设置以下值之一：

   • none（默认值）：禁用完整性检查。
   • size ：服务仅比较允许的应用程序的文件大小。
   • ima:该服务检查 SHA-256 哈希，内核的完整性测量架构(IMA)存储在文件的扩展属性中。此外，该服务执行大小检查。请注意，该角色不配置 IMA 内核子系统。要使用这个选项，您必须手动配置 IMA 子系统。
   • sha256 ：服务比较允许应用程序的 SHA-256 哈希。

   fapolicyd_setup_trust: <trust_backends>

   定义信任后端的列表。如果您包含 file 后端，请在 fapolicyd_add_trusted_file 列表中指定允许的可执行文件。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.fapolicyd.README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook ~/playbook.yml --syntax-check

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml