配置 fapolicyd 以只允许 SAP HANA 可执行文件

流程

1. 在您选择的文本编辑器中打开 /etc/fapolicyd/fapolicyd.conf 文件，例如：

   # vi /etc/fapolicyd/fapolicyd.conf

2. 配置 integrity 选项，将默认值 none 改为 sha-256 ：

   integrity = sha-256

流程

1. 打开目录 /etc/fapolicyd/rules.d。

2. 添加一个以 71 开头的文件名（带文件名 71-sap-shellscript.rules）的新文件，以便规则放置在文件 70-trusted-lang.rules 和 72-shell.rules 的规则之间，其内容如下：

   # Deny shell script execution and sourcing under SAP HANA directories
   
   deny_audit perm=any all : ftype=text/x-shellscript dir=/hana/,/usr/sap/ trust=0

3. 将文件的所有权设置为 /etc/fapolicyd/rules.d 中其他文件的所有权：

   # chown root:fapolicyd 71-sap-shellscript.rules

4. 使用以下命令确认定义了新规则，然后载入新规则：

   # fagenrules --check
   /usr/sbin/fagenrules: Rules have changed and should be updated
   # fagenrules --load

流程

1. 安装 SAP HANA 软件（如果尚未完成）。

2. 使用以下命令将所有 SAP HANA 文件添加到 fapolicyd 信任数据库。我们建议为每个目录树使用单独的信任文件，如 hana 和 usr_sap ：

   # fapolicyd-cli --file add /hana --trust-file hana
   # fapolicyd-cli --file add /usr/sap --trust-file usr_sap

   这会在 /etc/fapolicyd/trust.d 目录中创建两个名为 hana 和 usr_sap 的文件，其中包含 /hana 和 /usr/sap 下所有文件的条目。

3. 对于新安装的 RHEL 系统上的 SAP HANA 安装，SAP HANA 安装程序会创建目录 /hana 和 /usr/sap，因此我们可以信任这些目录中的所有文件都是有效的 SAP 文件。

   在任何其他情况下，这些目录中可能存在 SAP HANA 安装程序尚未创建的文件。

   因此，您应该仔细验证信任文件 /etc/fapolicyd/trust.d/hana 和 /etc/fapolicyd/trust.d/usr_sap 中的所有文件都是有效的 SAP 文件。以下是可能的方法之一：

   1. 在另一个新安装的 RHEL 系统上执行全新的 SAP HANA 安装。
   2. 在该系统上重复步骤 2。
   3. 比较两个系统生成的信任文件。

验证

1. 验证 fapolicyd 服务是否正在运行：

   # systemctl status fapolicyd
   ● fapolicyd.service - File Access Policy Daemon
        Loaded: loaded (/usr/lib/systemd/system/fapolicyd.service; enabled; preset: disabled)
        Active: active (running) since Thu 2024-03-14 16:38:32 IST; 18h ago
   ...
   Mar 14 16:38:33 host01 fapolicyd[579216]: Trust database checks OK
   Mar 14 16:38:33 host01 fapolicyd[579216]: Starting to listen for events

2. 验证非 root 用户，包括 SAP HANA 管理员用户（例如： h70adm），无法在 /hana 和 /usr/sap 中执行任何新脚本和二进制程序：

   # cp -pi /usr/bin/date /hana/
   # su - h70adm
   h70adm@host01:/usr/sap/H70/HDB35> /hana/date
   -sh: /hana/date: Operation not permitted
   h70adm@host01:/usr/sap/H70/HDB35> cat > try-to-start-me.sh
   #!/bin/bash
   echo "I will not execute."
   <ctrl>d
   h70adm@host01:/usr/sap/H70/HDB35> chmod u+x try-to-start-me.sh
   h70adm@host01:/usr/sap/H70/HDB35> ./try-to-start-me.sh
   -sh: ./try-to-start-me.sh: Operation not permitted
   h70adm@host01:/usr/sap/H70/HDB35> rm try-to-start-me.sh
   h70adm@host01:/usr/sap/H70/HDB35> exit
   # rm /hana/date
   rm: remove regular file '/hana/date'? y