7.3. 管理合规策略
7.3.1. 合规策略 复制链接链接已复制到粘贴板!
一个调度的审计(也称为 合规策略 )是一个调度任务,用于检查指定的主机是否与 XCCDF 配置集相符。扫描的计划由卫星服务器指定,扫描则在主机上执行。扫描完成后,将以 XML 格式生成资源报告文件 (ARF)并上传到卫星服务器。您可以在合规性策略控制面板中查看扫描结果。合规策略不会对扫描的主机进行任何更改。SCAP 内容包含多个包含关联规则的配置集,但默认情况下不包含策略。
7.3.2. 创建合规策略 复制链接链接已复制到粘贴板!
使用 Satellite 6,您可以创建一个合规策略来扫描您的内容主机,以确保主机保持符合您的安全要求。
您可以使用 Puppet 或 Ansible 将合规性策略部署到您的主机上。请注意,Puppet 每 30 分钟运行一次。如果分配新策略,则下一个 Puppet 运行会将策略同步到主机。但是 Ansible 不会执行调度运行。要添加新策略,您必须手动或使用远程执行运行 Ansible 角色。有关远程执行的更多信息 ,请参阅 管理主机 指南中的配置和设置远程作业。
先决条件
在开始之前,您必须决定要使用 Puppet 还是 Ansible 部署。
- 对于 Puppet 部署,请确保您要审计的每个主机都与 Puppet 环境关联。更多信息请参阅 第 7.2.1 节 “导入 OpenSCAP Puppet 模块”。
-
对于 Ansible 部署,请确保导入
foreman.foreman_scap_client
Ansible 角色。有关导入 Ansible 角色的更多信息,请参阅配置 Satellite 中的 Ansible 入门 以使用 Ansible。
流程
- 导航到 Hosts > Policies,并选择您要手动、Ansible 或 Puppet 部署。
- 输入此策略的名称、描述(可选),然后单击下一步。
选择要应用的 SCAP Content 和 XCCDF Profile,然后单击 Next。
在 BZ#1704582 得到解决之前,请注意
Default XCCDF Profile
可能会返回空报告。指定应用策略时调度的时间,然后点 Next。
从 Period 列表中选择 Weekly、Monthly 或 Custom。
- 如果选择 Weekly,也可从 Weekday 列表中选择一周的所需日期。
- 如果您选择了 Monthly,在月的几号中指定下月的所需日期。
如果您选择 Custom,在 Cron line 字段中输入有效的 Cron 表达式。
Custom 选项允许策略调度的灵活性大于周或几 月 选项。
- 选择要应用策略的位置,然后点 Next。
- 选择要应用策略的组织,然后点 Next。
- 选择要应用该策略的主机组,然后单击 Submit。
当 Puppet 代理在属于所选主机组或策略所应用到的主机上运行时,将安装 OpenSCAP 客户端,以及添加策略指定调度的 Cron 作业。SCAP Content
选项卡提供 SCAP 内容文件的名称,该文件将发送到所有目标主机上的 /var/lib/openscap/content/
目录中。
7.3.3. 查看合规策略 复制链接链接已复制到粘贴板!
您可以预览特定 OpenSCAP 内容和配置文件组合应用的规则。这在规划策略时很有用。
在卫星 Web UI 中,查看合规性策略。
流程
- 进入 Hosts > Policies。
- 单击 Show Guide。
7.3.4. 编辑合规策略 复制链接链接已复制到粘贴板!
在卫星 Web UI 中,编辑合规性策略。
流程
- 进入 Hosts > Policies。
- 从策略名称右侧的下拉列表中,选择 Edit。
- 编辑必要的属性。
- 点 Submit。
当其 Puppet 代理对卫星服务器进行下一次检查以进行更新时,会将编辑的策略应用到主机。默认情况下,每 30 分钟发生一次。
7.3.5. 删除合规策略 复制链接链接已复制到粘贴板!
在卫星 Web UI 中,删除现有策略。
- 进入 Hosts > Policies。
- 从策略名称右侧的下拉列表中,选择 Delete。
- 在确认消息中点 OK。