安全强化

步骤

1. 登录到 RHEL 9 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 Overview 选项卡中，找到 系统信息 字段并点查看硬件详细信息。

3. 在 CPU Security 行上，点 Mitigations。

   如果这个链接不存在，这意味着您的系统不支持 SMT，因此不会受到这个安全漏洞的影响。

4. 在 CPU Security Toggles 表中，打开 Disable simultaneous multithreading (nosmt) 选项。
5. 点保存并重启按钮。

步骤

1. 在系统安装过程中，将 fips=1 选项添加到内核命令行。
2. 在软件选择阶段，请勿安装任何第三方软件。
3. 安装后，系统会自动以 FIPS 模式启动。

步骤

1. 将系统切换到 FIPS 模式：

   # fips-mode-setup --enable
   Kernel initramdisks are being regenerated. This might take some time.
   Setting system policy to FIPS
   Note: System-wide crypto policies are applied on application start-up.
   It is recommended to restart the system for the change of policies
   to fully take place.
   FIPS mode will be enabled.
   Please reboot the system for the setting to take effect.

2. 重启您的系统以允许内核切换到 FIPS 模式：

   # reboot

步骤

1. 可选：显示当前加密策略：

   $ update-crypto-policies --show
   DEFAULT

2. 设置新的加密策略：

   # update-crypto-policies --set <POLICY>
   <POLICY>

   将 <POLICY> 替换为您要设置的策略或子策略，如 FUTURE、LEGACY 或 FIPS:OSPP。

3. 重启系统：

   # reboot

步骤

1. 要将系统范围的加密策略切换到 LEGACY 级别，请以 root 用户身份输入以下命令：

   # update-crypto-policies --set LEGACY
   Setting system policy to LEGACY

步骤

1. 将 SHA1 子策略应用到 DEFAULT 加密策略：

   # update-crypto-policies --set DEFAULT:SHA1
   Setting system policy to DEFAULT:SHA1
   Note: System-wide crypto policies are applied on application start-up.
   It is recommended to restart the system for the change of policies
   to fully take place.

2. 重启系统：

   # reboot

流程

1. 登录到 RHEL 9 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 在 Overview 页面的 Configuration 卡中，点 Crypto 策略旁的当前策略值。

   

3. 在 Change crypto policy 对话框窗口中，点您要在系统中开始使用的策略。

   

4. 点应用并重新引导按钮。

流程

1. 签出到 /etc/crypto-policies/policies/modules/ 目录：

   # cd /etc/crypto-policies/policies/modules/

2. 为您的调整创建子策略，例如：

   # touch MYCRYPTO-1.pmod
   # touch SCOPES-AND-WILDCARDS.pmod

   重要

   在策略模块的文件名中使用大写字母。

3. 在您选择的文本编辑器中打开策略模块并插入修改系统范围加密策略的选项，例如：

   # vi MYCRYPTO-1.pmod

   min_rsa_size = 3072
   hash = SHA2-384 SHA2-512 SHA3-384 SHA3-512

   # vi SCOPES-AND-WILDCARDS.pmod

   # Disable the AES-128 cipher, all modes
   cipher = -AES-128-*
   
   # Disable CHACHA20-POLY1305 for the TLS protocol (OpenSSL, GnuTLS, NSS, and OpenJDK)
   cipher@TLS = -CHACHA20-POLY1305
   
   # Allow using the FFDHE-1024 group with the SSH protocol (libssh and OpenSSH)
   group@SSH = FFDHE-1024+
   
   # Disable all CBC mode ciphers for the SSH protocol (libssh and OpenSSH)
   cipher@SSH = -*-CBC
   
   # Allow the AES-256-CBC cipher in applications using libssh
   cipher@libssh = AES-256-CBC+

4. 将更改保存到模块文件中。

5. 将您的策略调整应用到 DEFAULT 系统范围加密策略级别：

   # update-crypto-policies --set DEFAULT:MYCRYPTO-1:SCOPES-AND-WILDCARDS

6. 要使您的加密设置对已经运行的服务和应用程序有效，请重启系统：

   # reboot

步骤

1. 为自定义创建一个策略文件：

   # cd /etc/crypto-policies/policies/
   # touch MYPOLICY.pol

   或者，从复制四个预定义策略级别中的一个开始：

   # cp /usr/share/crypto-policies/policies/DEFAULT.pol /etc/crypto-policies/policies/MYPOLICY.pol

2. 在您选择的文本编辑器中编辑带有自定义加密策略的文件以满足您的要求，例如：

   # vi /etc/crypto-policies/policies/MYPOLICY.pol

3. 将系统范围的加密策略切换到自定义级别：

   # update-crypto-policies --set MYPOLICY

4. 要使您的加密设置对已经运行的服务和应用程序有效，请重启系统：

   # reboot

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configure cryptographic policies
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure the FUTURE cryptographic security policy on the managed node
         ansible.builtin.include_role:
           name: rhel-system-roles.crypto_policies
         vars:
           - crypto_policies_policy: FUTURE
           - crypto_policies_reboot_ok: true

   示例 playbook 中指定的设置包括以下内容：

   crypto_policies_policy:未来

   在受管节点上配置所需的加密策略(FUTURE)。它可以是基本策略，也可以是带有一些子策略的基本策略。必须在受管节点上提供指定的基本策略和子策略。默认值为 null。这意味着配置没有被更改，crypto_policies RHEL 系统角色只会收集 Ansible 事实。

   crypto_policies_reboot_ok: true

   会导致系统在加密策略更改后重新启动，以确保所有服务和应用程序都将读取新的配置文件。默认值为 false。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.crypto_policies/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

验证

1. 在控制节点上，创建另一个 playbook，例如名为 verify_playbook.yml ：

   ---
   - name: Verification
     hosts: managed-node-01.example.com
     tasks:
       - name: Verify active cryptographic policy
         ansible.builtin.include_role:
           name: rhel-system-roles.crypto_policies
       - name: Display the currently active cryptographic policy
         ansible.builtin.debug:
           var: crypto_policies_active

   示例 playbook 中指定的设置包括以下内容：

   crypto_policies_active

   导出的 Ansible 事实，其中含有当前活动的策略名称，格式为 crypto_policies_policy 变量接受的格式。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/verify_playbook.yml

3. 运行 playbook：

   $ ansible-playbook ~/verify_playbook.yml
   TASK [debug] **************************
   ok: [host] => {
       "crypto_policies_active": "FUTURE"
   }

   crypto_policies_active 变量显示受管节点上的活动策略。

流程

1. 列出所有由 OpenSC PKCS #11 模块提供的密钥，包括其 PKCS #11 URIs，并将输出保存到 key.pub 文件：

   $ ssh-keygen -D pkcs11: > keys.pub

2. 将公钥传送到远程服务器。使用带有上一步中创建的 key .pub 文件的 ssh-copy-id 命令：

   $ ssh-copy-id -f -i keys.pub <username@ssh-server-example.com>

3. 使用 ECDSA 密钥连接到 < ssh-server-example.com >。您只能使用 URI 的子集，它唯一引用您的密钥，例如：

   $ ssh -i "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so" <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   因为 OpenSSH 使用 p11-kit-proxy 打包程序和 OpenSC PKCS modprobe 模块注册到 p11-kit 工具，所以您可以简化上一个命令：

   $ ssh -i "pkcs11:id=%01" <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   如果您跳过 PKCS #11 URI 的 id= 部分，则 OpenSSH 会加载代理模块中可用的所有密钥。这可减少输入所需的数量：

   $ ssh -i pkcs11: <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

4. 可选：您可以使用 ~/.ssh/config 文件中的同一 URI 字符串使配置持久：

   $ cat ~/.ssh/config
   IdentityFile "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so"
   $ ssh <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   ssh 客户端工具现在自动使用来自智能卡中的这个 URI 和密钥。

步骤

1. 在 /etc/polkit-1/rules.d/ 目录中创建一个新文件：

   # touch /etc/polkit-1/rules.d/00-test.rules

2. 在您选择的编辑器中编辑该文件，例如：

   # vi /etc/polkit-1/rules.d/00-test.rules

3. 插入以下行：

   polkit.addRule(function(action, subject) {
     if (action.id == "org.debian.pcsc-lite.access_pcsc" ||
     	action.id == "org.debian.pcsc-lite.access_card") {
   	polkit.log("action=" + action);
   	polkit.log("subject=" + subject);
     }
   });

   保存文件并退出编辑器。

4. 重启 pcscd 和 polkit 服务：

   # systemctl restart pcscd.service pcscd.socket polkit.service

验证

1. 为 pcscd 发出一个授权请求。例如，打开 Firefox Web 浏览器，或者使用 opensc 软件包提供的 pkcs11-tool -L 命令。

2. 显示扩展的日志条目，例如：

   # journalctl -u polkit --since "1 hour ago"
   polkitd[1224]: <no filename>:4: action=[Action id='org.debian.pcsc-lite.access_pcsc']
   polkitd[1224]: <no filename>:5: subject=[Subject pid=2020481 user=user' groups=user,wheel,mock,wireshark seat=null session=null local=true active=true]

步骤

1. 使用带有 --remediate 选项的 oscap 命令修复系统：

   # oscap xccdf eval --profile <profileID> --remediate /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

   将 <profileID> 替换为系统应该遵守的配置文件的 ID，例如 hipaa。

2. 重启您的系统。

验证

1. 使用配置文件评估系统的合规性，并将扫描结果保存到文件中：

   $ oscap xccdf eval --report <scan-report.html> --profile <profileID> /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

   替换：

   • 使用 oscap 保存扫描结果的文件名 <scan-report.html>。
   • 系统应该遵守的配置文件 ID <profileID>，例如 hipaa。

流程

1. 使用 Ansible 修复您的系统，使其与 HIPAA 保持一致：

   # ansible-playbook -i localhost, -c local /usr/share/scap-security-guide/ansible/rhel9-playbook-hipaa.yml

2. 重新启动系统。

验证

1. 使用 HIPAA 配置文件评估系统的合规性，并将扫描结果保存到文件中：

   # oscap xccdf eval --profile hipaa --report <scan-report.html> /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

   将 <scan-report.html> 替换为 oscap 保存扫描结果的文件名。

步骤

1. 扫描系统并保存结果：

   # oscap xccdf eval --profile hipaa --results <hipaa-results.xml> /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

2. 使用结果在文件中找到结果 ID 的值：

   # oscap info <hipaa-results.xml>

3. 根据在第 1 步中生成的文件生成 Ansible playbook：

   # oscap xccdf generate fix --fix-type ansible --result-id <xccdf_org.open-scap_testresult_xccdf_org.ssgproject.content_profile_hipaa> --output <hipaa-remediations.yml> <hipaa-results.xml>

4. 查看生成的文件，其中包含在第 1 步中执行扫描过程中失败的规则的 Ansible 修复。查看生成的文件后，您可以使用 ansible-playbook <hipaa-remediations.yml> 命令应用它。

流程

1. 使用 oscap 命令扫描系统，并将结果保存到 XML 文件中。在以下示例中，oscap 会根据 hipaa 配置文件评估系统：

   # oscap xccdf eval --profile hipaa --results <hipaa-results.xml> /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

2. 使用结果在文件中找到结果 ID 的值：

   # oscap info <hipaa-results.xml>

3. 根据在第 1 步中生成的结果文件生成 Bash 脚本：

   # oscap xccdf generate fix --fix-type bash --result-id <xccdf_org.open-scap_testresult_xccdf_org.ssgproject.content_profile_hipaa> --output <hipaa-remediations.sh> <hipaa-results.xml>

4. <hipaa-remediations.sh> 文件包含在第 1 步中执行扫描过程中失败的规则的补救。查看生成的文件后，当您位于与此文件相同的目录中时，您可以使用 ./<hipaa-remediations.sh> 命令应用它。

流程

1. 下载系统的最新 RHSA OVAL 定义：

   # wget -O - https://www.redhat.com/security/data/oval/v2/RHEL9/rhel-9.oval.xml.bz2 | bzip2 --decompress > rhel-9.oval.xml

2. 获取容器或容器镜像的 ID，例如：

   # podman images
   REPOSITORY                            TAG      IMAGE ID       CREATED       SIZE
   registry.access.redhat.com/ubi9/ubi   latest   096cae65a207   7 weeks ago   239 MB

3. 扫描容器或容器镜像的漏洞，并将结果保存到 vulnerability.html 文件中：

   # oscap-podman 096cae65a207 oval eval --report vulnerability.html rhel-9.oval.xml

   请注意，oscap-podman 命令需要 root 特权，容器的 ID 是第一个参数。

流程

1. 查找容器或容器镜像的 ID：

   1. 要查找容器的 ID，请输入 podman ps -a 命令。
   2. 要查找容器镜像的 ID，请输入 podman images 命令。

2. 使用配置集评估容器或容器镜像的合规性，并将扫描结果保存到文件中：

   # oscap-podman <ID> xccdf eval --report <scan-report.html> --profile <profileID> /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

   替换：

   • &lt;ID> 带有容器或容器镜像的 ID
   • 使用 oscap 保存扫描结果的文件名替换 <scan-report.html>
   • <profile Id> 带有系统应该遵循的配置集 ID，例如 hipaa、ospp、或 pci-dss

流程

1. 安装 Keylime 验证器：

   # dnf install keylime-verifier

2. 通过在 /etc/keylime/verifier.conf.d/ 目录中创建一个新的 .conf 文件来定义验证器的 IP 地址和端口，例如：/etc/keylime/verifier.conf.d/00-verifier-ip.conf，其内容如下：

   [verifier]
   ip = <verifier_IP_address>

   • 将 <verifier_IP_address> 替换为验证器的 IP 地址。或者，使用 ip = * 或 ip = 0.0.0.0 将验证器绑定到所有可用 IP 地址。
   • 另外，您还可以使用 port 选项更改验证器的端口默认值 8881 。

3. 可选：为代理列表配置 verifier 的数据库。默认配置使用验证器的 /var/lib/keylime/cv_data.sqlite/ 目录中的 SQLite 数据库。您可以通过在 /etc/keylime/verifier.conf.d/ 目录中创建一个新的 .conf 文件来定义一个不同的数据库，例如：/etc/keylime/verifier.conf.d/00-db-url.conf，其内容如下：

   [verifier]
   database_url = <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties>

   将 <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties> 替换为数据库的 URL，如 postgresql://verifier:UQ?nRNY9g7GZzN7@198.51.100.1/verifierdb。

   确保您使用的凭证为 Keylime 提供了权限，来创建数据库结构。

4. 将证书和密钥添加到验证器（verifier）中。您可以让 Keylime 生成它们，或使用现有的密钥和证书生成它们：

   • 使用默认 tls_dir = generate 选项，Keylime 在 /var/lib/keylime/cv_ca/ 目录中为验证器、注册器和租户生成新证书。

   • 要在配置中加载现有的密钥和证书，请在验证器配置中定义其位置。证书必须可以被运行 Keylime 服务的 keylime 用户访问。

     在 /etc/keylime/verifier.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/verifier.conf.d/00-keys-and-certs.conf，其内容如下：

     [verifier]
     tls_dir = /var/lib/keylime/cv_ca
     server_key = </path/to/server_key>
     server_key_password = <passphrase1>
     server_cert = </path/to/server_cert>
     trusted_client_ca = ['</path/to/ca/cert1>', '</path/to/ca/cert2>']
     client_key = </path/to/client_key>
     client_key_password = <passphrase2>
     client_cert = </path/to/client_cert>
     trusted_server_ca = ['</path/to/ca/cert3>', '</path/to/ca/cert4>']

     注意

     使用绝对路径定义密钥和证书位置。或者，相对路径是从 tls_dir 选项中定义的目录解析的。

5. 在防火墙中打开端口：

   # firewall-cmd --add-port 8881/tcp
   # firewall-cmd --runtime-to-permanent

   如果您使用其他端口，请将 8881 替换为 .conf 文件中定义的端口号。

6. 启动验证器（verifier）服务：

   # systemctl enable --now keylime_verifier

   注意

   在默认配置中，在启动 keylime_registrar 服务前启动 keylime_verifier，因为验证器会为其他 Keylime 组件创建 CA 和证书。使用自定义证书时不需要这个顺序。

流程

1. 可选：安装 keylime-verifier 软件包，以访问配置文件。您可以配置没有此软件包的容器，但这可能更容易修改软件包提供的配置文件。

   # dnf install keylime-verifier

2. 通过在 /etc/keylime/verifier.conf.d/ 目录中创建一个新的 .conf 文件，来将验证器绑定到所有可用 IP 地址上，例如：/etc/keylime/verifier.conf.d/00-verifier-ip.conf，其内容如下：

   [verifier]
   ip = *

   • 另外，您还可以使用 port 选项更改验证器的端口默认值 8881 。

3. 可选：为代理列表配置 verifier 的数据库。默认配置使用验证器的 /var/lib/keylime/cv_data.sqlite/ 目录中的 SQLite 数据库。您可以通过在 /etc/keylime/verifier.conf.d/ 目录中创建一个新的 .conf 文件来定义一个不同的数据库，例如：/etc/keylime/verifier.conf.d/00-db-url.conf，其内容如下：

   [verifier]
   database_url = <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties>

   将 <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties> 替换为数据库的 URL，如 postgresql://verifier:UQ?nRNY9g7GZzN7@198.51.100.1/verifierdb。

   确保您使用的凭证对 Keylime 有权限，以创建数据库结构。

4. 将证书和密钥添加到验证器（verifier）中。您可以让 Keylime 生成它们，或使用现有的密钥和证书生成它们：

   • 使用默认 tls_dir = generate 选项，Keylime 在 /var/lib/keylime/cv_ca/ 目录中为验证器、注册器和租户生成新证书。

   • 要在配置中加载现有的密钥和证书，请在验证器配置中定义其位置。证书必须可以被运行 Keylime 进程的 keylime 用户访问。

     在 /etc/keylime/verifier.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/verifier.conf.d/00-keys-and-certs.conf，其内容如下：

     [verifier]
     tls_dir = /var/lib/keylime/cv_ca
     server_key = </path/to/server_key>
     server_cert = </path/to/server_cert>
     trusted_client_ca = ['</path/to/ca/cert1>', '</path/to/ca/cert2>']
     client_key = </path/to/client_key>
     client_cert = </path/to/client_cert>
     trusted_server_ca = ['</path/to/ca/cert3>', '</path/to/ca/cert4>']

     注意

     使用绝对路径定义密钥和证书位置。或者，相对路径是从 tls_dir 选项中定义的目录解析的。

5. 在防火墙中打开端口：

   # firewall-cmd --add-port 8881/tcp
   # firewall-cmd --runtime-to-permanent

   如果您使用其他端口，请将 8881 替换为 .conf 文件中定义的端口号。

6. 运行容器：

   $ podman run --name keylime-verifier \
     -p 8881:8881 \
     -v /etc/keylime/verifier.conf.d:/etc/keylime/verifier.conf.d:Z \
     -v /var/lib/keylime/cv_ca:/var/lib/keylime/cv_ca:Z \
     -d \
     -e KEYLIME_VERIFIER_SERVER_KEY_PASSWORD=<passphrase1> \
     -e KEYLIME_VERIFIER_CLIENT_KEY_PASSWORD=<passphrase2> \
     registry.access.redhat.com/rhel9/keylime-verifier

   • -p 选项在主机和容器上打开默认端口 8881。

   • -v 选项为目录创建到容器的绑定挂载。

     • 使用 Z 选项，Podman 使用私有未共享标签标记内容。这意味着只有当前容器可以使用私有卷。
   • -d 选项在后台运行分离的容器。
   • 选项 -e KEYLIME_VERIFIER_SERVER_KEY_PASSWORD=<passphrase1> 定义服务器密钥密码短语。
   • 选项 -e KEYLIME_VERIFIER_CLIENT_KEY_PASSWORD=<passphrase2> 定义客户端密钥密码短语。
   • 您可以使用选项 -e KEYLIME_VERIFIER_<ENVIRONMENT_VARIABLE>=<value> ，使用环境变量覆盖配置选项。要修改附加选项，请为每个环境变量单独插入 -e 选项。有关环境变量及其默认值的完整列表，请参阅 Keylime 环境变量。

流程

1. 安装 Keylime 注册器：

   # dnf install keylime-registrar

2. 通过在 /etc/keylime/registrar.conf.d/ 目录中创建一个新的 .conf 文件来定义注册中心的 IP 地址和端口，例如：/etc/keylime/registrar.conf.d/00-registrar-ip.conf，其内容如下：

   [registrar]
   ip = <registrar_IP_address>

   • 将 <registrar_IP_address> 替换为注册中心的 IP 地址。或者，使用 ip = * 或 ip = 0.0.0.0 将注册器绑定到所有可用 IP 地址。
   • 可选，使用 port 选项更改 Keylime 代理连接的端口。默认值为 8890。
   • 可选，使用 tls_port 选项更改 Keylime 验证器和租户连接的 TLS 端口。默认值为 8891。

3. 可选：为代理列表配置注册数据库。默认配置使用 registrar 的 /var/lib/keylime/reg_data.sqlite 目录中的 SQLite 数据库。您可以在 /etc/keylime/registrar.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/registrar.conf.d/00-db-url.conf，其内容如下：

   [registrar]
   database_url = <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties>

   将 <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties> 替换为数据库的 URL，如 postgresql://registrar:EKYX-bqY2?#raXm@198.51.100.1/registrardb。

   确保您使用的凭证对 Keylime 有权限，以创建数据库结构。

4. 在注册器中添加证书和密钥：

   • 您可以使用默认配置，并将密钥和证书加载到 /var/lib/keylime/reg_ca/ 目录中。

   • 或者，您可以在配置中定义密钥和证书的位置。在 /etc/keylime/registrar.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/registrar.conf.d/00-keys-and-certs.conf，其内容如下：

     [registrar]
     tls_dir = /var/lib/keylime/reg_ca
     server_key = </path/to/server_key>
     server_key_password = <passphrase1>
     server_cert = </path/to/server_cert>
     trusted_client_ca = ['</path/to/ca/cert1>', '</path/to/ca/cert2>']

     注意

     使用绝对路径定义密钥和证书位置。或者，您可以在 tls_dir 选项中定义目录，并使用相对于该目录的路径。

5. 在防火墙中打开端口：

   # firewall-cmd --add-port 8890/tcp --add-port 8891/tcp
   # firewall-cmd --runtime-to-permanent

   如果您使用其他端口，请将 8890 或 8891 替换为 .conf 文件中定义的端口号。

6. 启动 keylime_registrar 服务：

   # systemctl enable --now keylime_registrar

   注意

   在默认配置中，在启动 keylime_registrar 服务前启动 keylime_verifier，因为验证器会为其他 Keylime 组件创建 CA 和证书。使用自定义证书时不需要这个顺序。

流程

1. 可选：安装 keylime-registrar 软件包，以访问配置文件。您可以配置没有此软件包的容器，但这可能更容易修改软件包提供的配置文件。

   # dnf install keylime-registrar

2. 通过在 /etc/keylime/registrar.conf.d/ 目录中创建一个新的 .conf 文件，来将注册器绑定到所有可用的 IP 地址，例如 /etc/keylime/registrar.conf.d/00-registrar-ip.conf，其内容如下：

   [registrar]
   ip = *

   • 可选，使用 port 选项更改 Keylime 代理连接的端口。默认值为 8890。
   • 可选，使用 tls_port 选项更改 Keylime 租户连接的 TLS 端口。默认值为 8891。

3. 可选：为代理列表配置注册数据库。默认配置使用 registrar 的 /var/lib/keylime/reg_data.sqlite 目录中的 SQLite 数据库。您可以在 /etc/keylime/registrar.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/registrar.conf.d/00-db-url.conf，其内容如下：

   [registrar]
   database_url = <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties>

   将 <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties> 替换为数据库的 URL，如 postgresql://registrar:EKYX-bqY2?#raXm@198.51.100.1/registrardb。

   确保您使用的凭证对 Keylime 有权限，以创建数据库结构。

4. 在注册器中添加证书和密钥：

   • 您可以使用默认配置，并将密钥和证书加载到 /var/lib/keylime/reg_ca/ 目录中。

   • 或者，您可以在配置中定义密钥和证书的位置。在 /etc/keylime/registrar.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/registrar.conf.d/00-keys-and-certs.conf，其内容如下：

     [registrar]
     tls_dir = /var/lib/keylime/reg_ca
     server_key = </path/to/server_key>
     server_cert = </path/to/server_cert>
     trusted_client_ca = ['</path/to/ca/cert1>', '</path/to/ca/cert2>']

     注意

     使用绝对路径定义密钥和证书位置。或者，您可以在 tls_dir 选项中定义目录，并使用相对于该目录的路径。

5. 在防火墙中打开端口：

   # firewall-cmd --add-port 8890/tcp --add-port 8891/tcp
   # firewall-cmd --runtime-to-permanent

   如果您使用其他端口，请将 8890 或 8891 替换为 .conf 文件中定义的端口号。

6. 运行容器：

   $ podman run --name keylime-registrar \
     -p 8890:8890 \
     -p 8891:8891 \
     -v /etc/keylime/registrar.conf.d:/etc/keylime/registrar.conf.d:Z \
     -v /var/lib/keylime/reg_ca:/var/lib/keylime/reg_ca:Z \
     -d \
     -e KEYLIME_REGISTRAR_SERVER_KEY_PASSWORD=<passphrase1> \
     registry.access.redhat.com/rhel9/keylime-registrar

   • -p 选项打开主机和容器上的默认端口 8890 和 8881。

   • -v 选项为目录创建到容器的绑定挂载。

     • 使用 Z 选项，Podman 使用私有未共享标签标记内容。这意味着只有当前容器可以使用私有卷。
   • -d 选项在后台运行分离的容器。
   • 选项 -e KEYLIME_VERIFIER_SERVER_KEY_PASSWORD=<passphrase1> 定义服务器密钥密码短语。
   • 您可以使用选项 -e KEYLIME_REGISTRAR_<ENVIRONMENT_VARIABLE>=<value> ，使用环境变量覆盖配置选项。要修改附加选项，请为每个环境变量单独插入 -e 选项。有关环境变量及其默认值的完整列表，请参阅 第 7.12 节 “Keylime 环境变量”。

流程

1. 创建定义所需角色的 playbook:

   1. 创建新 YAML 文件，并在文本编辑器中打开，例如：

      # vi keylime-playbook.yml

   2. 插入以下内容：

      ---
      - name: Manage keylime servers
        hosts: all
        vars:
          keylime_server_verifier_ip: "{{ ansible_host }}"
          keylime_server_registrar_ip: "{{ ansible_host }}"
          keylime_server_verifier_tls_dir: <ver_tls_directory>
          keylime_server_verifier_server_cert: <ver_server_certfile>
          keylime_server_verifier_server_key: <ver_server_key>
          keylime_server_verifier_server_key_passphrase: <ver_server_key_passphrase>
          keylime_server_verifier_trusted_client_ca: <ver_trusted_client_ca_list>
          keylime_server_verifier_client_cert: <ver_client_certfile>
          keylime_server_verifier_client_key: <ver_client_key>
          keylime_server_verifier_client_key_passphrase: <ver_client_key_passphrase>
          keylime_server_verifier_trusted_server_ca: <ver_trusted_server_ca_list>
          keylime_server_registrar_tls_dir: <reg_tls_directory>
          keylime_server_registrar_server_cert: <reg_server_certfile>
          keylime_server_registrar_server_key: <reg_server_key>
          keylime_server_registrar_server_key_passphrase: <reg_server_key_passphrase>
          keylime_server_registrar_trusted_client_ca: <reg_trusted_client_ca_list>
        roles:
          - rhel-system-roles.keylime_server

      您可以在 keylime_server RHEL 系统角色的变量 中找到更多有关变量的信息。

2. 运行 playbook：

   $ ansible-playbook <keylime-playbook.yml>

验证

1. 检查 keylime_verifier 服务是否活跃并在受管主机上运行：

   # systemctl status keylime_verifier
   ● keylime_verifier.service - The Keylime verifier
        Loaded: loaded (/usr/lib/systemd/system/keylime_verifier.service; disabled; vendor preset: disabled)
        Active: active (running) since Wed 2022-11-09 10:10:08 EST; 1min 45s ago

2. 检查 keylime_registrar 服务是否活跃且在运行：

   # systemctl status keylime_registrar
   ● keylime_registrar.service - The Keylime registrar service
        Loaded: loaded (/usr/lib/systemd/system/keylime_registrar.service; disabled; vendor preset: disabled)
        Active: active (running) since Wed 2022-11-09 10:10:17 EST; 1min 42s ago
   ...

流程

1. 安装 Keylime 租户：

   # dnf install keylime-tenant

2. 通过编辑 /etc/keylime/tenant.conf.d/00-verifier-ip.conf 文件将租户的连接定义到 Keylime 验证器的连接：

   [tenant]
   verifier_ip = <verifier_ip>

   • 将 <verifier_ip> 替换为验证器系统的 IP 地址。
   • 如果验证器使用与默认值 8881 不同的端口，请添加 verifier_port = <verifier_port> 设置。

3. 通过编辑 /etc/keylime/tenant.conf.d/00-registrar-ip.conf 文件将租户的连接定义到 Keylime 注册器的连接：

   [tenant]
   registrar_ip = <registrar_ip>

   • 将 <registrar_ip> 替换为注册器系统的 IP 地址。
   • 如果注册器使用与默认值 8891 不同的端口，请添加 registrar_port = <registrar_port> 设置。

4. 在租户中添加证书和密钥：

   1. 您可以使用默认配置，并将密钥和证书加载到 /var/lib/keylime/cv_ca 目录。

   2. 或者，您可以在配置中定义密钥和证书的位置。在 /etc/keylime/tenant.conf.d/ 目录中创建一个新的 .conf 文件，例如：/etc/keylime/tenant.conf.d/00-keys-and-certs.conf，其内容如下：

      [tenant]
      tls_dir = /var/lib/keylime/cv_ca
      client_key = tenant-key.pem
      client_key_password = <passphrase1>
      client_cert = tenant-cert.pem
      trusted_server_ca = ['</path/to/ca/cert>']

      trusted_server_ca 参数接受到验证器和注册器服务器 CA 证书的路径。您可以提供多个以逗号分隔的路径，例如，验证器和注册器使用不同的 CA。

      注意

      使用绝对路径定义密钥和证书位置。或者，您可以在 tls_dir 选项中定义目录，并使用相对于该目录的路径。

5. 可选：如果无法使用 /var/lib/keylime/tpm_cert_store 目录中的证书验证可信平台模块(TPM)签署密钥(EK)，请将证书添加到该目录。这在使用具有模拟 TPM 的虚拟机时会出现这种情况。

验证

1. 检查 verifier 的状态：

   # keylime_tenant -c cvstatus
   Reading configuration from ['/etc/keylime/logging.conf']
   2022-10-14 12:56:08.155 - keylime.tpm - INFO - TPM2-TOOLS Version: 5.2
   Reading configuration from ['/etc/keylime/tenant.conf']
   2022-10-14 12:56:08.157 - keylime.tenant - INFO - Setting up client TLS...
   2022-10-14 12:56:08.158 - keylime.tenant - INFO - Using default client_cert option for tenant
   2022-10-14 12:56:08.158 - keylime.tenant - INFO - Using default client_key option for tenant
   2022-10-14 12:56:08.178 - keylime.tenant - INFO - TLS is enabled.
   2022-10-14 12:56:08.178 - keylime.tenant - WARNING - Using default UUID d432fbb3-d2f1-4a97-9ef7-75bd81c00000
   2022-10-14 12:56:08.221 - keylime.tenant - INFO - Verifier at 127.0.0.1 with Port 8881 does not have agent d432fbb3-d2f1-4a97-9ef7-75bd81c00000.

   如果正确设置了，且没有配置代理，验证器会响应它无法识别的默认代理 UUID。

2. 检查 registrar 的状态：

   # keylime_tenant -c regstatus
   Reading configuration from ['/etc/keylime/logging.conf']
   2022-10-14 12:56:02.114 - keylime.tpm - INFO - TPM2-TOOLS Version: 5.2
   Reading configuration from ['/etc/keylime/tenant.conf']
   2022-10-14 12:56:02.116 - keylime.tenant - INFO - Setting up client TLS...
   2022-10-14 12:56:02.116 - keylime.tenant - INFO - Using default client_cert option for tenant
   2022-10-14 12:56:02.116 - keylime.tenant - INFO - Using default client_key option for tenant
   2022-10-14 12:56:02.137 - keylime.tenant - INFO - TLS is enabled.
   2022-10-14 12:56:02.137 - keylime.tenant - WARNING - Using default UUID d432fbb3-d2f1-4a97-9ef7-75bd81c00000
   2022-10-14 12:56:02.171 - keylime.registrar_client - CRITICAL - Error: could not get agent d432fbb3-d2f1-4a97-9ef7-75bd81c00000 data from Registrar Server: 404
   2022-10-14 12:56:02.172 - keylime.registrar_client - CRITICAL - Response code 404: agent d432fbb3-d2f1-4a97-9ef7-75bd81c00000 not found
   2022-10-14 12:56:02.172 - keylime.tenant - INFO - Agent d432fbb3-d2f1-4a97-9ef7-75bd81c00000 does not exist on the registrar. Please register the agent with the registrar.
   2022-10-14 12:56:02.172 - keylime.tenant - INFO - {"code": 404, "status": "Agent d432fbb3-d2f1-4a97-9ef7-75bd81c00000 does not exist on registrar 127.0.0.1 port 8891.", "results": {}}

   如果正确设置了，且没有配置代理，注册器会响应它无法识别的默认代理 UUID。

流程

1. 安装 Keylime 代理：

   # dnf install keylime-agent

   这个命令会安装 keylime-agent-rust 软件包。

2. 在配置文件中定义代理的 IP 地址和端口。在 /etc/keylime/agent.conf.d/ 目录中创建一个新的 .conf 文件，例如：/etc/keylime/agent.conf.d/00-agent-ip.conf，其内容如下：

   [agent]
   ip = '<agent_ip>'

   注意

   Keylime 代理配置使用 TOML 格式，它与用于其他组件配置的 INI 格式不同。因此，使用有效 TOML 语法输入值，例如，在带单引号的路径以及带方括号的多个路径的数组。

   • 将 <agent_IP_address> 替换为代理的 IP 地址。或者，使用 ip = '*' 或 ip = '0.0.0.0' 将代理绑定到所有可用 IP 地址。
   • 另外，您还可以使用 port = '<agent_port>' 选项更改代理端口的默认值 9002 。

3. 在配置文件中定义注册的 IP 地址和端口。在 /etc/keylime/agent.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/agent.conf.d/00-registrar-ip.conf，其内容如下：

   [agent]
   registrar_ip = '<registrar_IP_address>'

   • 将 <registrar_IP_address> 替换为注册中心的 IP 地址。
   • 另外，您还可以使用 registrar_port = '<registrar_port>' 选项更改注册器端口的默认值 8890。

4. 可选：定义代理的通用唯一标识符(UUID)。如果没有定义，则使用默认 UUID。在 /etc/keylime/agent.conf.d/ 目录中创建一个新的 .conf 文件，例如：/etc/keylime/agent.conf.d/00-agent-uuid.conf，其内容如下：

   [agent]
   uuid = '<agent_UUID>'

   • 将 <agent_UUID> 替换为代理的 UUID，如 d432fbb3-d2f1-4a97-9ef7-abcdef012345。您可以使用 uuidgen 工具生成 UUID。

5. 可选：加载代理的现有密钥和证书。如果代理没有接收 server_key 和 server_cert，它会生成自己的密钥和自签名证书。

   在配置中定义密钥和证书的位置。在 /etc/keylime/agent.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/agent.conf.d/00-keys-and-certs.conf，其内容如下：

   [agent]
   server_key = '</path/to/server_key>'
   server_key_password = '<passphrase1>'
   server_cert = '</path/to/server_cert>'
   trusted_client_ca = '[</path/to/ca/cert3>, </path/to/ca/cert4>]'

   注意

   使用绝对路径定义密钥和证书位置。Keylime 代理不接受相对路径。

6. 在防火墙中打开端口：

   # firewall-cmd --add-port 9002/tcp
   # firewall-cmd --runtime-to-permanent

   如果您使用不同的端口，请将 9002 替换为 .conf 文件中定义的端口号。

7. 启用并启动 keylime_agent 服务：

   # systemctl enable --now keylime_agent

8. 可选：在配置了 Keylime 租户的系统中，验证代理是否已正确配置，并可以连接到注册器。

   # keylime_tenant -c regstatus --uuid <agent_uuid>
   Reading configuration from ['/etc/keylime/logging.conf']
   ...
   ==\n-----END CERTIFICATE-----\n", "ip": "127.0.0.1", "port": 9002, "regcount": 1, "operational_state": "Registered"}}}

   • 将 <agent_uuid> 替换为代理的 UUID。

     如果正确配置了注册器和代理，输出会显示代理的 IP 地址和端口，后跟 "operational_state"："Registered"。

9. 通过在 /etc/ima/ima-policy 文件中输入以下内容来创建新的 IMA 策略：

   # PROC_SUPER_MAGIC = 0x9fa0
   dont_measure fsmagic=0x9fa0
   # SYSFS_MAGIC = 0x62656572
   dont_measure fsmagic=0x62656572
   # DEBUGFS_MAGIC = 0x64626720
   dont_measure fsmagic=0x64626720
   # TMPFS_MAGIC = 0x01021994
   dont_measure fsmagic=0x1021994
   # RAMFS_MAGIC
   dont_measure fsmagic=0x858458f6
   # DEVPTS_SUPER_MAGIC=0x1cd1
   dont_measure fsmagic=0x1cd1
   # BINFMTFS_MAGIC=0x42494e4d
   dont_measure fsmagic=0x42494e4d
   # SECURITYFS_MAGIC=0x73636673
   dont_measure fsmagic=0x73636673
   # SELINUX_MAGIC=0xf97cff8c
   dont_measure fsmagic=0xf97cff8c
   # SMACK_MAGIC=0x43415d53
   dont_measure fsmagic=0x43415d53
   # NSFS_MAGIC=0x6e736673
   dont_measure fsmagic=0x6e736673
   # EFIVARFS_MAGIC
   dont_measure fsmagic=0xde5e81e4
   # CGROUP_SUPER_MAGIC=0x27e0eb
   dont_measure fsmagic=0x27e0eb
   # CGROUP2_SUPER_MAGIC=0x63677270
   dont_measure fsmagic=0x63677270
   # OVERLAYFS_MAGIC
   # when containers are used we almost always want to ignore them
   dont_measure fsmagic=0x794c7630
   # MEASUREMENTS
   measure func=BPRM_CHECK
   measure func=FILE_MMAP mask=MAY_EXEC
   measure func=MODULE_CHECK uid=0

   此策略针对已执行的应用程序的运行时监控。您可以根据您的场景调整此策略。您可以在 statfs (2) man page 中找到 MAGIC 常量。

10. 更新内核参数：

    # grubby --update-kernel DEFAULT --args 'ima_appraise=fix ima_canonical_fmt ima_policy=tcb ima_template=ima-ng'

11. 重启系统以应用新的 IMA 策略。

验证

1. 验证代理是否正在运行：

   # systemctl status keylime_agent
   ● keylime_agent.service - The Keylime compute agent
        Loaded: loaded (/usr/lib/systemd/system/keylime_agent.service; enabled; preset: disabled)
        Active: active (running) since ...

流程

1. 在配置并运行 Keylime 代理的受监控系统上，从系统的当前状态生成一个 allowlist：

   # /usr/share/keylime/scripts/create_allowlist.sh -o <allowlist.txt> -h sha256sum

   将 <allowlist.txt> 替换为 allowlist 的文件名。

   重要

   使用 SHA-256 哈希功能。SHA-1 不安全，在 RHEL 9 中已弃用。如需更多信息，请参阅 Red Hat Enterprise Linux 9 中的 SHA-1 弃用。

2. 将生成的 allowlist 复制到配置了 keylime_tenant 工具的系统中，例如：

   # scp <allowlist.txt> root@<tenant.ip>:/root/<allowlist.txt>

3. 可选：您可以通过在租户系统上创建文件并输入要排除的文件和目录路径，来定义从 Keylime 测量中排除的文件或目录的列表。excludelist 接受 Python 正则表达式，每行一个正则表达式。有关特殊字符的完整列表，请参阅 docs.python.org 中的正则表达式操作。在租户系统上保存 excludelist。

4. 将 allowlist 和 excludelist 合并到 Keylime 运行时策略中：

   # keylime_create_policy -a <allowlist.txt> -e <excludelist.txt> -o <policy.json>

5. 在配置了 Keylime 租户的系统上，使用 keylime_tenant 工具置备代理：

   # keylime_tenant -c add -t <agent_ip> -u <agent_uuid> --runtime-policy <policy.json> --cert default

   • 将 <agent_ip> 替换为代理的 IP 地址。
   • 将 <agent_uuid> 替换为代理的 UUID。
   • 将 <policy.json> 替换为 Keylime 运行时策略文件的路径。

   • 使用 --cert 选项时，租户通过使用指定目录或默认的 /var/lib/keylime/ca/ 目录中的 CA 证书和密钥为代理生成和签名证书。如果目录不包含 CA 证书和密钥，则租户将根据 /etc/keylime/ca.conf 文件中的配置自动生成它们，并将其保存到指定的目录中。然后，租户将这些密钥和证书发送给代理。

     在生成 CA 证书或签名代理证书时，可能会提示您输入访问 CA 私钥的密码：Please enter the password to decrypt your keystore:

     如果您不想使用证书，请使用 -f 选项，而不向代理发送文件。置备代理需要发送任何文件，即使是空文件。

     注意

     Keylime 对发送到代理的文件进行加密，只有在代理系统符合 TPM 策略和 IMA allowlist 时才解密该文件。默认情况下，Keylime 解压缩发送的 .zip 文件。

   例如，使用以下命令，keylime_tenant 在 127.0.0.1 处添加一个新的 UUID 为 d432fbb3-d2f1-4a97-9ef7-75bd81c00000 的 Keylime 代理，并加载运行时策略 policy.json。它还在默认目录中生成一个证书，并将证书文件发送给代理。只有满足 /etc/keylime/verifier.conf 中的 TPM 策略才对文件进行解密：

   # keylime_tenant -c add -t 127.0.0.1 -u d432fbb3-d2f1-4a97-9ef7-75bd81c00000 --runtime-policy policy.json --cert default

   注意

   您可以使用 # keylime_tenant -c delete -u <agent_uuid> 命令停止 Keylime 监控节点。

   您可以使用 keylime_tenant -c update 命令修改已注册的代理的配置。

验证

1. 可选：重启被监控的系统，以验证设置是否持久。

2. 验证代理是否成功：

   # keylime_tenant -c cvstatus -u <agent.uuid>
   ...
   {"<agent.uuid>": {"operational_state": "Get Quote"..."attestation_count": 5
   ...

   将 <agent.uuid> 替换为代理的 UUID。

   如果 operational_state 的值为 Get Quote，并且 attestation_count 为非零，则此代理的证明成功。

   如果 operational_state 的值为 Invalid Quote 或 Failed，则验证失败，命令会显示类似如下的输出：

   {"<agent.uuid>": {"operational_state": "Invalid Quote", ... "ima.validation.ima-ng.not_in_allowlist", "attestation_count": 5, "last_received_quote": 1684150329, "last_successful_attestation": 1684150327}}

3. 如果验证失败，请在验证器日志中显示更多详细信息：

   # journalctl -u keylime_verifier
   keylime.tpm - INFO - Checking IMA measurement list...
   keylime.ima - WARNING - File not found in allowlist: /root/bad-script.sh
   keylime.ima - ERROR - IMA ERRORS: template-hash 0 fnf 1 hash 0 good 781
   keylime.cloudverifier - WARNING - agent D432FBB3-D2F1-4A97-9EF7-75BD81C00000 failed, stopping polling

流程

1. 在配置并运行 Keylime 代理的监控系统上，安装 python3-keylime 软件包，其包含 create_mb_refstate 脚本：

   # dnf -y install python3-keylime

2. 在被监控的系统上，使用 create_mb_refstate 脚本从系统当前状态的测量引导日志中生成一个策略：

   # /usr/share/keylime/scripts/create_mb_refstate /sys/kernel/security/tpm0/binary_bios_measurements <./measured_boot_reference_state.json>

   • 将 <./measured_boot_reference_state.json> 替换为保存所生成的策略的路径。

   • 如果您的 UEFI 系统没有启用安全引导，请传递 --without-secureboot 参数。

     重要

     使用 create_mb_refstate 脚本生成的策略基于系统的当前状态，非常严格。任何系统修改，包括内核更新和系统更新都会更改引导过程，系统就会失败。

3. 将生成的策略复制到配置了 keylime_tenant 工具的系统上，例如：

   # scp root@<agent_ip>:<./measured_boot_reference_state.json> <./measured_boot_reference_state.json>

4. 在配置了 Keylime 租户的系统上，使用 keylime_tenant 工具置备代理：

   # keylime_tenant -c add -t <agent_ip> -u <agent_uuid> --mb_refstate <./measured_boot_reference_state.json> --cert default

   • 将 <agent_ip> 替换为代理的 IP 地址。
   • 将 <agent_uuid> 替换为代理的 UUID。
   • 将 <./measured_boot_reference_state.json> 替换为计算引导策略的路径。

   如果将测量引导与运行时监控结合起来进行配置，请在输入 keylime_tenant -c add 命令时提供这两个用例中的所有选项。

   注意

   您可以使用 # keylime_tenant -c delete -t <agent_ip> -u <agent_uuid> 命令停止 Keylime 监控节点。

   您可以使用 keylime_tenant -c update 命令修改已注册的代理的配置。

验证

1. 重启被监控的系统，并验证代理是否成功：

   # keylime_tenant -c cvstatus -u <agent_uuid>
   ...
   {"<agent.uuid>": {"operational_state": "Get Quote"..."attestation_count": 5
   ...

   将 <agent_uuid> 替换为代理的 UUID。

   如果 operational_state 的值为 Get Quote，并且 attestation_count 为非零，则此代理的证明成功。

   如果 operational_state 的值为 Invalid Quote 或 Failed，则验证失败，命令会显示类似如下的输出：

   {"<agent.uuid>": {"operational_state": "Invalid Quote", ... "ima.validation.ima-ng.not_in_allowlist", "attestation_count": 5, "last_received_quote": 1684150329, "last_successful_attestation": 1684150327}}

2. 如果验证失败，请在验证器日志中显示更多详细信息：

   # journalctl -u keylime_verifier
   {"d432fbb3-d2f1-4a97-9ef7-75bd81c00000": {"operational_state": "Tenant Quote Failed", ... "last_event_id": "measured_boot.invalid_pcr_0", "attestation_count": 0, "last_received_quote": 1684487093, "last_successful_attestation": 0}}

流程

1. 安装 aide 软件包：

   # dnf install aide

2. 生成一个初始数据库：

   # aide --init
   Start timestamp: 2024-07-08 10:39:23 -0400 (AIDE 0.16)
   AIDE initialized database at /var/lib/aide/aide.db.new.gz
   
   Number of entries:	55856
   
   ---------------------------------------------------
   The attributes of the (uncompressed) database(s):
   ---------------------------------------------------
   
   /var/lib/aide/aide.db.new.gz
   …
     SHA512   : mZaWoGzL2m6ZcyyZ/AXTIowliEXWSZqx
                IFYImY4f7id4u+Bq8WeuSE2jasZur/A4
                FPBFaBkoCFHdoE/FW/V94Q==

3. 可选：在默认配置中，aide --init 命令只检查 /etc/aide.conf 文件中定义的一组目录和文件。要在 AIDE 数据库中包含其他目录或文件，并更改其监视的参数，请相应地编辑 /etc/aide.conf。

4. 要开始使用数据库，请从初始数据库文件名中删除 .new 子字符串：

   # mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

5. 可选：要更改 AIDE 数据库的位置，请编辑 /etc/aide.conf 文件，并修改 DBDIR 值。要获得额外的安全性，请将数据库、配置和 /usr/sbin/aide 二进制文件存储在安全的位置，如只读介质。

流程

1. 启动手动检查：

   # aide --check
   Start timestamp: 2024-07-08 10:43:46 -0400 (AIDE 0.16)
   AIDE found differences between database and filesystem!!
   
   Summary:
     Total number of entries:	55856
     Added entries:		0
     Removed entries:		0
     Changed entries:		1
   
   ---------------------------------------------------
   Changed entries:
   ---------------------------------------------------
   
   f   ...      ..S : /root/.viminfo
   
   ---------------------------------------------------
   Detailed information about changes:
   ---------------------------------------------------
   
   File: /root/.viminfo
     SELinux  : system_u:object_r:admin_home_t:s | unconfined_u:object_r:admin_home
                0                                | _t:s0
   …

2. 至少，将系统配置为每周运行 AIDE。最好每天运行 AIDE。例如，要使用 cron 命令计划在每天 04:05 a.m. 执行一次 AIDE，请在 /etc/crontab 文件中添加以下行：

    05 4 * * * root /usr/sbin/aide --check

步骤

1. 更新您的基准 AIDE 数据库：

   # aide --update

   aide --update 命令创建 /var/lib/aide/aide.db.new.gz 数据库文件。

2. 若要开始使用更新的数据库进行完整性检查，请从文件名中删除 .new 子字符串。

步骤

1. 卸载您要加密的设备上的所有文件系统，例如：

   # umount /dev/mapper/vg00-lv00

2. 为存储 LUKS 标头腾出空间。使用以下适合您场景的选项之一：

   • 如果是加密逻辑卷，您可以扩展逻辑卷而无需调整文件系统的大小。例如：

     # lvextend -L+32M /dev/mapper/vg00-lv00

   • 使用分区管理工具（如 parted ）扩展分区。
   • 缩小该设备的文件系统。您可以对 ext2、ext3 或 ext4 文件系统使用 resize2fs 工具。请注意，您无法缩小 XFS 文件系统。

3. 初始化加密：

   # cryptsetup reencrypt --encrypt --init-only --reduce-device-size 32M /dev/mapper/vg00-lv00 lv00_encrypted
   
   /dev/mapper/lv00_encrypted is now active and ready for online encryption.

4. 挂载该设备：

   # mount /dev/mapper/lv00_encrypted /mnt/lv00_encrypted

5. 为到 /etc/crypttab 文件的持久映射添加一个条目：

   1. 查找 luksUUID ：

      # cryptsetup luksUUID /dev/mapper/vg00-lv00
      
      a52e2cc9-a5be-47b8-a95d-6bdf4f2d9325

   2. 在您选择的文本编辑器中打开 /etc/crypttab，并在此文件中添加一个设备：

      $ vi /etc/crypttab
      
      lv00_encrypted UUID=a52e2cc9-a5be-47b8-a95d-6bdf4f2d9325 none

      将 a52e2cc9-a5be-47b8-a95d-6bdf4f2d9325 替换为您设备的 luksUUID。

   3. 使用 dracut 刷新 initramfs：

      $ dracut -f --regenerate-all

6. 向 /etc/fstab 文件中添加一个永久挂载条目：

   1. 查找活跃的 LUKS 块设备的文件系统的 UUID：

      $ blkid -p /dev/mapper/lv00_encrypted
      
      /dev/mapper/lv00-encrypted: UUID="37bc2492-d8fa-4969-9d9b-bb64d3685aa9" BLOCK_SIZE="4096" TYPE="xfs" USAGE="filesystem"

   2. 在您选择的文本编辑器中打开 /etc/fstab，并在此文件中添加一个设备，例如：

      $ vi /etc/fstab
      
      UUID=37bc2492-d8fa-4969-9d9b-bb64d3685aa9 /home auto rw,user,auto 0

      将 37bc2492-d8fa-4969-9d9b-bb64d3685aa9 替换为您文件系统的 UUID。

7. 恢复在线加密：

   # cryptsetup reencrypt --resume-only /dev/mapper/vg00-lv00
   
   Enter passphrase for /dev/mapper/vg00-lv00:
   Auto-detected active dm device 'lv00_encrypted' for data device /dev/mapper/vg00-lv00.
   Finished, time 00:31.130, 10272 MiB written, speed 330.0 MiB/s

验证

1. 验证现有数据是否已加密：

   # cryptsetup luksDump /dev/mapper/vg00-lv00
   
   LUKS header information
   Version: 2
   Epoch: 4
   Metadata area: 16384 [bytes]
   Keyslots area: 16744448 [bytes]
   UUID: a52e2cc9-a5be-47b8-a95d-6bdf4f2d9325
   Label: (no label)
   Subsystem: (no subsystem)
   Flags: (no flags)
   
   Data segments:
     0: crypt
   	offset: 33554432 [bytes]
   	length: (whole device)
   	cipher: aes-xts-plain64
   [...]

2. 查看加密的空白块设备的状态：

   # cryptsetup status lv00_encrypted
   
   /dev/mapper/lv00_encrypted is active and is in use.
     type:    LUKS2
     cipher:  aes-xts-plain64
     keysize: 512 bits
     key location: keyring
     device:  /dev/mapper/vg00-lv00

步骤

1. 卸载设备上的所有文件系统，例如：

   # umount /dev/nvme0n1p1

2. 初始化加密：

   # cryptsetup reencrypt --encrypt --init-only --header /home/header /dev/nvme0n1p1 nvme_encrypted
   
   WARNING!
   ========
   Header file does not exist, do you want to create it?
   
   Are you sure? (Type 'yes' in capital letters): YES
   Enter passphrase for /home/header:
   Verify passphrase:
   /dev/mapper/nvme_encrypted is now active and ready for online encryption.

   将 /home/header 替换为具有分离的 LUKS 标头的文件的路径。必须可以访问分离的 LUKS 标头，以便稍后解锁加密设备。

3. 挂载该设备：

   # mount /dev/mapper/nvme_encrypted /mnt/nvme_encrypted

4. 恢复在线加密：

   # cryptsetup reencrypt --resume-only --header /home/header /dev/nvme0n1p1
   
   Enter passphrase for /dev/nvme0n1p1:
   Auto-detected active dm device 'nvme_encrypted' for data device /dev/nvme0n1p1.
   Finished, time 00m51s,   10 GiB written, speed 198.2 MiB/s

验证

1. 验证使用具有分离标头的 LUKS2 块设备上的现有数据是否已加密：

   # cryptsetup luksDump /home/header
   
   LUKS header information
   Version:       	2
   Epoch:         	88
   Metadata area: 	16384 [bytes]
   Keyslots area: 	16744448 [bytes]
   UUID:          	c4f5d274-f4c0-41e3-ac36-22a917ab0386
   Label:         	(no label)
   Subsystem:     	(no subsystem)
   Flags:       	(no flags)
   
   Data segments:
     0: crypt
   	offset: 0 [bytes]
   	length: (whole device)
   	cipher: aes-xts-plain64
   	sector: 512 [bytes]
   [...]

2. 查看加密的空白块设备的状态：

   # cryptsetup status nvme_encrypted
   
   /dev/mapper/nvme_encrypted is active and is in use.
     type:    LUKS2
     cipher:  aes-xts-plain64
     keysize: 512 bits
     key location: keyring
     device:  /dev/nvme0n1p1

步骤

1. 将分区设置为加密的 LUKS 分区：

   # cryptsetup luksFormat /dev/nvme0n1p1
   
   WARNING!
   ========
   This will overwrite data on /dev/nvme0n1p1 irrevocably.
   Are you sure? (Type 'yes' in capital letters): YES
   Enter passphrase for /dev/nvme0n1p1:
   Verify passphrase:

2. 打开加密的 LUKS 分区：

   # cryptsetup open /dev/nvme0n1p1 nvme0n1p1_encrypted
   
   Enter passphrase for /dev/nvme0n1p1:

   这会解锁分区，并使用设备映射器将其映射到新设备。为了不覆盖加密数据，这个命令会警告内核，该设备是一个加密设备，可以使用 /dev/mapper/device_mapped_name 路径通过 LUKS 解决。

3. 创建一个文件系统来将加密的数据写入分区，该分区必须可通过设备映射名称访问：

   # mkfs -t ext4 /dev/mapper/nvme0n1p1_encrypted

4. 挂载该设备：

   # mount /dev/mapper/nvme0n1p1_encrypted mount-point