7.5. 将配置文件的自定义定制选项添加到蓝图中

流程

1. 使用 OpenSCAP 工具和 scap-security-guide 内容，创建一个 TOML 格式的强化蓝图，并在必要时进行修改：

   # oscap xccdf generate fix --profile=cis --fix-type=blueprint /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml > cis_tailored.toml

2. 将带有自定义规则集的定制部分附加到蓝图中：

   # Blueprint for CIS Red Hat Enterprise Linux 9 Benchmark for Level 2 - Server
   # ...
   [customizations.openscap.tailoring]
   selected = [ "xccdf_org.ssgproject.content_bind_crypto_policy" ]
   unselected = [ "grub2_password" ]

3. 使用 composer-cli 工具将蓝图推送到 osbuild-composer ：

   # composer-cli blueprints push cis_tailored.toml

4. 启动强化镜像的构建：

   # composer-cli compose start hardened_xccdf_org.ssgproject.content_profile_cis qcow2

   镜像构建就绪后，请在部署中使用预强化的镜像来创建虚拟机。如需更多信息，请参阅 创建虚拟机。

   在虚拟机中部署了预先强化的镜像后，您可以执行配置合规性扫描，以验证镜像是否与所选安全配置文件一致。

   重要

   执行配置合规性扫描不能保证系统是合规的。如需更多信息，请参阅配置合规性扫描。

1. 使用 SSH 连接到虚拟机。

2. 运行 oscap 扫描程序。

   # oscap xccdf eval --profile=cis --report=/tmp/compliance-report.html /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

3. 获取 compliance-report.html ，并检查结果。