7.5. 在蓝图中为配置集添加自定义定制选项

流程

1. 以 TOML 格式创建强化蓝图，使用 OpenSCAP 工具和 scap-security-guide 内容，并根据需要进行修改：

   # oscap xccdf generate fix --profile=cis --fix-type=blueprint /usr/share/xml/scap/ssg/content/ssg-rhel{ProductNumber}-ds.xml > cis_tailored.toml

2. 将 tailoring 部分的自定义规则集附加到蓝图中：

   # Blueprint for CIS Red Hat Enterprise Linux {ProductNumber} Benchmark for Level 2 - Server
   # ...
   
   [customizations.openscap.tailoring]
   selected = [ "xccdf_org.ssgproject.content_bind_crypto_policy" ]
   unselected = [ "grub2_password" ]

3. 使用 composer-cli 工具将蓝图推送到 osbuild-composer ：

   # composer-cli blueprints push cis_tailored.toml

4. 启动强化镜像的构建：

   # composer-cli compose start hardened_xccdf_org.ssgproject.content_profile_cis qcow2

   镜像构建就绪后，请在部署中使用预先强化的镜像来创建虚拟机。如需更多信息，请参阅 创建虚拟机。

   在虚拟机中部署预先强化的镜像后，可以执行配置合规性扫描，以验证镜像是否与所选安全配置集一致。

   重要

   执行配置合规性扫描不能保证系统是合规的。如需更多信息，请参阅配置合规性扫描。

1. 使用 SSH 连接到虚拟机。

2. 运行 oscap 扫描程序。

   # oscap xccdf eval --profile=cis --report=/tmp/compliance-report.html /usr/share/xml/scap/ssg/content/ssg-rhel{ProductNumber}-ds.xml

3. 获取 compliance-report.html 并检查结果。