21.10. UEFI システム用のカスタム署名付き IMA ポリシーのデプロイ

セキュアブート環境では、カスタム IMA 鍵で署名された署名付き IMA ポリシーのみをロードすることをお勧めします。

前提条件

手順

  1. Secure Boot を有効にします。
  2. ima_policy=secure_boot カーネルパラメーターを永続的に追加します。

    手順については、sysctl を使用したカーネルパラメーターの永続的な設定 を参照してください。

  3. 次のコマンドを実行して、IMA ポリシーを準備します。

    # evmctl ima_sign /etc/sysconfig/ima-policy -k <PATH_TO_YOUR_CUSTOM_IMA_KEY>
    Place your public certificate under /etc/keys/ima/ and add it to the .ima keyring
  4. 次のコマンドを実行して、カスタム IMA コード署名鍵を使用してポリシーに署名します。

    # keyctl padd asymmetric CUSTOM_IMA1 %:.ima < /etc/ima/keys/my_ima.cer
  5. 次のコマンドを実行して、IMA ポリシーをロードします。

    # echo /etc/sysconfig/ima-policy > /sys/kernel/security/ima/policy
    # echo $?
    0