6.2. Red Hat Network Satellite 内の OpenSCAP

手順6.1 Web インターフェースを使ったスキャン

1. Satellite Web インターフェースにログインします。
2. システム → 目的のシステム の順でクリックします。
3. 監査 → スケジュール の順でクリックします。
4. 新規の XCCDF スキャンをスケジュール のフォームを入力します。
   • コマンドラインの引数: このフィールドには oscap ツール用に引数を追加することができます。 使用できる引数は以下の 2 種類のみです。
     --profile PROFILE — XCCDF ドキュメントから特定のプロファイルを選択します。 プロファイルは XCCDF の xml ファイルで確定され、 Profile id タグを使ってチェックできます。 例を示します。

     Profile id="RHEL6-Default"
     

     注記

     OpenSCAP には --profile コマンドライン引数を付けないとスキャンが失敗してしまうバージョンがあります。
     --skip-valid — 入力や出力のファイルの検証を行いません。 XCCDF コンテンツが適切な形式で構成されていない場合はこの引数を選ぶとファイル検証のプロセスを回避することができます。
     コマンドライン引数を何も渡さないとデフォルトのプロファイルが使用されます。
   • XCCDF ドキュメントへのパス: 必須フィールドになります。 path パラメータでクライアントシステム上のコンテンツの場所をポイントします。 たとえば、 /usr/local/scap/dist_rhel6_scap-rhel6-oval.xml などです。

     警告

     xccdf コンテンツは検証が行われたあと、 リモートシステムで実行されます。 無効な引数を指定すると spacewalk-oscap による検証や実行が失敗する可能性があります。 セキュリティ対策上、 「osccap xccdf eval」コマンドが受け取るのは限られたパラメータセットのみになります。
5. rhn_check を実行して、 クライアントシステムで動作が正しく拾われるか確認します。

   rhn_check -vv
   

   注記

   代わりに、 rhnsd や osad がクライアントシステムで実行している場合には、動作はこれらのサービスによって拾われます。 これらのサービスが実行しているか確認します。

   service rhnsd start
   

   または

   service osad start
   

手順6.2 API を使ったスキャン

1. 既存するスクリプトを選択するか、 フロントエンドの API system.scap.scheduleXccdfScan を使ってシステムスキャンのスケジュールを行うスクリプトを作成します。
   スクリプトの例

   #!/usr/bin/python
   client = xmlrpclib.Server('https://spacewalk.example.com/rpc/api')
   key = client.auth.login('username', 'password')
   client.system.scap.scheduleXccdfScan(key, 1000010001,
       '/usr/local/share/scap/usgcb-rhel5desktop-xccdf.xml',
       '--profile united_states_government_configuration_baseline')
   

   場所:
   • 1000010001 は system ID (sid) です。
   • /usr/local/share/scap/usgcb-rhel5desktop-xccdf.xml はパスのパラメータです。 クライアントシステム上のコンテンツの場所をポイントします。 この場合、 /usr/local/share/scap ディレクトリ内の USGSB コンテンツと仮定しています。
   • --profile united_states_government_configuration_baseline は oscap ツールの追加引数を表します。 この場合、 USCFGB を使用しています。
2. いずれかのシステムのコマンドラインインターフェースでスクリプトを実行します。 このシステムには適切な python ライブラリと xmlrpc ライブラリをインストールしておく必要があります。
3. rhn_check を実行して、 クライアントシステムで動作が正しく拾われるか確認します。

   rhn_check -vv
   

   注記

   代わりに、 rhnsd や osad がクライアントシステムで実行している場合には、動作はこれらのサービスによって拾われます。 これらのサービスが実行しているか確認します。

   service rhnsd start
   

   または

   service osad start