Jump To Close Expand all Collapse all Table of contents 安全强化 使开源包含更多 对红帽文档提供反馈 1. 在安装过程中保护 RHEL Expand section "1. 在安装过程中保护 RHEL" Collapse section "1. 在安装过程中保护 RHEL" 1.1. BIOS 和 UEFI 安全 Expand section "1.1. BIOS 和 UEFI 安全" Collapse section "1.1. BIOS 和 UEFI 安全" 1.1.1. BIOS 密码 1.1.2. 非基于 BIOS 的系统安全性 1.2. 磁盘分区 1.3. 在安装过程中限制网络连接 1.4. 安装所需的最少软件包 1.5. 安装后流程 2. 在 FIPS 模式中安装系统 Expand section "2. 在 FIPS 模式中安装系统" Collapse section "2. 在 FIPS 模式中安装系统" 2.1. Federal Information Processing Standards 140 和 FIPS 模式 2.2. 安装启用了 FIPS 模式的系统 2.3. 其他资源 3. 使用系统范围的加密策略 Expand section "3. 使用系统范围的加密策略" Collapse section "3. 使用系统范围的加密策略" 3.1. 系统范围的加密策略 3.2. 将系统范围的加密策略切换到与早期版本兼容的模式 3.3. 在 web 控制台中设置系统范围的加密策略 3.4. 将系统切换到 FIPS 模式 3.5. 在容器中启用 FIPS 模式 3.6. 使用与 FIPS 140-3 不兼容的加密的 RHEL 应用程序列表 3.7. 将应用程序从下列系统范围的加密策略中排除 Expand section "3.7. 将应用程序从下列系统范围的加密策略中排除" Collapse section "3.7. 将应用程序从下列系统范围的加密策略中排除" 3.7.1. 选择不使用系统范围的加密策略的示例 3.8. 使用子策略自定义系统范围的加密策略 3.9. 重新启用 SHA-1 3.10. 创建并设置自定义系统范围的加密策略 4. 使用 crypto-policies RHEL 系统角色设置自定义加密策略 Expand section "4. 使用 crypto-policies RHEL 系统角色设置自定义加密策略" Collapse section "4. 使用 crypto-policies RHEL 系统角色设置自定义加密策略" 4.1. crypto_policies 系统角色变量和事实 4.2. 使用 crypto_policies 系统角色设置自定义加密策略 4.3. 其他资源 5. 通过 PKCS#11 将应用程序配置为使用加密硬件 Expand section "5. 通过 PKCS#11 将应用程序配置为使用加密硬件" Collapse section "5. 通过 PKCS#11 将应用程序配置为使用加密硬件" 5.1. 通过 PKCS #11 的加密硬件支持 5.2. 使用保存在智能卡中的 SSH 密钥 5.3. 配置应用程序以使用智能卡上的证书进行身份验证 5.4. 在 Apache 中使用 HSM 保护私钥 5.5. 使用 HSM 保护 Nginx 中的私钥 5.6. 其他资源 6. 使用 polkit 控制对智能卡的访问 Expand section "6. 使用 polkit 控制对智能卡的访问" Collapse section "6. 使用 polkit 控制对智能卡的访问" 6.1. 通过 polkit 的智能卡访问控制 6.2. 排除与 PC/SC 和 polkit 相关的问题 6.3. 向 PC/SC 显示关于 polkit 授权的更多详细信息 6.4. 其他资源 7. 扫描系统以了解配置合规性和漏洞 Expand section "7. 扫描系统以了解配置合规性和漏洞" Collapse section "7. 扫描系统以了解配置合规性和漏洞" 7.1. RHEL 中的配置合规工具 7.2. 漏洞扫描 Expand section "7.2. 漏洞扫描" Collapse section "7.2. 漏洞扫描" 7.2.1. 红帽安全咨询 OVAL 源 7.2.2. 扫描系统漏洞 7.2.3. 扫描远程系统的漏洞 7.3. 配置合规性扫描 Expand section "7.3. 配置合规性扫描" Collapse section "7.3. 配置合规性扫描" 7.3.1. RHEL 中的配置合规性 7.3.2. OpenSCAP 扫描的可能结果 7.3.3. 查看配置文件是否符合配置合规 7.3.4. 评估配置是否符合特定基准 7.4. 修复系统,使其与特定基准一致 7.5. 使用 SSG Ansible playbook 修复系统以与特定基准保持一致 7.6. 创建修复 Ansible playbook,使系统与特定的基准一致 7.7. 为后续应用程序创建补救 Bash 脚本 7.8. 使用 SCAP Workbench 用自定义配置文件扫描系统 Expand section "7.8. 使用 SCAP Workbench 用自定义配置文件扫描系统" Collapse section "7.8. 使用 SCAP Workbench 用自定义配置文件扫描系统" 7.8.1. 使用 SCAP Workbench 来扫描和修复系统 7.8.2. 使用 SCAP Workbench 自定义安全配置文件 7.8.3. 其他资源 7.9. 安装后立即部署符合安全配置文件的系统 Expand section "7.9. 安装后立即部署符合安全配置文件的系统" Collapse section "7.9. 安装后立即部署符合安全配置文件的系统" 7.9.1. 配置文件与 Server with GUI 不兼容 7.9.2. 使用图形安装部署基本兼容 RHEL 系统 7.9.3. 使用 Kickstart 部署符合基线的 RHEL 系统 7.10. 扫描容器和容器镜像以查找漏洞 7.11. 使用特定基准评估容器或容器镜像的安全性合规 7.12. RHEL 9 支持 SCAP 安全指南配置集 7.13. 其他资源 8. 使用 Keylime 确保系统完整性 Expand section "8. 使用 Keylime 确保系统完整性" Collapse section "8. 使用 Keylime 确保系统完整性" 8.1. Keylime 的工作原理 8.2. 配置 Keylime 验证器 8.3. 配置 Keylime 注册器 8.4. 使用系统角色建立 Keylime 服务器 8.5. keylime_server RHEL 系统角色的变量 8.6. 配置 Keylime 租户 8.7. 配置 Keylime 代理 8.8. 部署对运行时监控的 Keylime 8.9. 在测试时为测量的引导部署主精简 9. 使用 AIDE 检查完整性 Expand section "9. 使用 AIDE 检查完整性" Collapse section "9. 使用 AIDE 检查完整性" 9.1. 安装 AIDE 9.2. 使用 AIDE 执行完整性检查 9.3. 更新 AIDE 数据库 9.4. 文件完整性工具:AIDE 和 IMA 9.5. 其他资源 10. 使用 LUKS 加密块设备 Expand section "10. 使用 LUKS 加密块设备" Collapse section "10. 使用 LUKS 加密块设备" 10.1. LUKS 磁盘加密 10.2. RHEL 中的 LUKS 版本 10.3. LUKS2 重新加密过程中数据保护选项 10.4. 使用 LUKS2 加密块设备上的现有数据 10.5. 使用带有分离标头的 LUKS2 在块设备上加密现有数据 10.6. 使用 LUKS2 加密空白块设备 10.7. 使用 storage RHEL 系统角色创建 LUKS2 加密卷 11. 使用基于策略的解密配置加密卷的自动解锁 Expand section "11. 使用基于策略的解密配置加密卷的自动解锁" Collapse section "11. 使用基于策略的解密配置加密卷的自动解锁" 11.1. 网络绑定磁盘加密 11.2. 安装加密客户端 - Clevis 11.3. 部署 SELinux 处于 enforcing 模式的 Tang 服务器 11.4. 轮转 Tang 服务器密钥并更新客户端上的绑定 11.5. 在 web 控制台中使用 Tang 键配置自动解锁 11.6. 基本的 NBDE 和 TPM2 加密客户端操作 11.7. 配置 LUKS 加密卷的手动注册 11.8. 使用 TPM 2.0 策略配置 LUKS 加密卷的手动注册 11.9. 手动从 LUKS 加密卷中删除 Clevis pin 11.10. 使用 Kickstart 配置 LUKS 加密卷的自动注册 11.11. 配置 LUKS 加密的可移动存储设备的自动解锁 11.12. 部署高可用性 NBDE 系统 Expand section "11.12. 部署高可用性 NBDE 系统" Collapse section "11.12. 部署高可用性 NBDE 系统" 11.12.1. 使用 Shamir 的 Secret 共享的高可用性 NBDE Expand section "11.12.1. 使用 Shamir 的 Secret 共享的高可用性 NBDE" Collapse section "11.12.1. 使用 Shamir 的 Secret 共享的高可用性 NBDE" 11.12.1.1. 示例 1:带两个 Tang 服务器的冗余 11.12.1.2. 示例 2:Tang 服务器和 TPM 设备的共享 secret 11.13. NBDE 网络中虚拟机的部署 11.14. 使用 NBDE 为云环境构建可自动注册的虚拟机镜像 11.15. 将 Tang 部署为容器 11.16. nbde_client 和 nbde_server 系统角色 (Clevis 和 Tang) 简介 11.17. 使用 nbde_server 系统角色设置多个 Tang 服务器 11.18. 使用 nbde_client 系统角色设置多个 Clevis 客户端 12. 审计系统 Expand section "12. 审计系统" Collapse section "12. 审计系统" 12.1. Linux 审计 12.2. 审计系统架构 12.3. 为安全环境配置 auditd 12.4. 启动和控制 auditd 12.5. 了解审计日志文件 12.6. 使用 auditctl 来定义和执行审计规则 12.7. 定义持久性审计规则 12.8. 使用预配置的规则文件 12.9. 使用 augenrules 来定义持久性规则 12.10. 禁用 augenrules 12.11. 设置审计来监控软件更新 12.12. 使用审计监控用户登录时间 12.13. 其他资源 13. 使用 fapolicyd 阻止和允许应用程序 Expand section "13. 使用 fapolicyd 阻止和允许应用程序" Collapse section "13. 使用 fapolicyd 阻止和允许应用程序" 13.1. fapolicyd 简介 13.2. 部署 fapolicyd 13.3. 使用其它信任源将文件标记为可信 13.4. 为 fapolicyd 添加自定义 allow 和 deny 规则 13.5. 启用 fapolicyd 完整性检查 13.6. 故障排除与 fapolicyd 相关的问题 13.7. 其他资源 14. 保护系统免受入侵 USB 设备的攻击 Expand section "14. 保护系统免受入侵 USB 设备的攻击" Collapse section "14. 保护系统免受入侵 USB 设备的攻击" 14.1. USBGuard 14.2. 安装 USBGuard 14.3. 使用 CLI 阻止和授权 USB 设备 14.4. 永久阻止和授权 USB 设备 14.5. 为 USB 设备创建自定义策略 14.6. 为 USB 设备创建结构化自定义策略 14.7. 授权用户和组使用 USBGuard IPC 接口 14.8. 将 USBguard 授权事件记录到 Linux 审计日志中 14.9. 其他资源 15. 配置远程日志记录解决方案 Expand section "15. 配置远程日志记录解决方案" Collapse section "15. 配置远程日志记录解决方案" 15.1. Rsyslog 日志记录服务 15.2. 安装 Rsyslog 文档 15.3. 通过 TCP 配置服务器进行远程记录 15.4. 通过 TCP 配置远程日志记录到服务器 15.5. 配置 TLS 加密的远程日志记录 15.6. 配置服务器以通过 UDP 接收远程日志信息 15.7. 通过 UDP 配置远程日志记录到服务器 15.8. Rsyslog 中的负载均衡帮助程序 15.9. 配置可靠的远程日志记录 15.10. 支持的 Rsyslog 模块 15.11. 配置 netconsole 服务为将内核信息记录到远程主机 15.12. 其他资源 16. 使用日志记录系统角色 Expand section "16. 使用日志记录系统角色" Collapse section "16. 使用日志记录系统角色" 16.1. 日志记录系统角色 16.2. logging 系统角色参数 16.3. 应用 本地 日志记录系统角色 16.4. 过滤本地日志记录系统角色中的 logging 16.5. 使用 logging 系统角色应用远程日志解决方案 16.6. 使用带有 TLS 的 logging 系统角色 Expand section "16.6. 使用带有 TLS 的 logging 系统角色" Collapse section "16.6. 使用带有 TLS 的 logging 系统角色" 16.6.1. 配置带有 TLS 的客户端日志 16.6.2. 配置带有 TLS 的服务器日志 16.7. 使用带有 RELP 的 logging 系统角色 Expand section "16.7. 使用带有 RELP 的 logging 系统角色" Collapse section "16.7. 使用带有 RELP 的 logging 系统角色" 16.7.1. 配置带有 RELP 的客户端日志 16.7.2. 配置带有 RELP 的服务器日志 16.8. 其他资源 法律通告 Settings Close Language: 简体中文 日本語 English 한국어 Français Language: 简体中文 日本語 English 한국어 Français Format: Multi-page Single-page Format: Multi-page Single-page Language and Page Formatting Options Language: 简体中文 日本語 English 한국어 Français Language: 简体中文 日本語 English 한국어 Français Format: Multi-page Single-page Format: Multi-page Single-page 9.5. 其他资源 aide(1) 手册页 内核完整性子系统 Previous Next