6.2. RHN 衛星伺服器中的 OpenSCAP

過程 6.1. 透過網站介面掃瞄

1. 登入衛星伺服器網站介面。
2. 點選系統 → 目標系統。
3. 點選稽核 → 排程
4. 填入 排程新的 XCCDF 掃瞄 表格：
   • 指令列引數：您可在此欄位中加入 oscap 工具的額外引數。只有兩項指令列引數是被允許的。它們乃：
     --profile PROFILE — 由 XCCDF 文件選擇特定設定檔。設定檔乃透過 XCCDF xml 檔案所決定，並且可透過使用 Profile id 標籤來檢查。例如：

     Profile id="RHEL6-Default"
     

     注意

     特定版本的 OpenSCAP 需使用 --profile 指令列引數，否則掃瞄將會失敗。
     --skip-valid — 不驗證輸入/輸出檔案。沒有正確格式的 XCCDF 內容的使用者，可選擇使用此選項，以跳過檔案驗證程序。
     若沒使用任何指令列引數，它將會使用預設設定檔。
   • XCCDF 文件的路徑：此乃必填的欄位。path 參數指向了客戶端系統上的內容位置。例如：/usr/local/scap/dist_rhel6_scap-rhel6-oval.xml

     警告

     xccdf 內容在遠端系統上執行前，會先經過驗證。指定無效的引數可能會造成 spacewalk-oscap 無法驗證或執行。基於安全性考量，「osccap xccdf eval」指令僅接受有限的參數。
5. 請執行 rhn_check 以確認客戶端系統可掌握此動作。

   rhn_check -vv
   

   注意

   此外，若 rhnsd 或 osad 在客戶端系統上執行的話，這些伺服器將會掌握動作。若要檢查它們是否正在執行中，請執行：

   service rhnsd start
   

   或是

   service osad start
   

過程 6.2. 透過 API 掃瞄

1. 選擇既有的 script 或新建 script，以透過 system.scap.scheduleXccdfScan（前端 API）來排程系統掃瞄。
   範例 script：

   #!/usr/bin/python
   client = xmlrpclib.Server('https://spacewalk.example.com/rpc/api')
   key = client.auth.login('username', 'password')
   client.system.scap.scheduleXccdfScan(key, 1000010001,
       '/usr/local/share/scap/usgcb-rhel5desktop-xccdf.xml',
       '--profile united_states_government_configuration_baseline')
   

   而
   • 1000010001 代表 system ID (sid)。
   • /usr/local/share/scap/usgcb-rhel5desktop-xccdf.xml 為指向了客戶端系統上，內容位置的路徑參數。在此情況下，它會假設 USGSB 內容位於 /usr/local/share/scap 目錄中。
   • --profile united_states_government_configuration_baseline 代表 oscap 工具的額外引數。在此情況下，它使用了 USCFGB。
2. 在任何系統的指令列介面上執行此 script。系統需安裝了適當的 python 與 xmlrpc 函式庫。
3. 請執行 rhn_check 以確認客戶端系統可掌握此動作。

   rhn_check -vv
   

   注意

   此外，若 rhnsd 或 osad 在客戶端系統上執行的話，這些伺服器將會掌握動作。若要檢查它們是否正在執行中，請執行：

   service rhnsd start
   

   或是

   service osad start