cis-rhel8

Configura un servidor RHEL 8 para cumplir con los CIS Benchmarks.

Ten cuidado antes de usar este rol, podría romper tus sistemas.

Variables del Rol

Elemento

Hay una variable booleana por elemento cis_rhel8_<sección>_<subelemento1>_<subelemento2>(_<subelemento3>)? que aplicará o no la remediación asociada. Por defecto, el rol remediará todos los elementos. Ten cuidado al establecer variables específicas en falso si tus sistemas tienen necesidades particulares.

Por ejemplo, si no deseas configurar una contraseña de cargador de arranque (1.5.2 - Asegúrate de que la contraseña del cargador de arranque esté establecida), establece la variable cis_rhel8_1_5_2 en false.

Personalización

Para algunos elementos, puedes configurar una o más variables. Por ejemplo, si decides configurar una contraseña de cargador de arranque, puedes establecer la tuya o decidir restablecerla con:

• cis_rhel8_grub_password: mipasswordsegura (esta variable probablemente debería ser protegida)
• cis_rhel8_reset_grub_password: true

Por defecto, estas variables de personalización están configuradas con el valor recomendado por los CIS Benchmarks.

Ejemplos de Playbooks

Aplica todas las remediaciones usando valores predeterminados:

$ cat cis.yml
---
- hosts: rhel8_servers
  roles:
    - role: cis-rhel8
$ ansible-playbook cis.yml

Aplica solo la sección 1 (Configuración Inicial):

$ cat cis.yml
---
- hosts: rhel8_servers
  vars:
    cis_rhel8_5_2_11: false
  roles:
    - role: cis-rhel8
$ ansible-playbook cis.yml -t section1

Aplica solo los elementos de nivel 1, no remedies algunos elementos (1.4.1 Asegúrate de que AIDE esté instalado y 5.2.6 Asegúrate de que el reenvío X11 de SSH esté desactivado) y personaliza 5.2.5 Asegúrate de que el nivel de log de SSH sea el apropiado:

$ cat cis.yml
---
- hosts: rhel8_servers
  vars:
    cis_rhel8_1_4_1: false
    cis_rhel8_5_2_6: false
    cis_rhel8_sshd_log_level: DEBUG
  roles:
    - role: cis-rhel8
$ ansible-playbook cis.yml -t level1

Licencia

BSD

Información del Autor

Jérémy Bertozzi jeremy.bertozzi@gmail.com