cis-rhel8

Настройте сервер RHEL 8 в соответствии с CIS Benchmarks.

Будьте осторожны перед использованием этой роли, она может нарушить работу ваших систем.

Переменные роли

Элемент

Для каждого элемента есть одна логическая переменная cis_rhel8_<раздел>_<подраздел1>_<подраздел2>(_<подраздел3>)?, которая будет применять или не применять соответствующую корректировку. По умолчанию роль применит все корректировки. Будьте внимательны и установите подходящие переменные в значение false, если ваши системы имеют специфические требования.

Например, если вы не хотите установить пароль для загрузчика (1.5.2 - Убедитесь, что установлен пароль загрузчика), установите переменную cis_rhel8_1_5_2 в значение false.

Настройка

Для некоторых элементов можно настроить одну или несколько переменных. Например, если вы решили установить пароль для загрузчика, вы можете установить свой собственный или сбросить его с помощью:

• cis_rhel8_grub_password: mynewsecurepassword (эту переменную, вероятно, следует зашифровать)
• cis_rhel8_reset_grub_password: true

По умолчанию эти переменные настройки установлены в рекомендованное значение по стандартам CIS.

Примеры плейбуков

Примените все корректировки, используя значения по умолчанию:

$ cat cis.yml
---
- hosts: rhel8_servers
  roles:
    - role: cis-rhel8
$ ansible-playbook cis.yml

Примените только раздел 1 (Первоначальная настройка):

$ cat cis.yml
---
- hosts: rhel8_servers
  vars:
    cis_rhel8_5_2_11: false
    roles:
     - role: cis-rhel8
$ ansible-playbook cis.yml -t section1

Примените только элементы уровня 1, не применяйте некоторые элементы (1.4.1 Убедитесь, что AIDE установлен и 5.2.6 Убедитесь, что SSH X11 forwarding отключен) и настройте 5.2.5 Убедитесь, что уровень логирования SSH соответствует требованиям:

$ cat cis.yml
---
- hosts: rhel8_servers
  vars:
    cis_rhel8_1_4_1: false
    cis_rhel8_5_2_6: false
    cis_rhel8_sshd_log_level: DEBUG
    roles:
     - role: cis-rhel8
$ ansible-playbook cis.yml -t level1

Лицензия

BSD

Информация об авторе

Жереми Бертоцци jeremy.bertozzi@gmail.com