بناء صورة تقييم Ubuntu 24.04 CIS المستوى 1

ينتج هذا الدليل صورة Ubuntu 24.04 تطلب مسار معالجة CIS المستوى 1 المثبت في OpenFactory وتجمع أدلة الضيف. لا تنتج خادما معتمدا أو جاهزا للإنتاج تلقائيا.

للتوزيعات الأخرى، تطبق ميزة cis-benchmarks حاليا أساسا محمولا محدودا فقط. لا تكيّف هذا الدليل بتغيير base_image والإبقاء على ادعاء CIS.

الموجه

Create an Ubuntu 24.04 headless evaluation image with SSH, firewall,
audit logging, and the cis-benchmarks feature. Use key-only SSH,
disable root login, and add a locked-password operator account in sudo.
Add a scenario that waits for first-boot CIS remediation and runs the
Ubuntu 24.04 Level 1 server benchmark plus service and network smoke tests.
Do not call the result compliant; preserve failed controls and exceptions.

راجع الوصفة المطبّعة

يجب أن تشبه الحقول المهمة:

{
  "name": "ubuntu24-cis-l1-evaluation",
  "base_image": "ubuntu-24.04",
  "os": {
    "features": [
      "headless",
      "ssh",
      "firewall",
      "audit-logging",
      "cis-benchmarks"
    ],
    "services": [
      {
        "name": "ssh",
        "enabled": true,
        "config": {
          "port": 22,
          "allow_root": false,
          "disable_password_auth": true
        }
      }
    ],
    "users": [
      {
        "username": "operator",
        "groups": ["sudo"],
        "shell": "/bin/bash"
      }
    ],
    "security": {
      "hardening_level": "standard",
      "audit_logging": true,
      "fail2ban": false
    }
  },
  "scenarios": [
    {
      "id": "ubuntu24-cis-evidence",
      "name": "Ubuntu 24.04 CIS Level 1 evidence",
      "enabled": true,
      "tests": ["boot", "login", "packages", "services"],
      "cis_benchmark": "CIS_Ubuntu_Linux_24.04_LTS_Benchmark_v1.0.0",
      "cis_level": "L1"
    }
  ]
}

الحساب بلا كلمة مرور في الوصفة، لذا يجب أن يبقى مقفلا بكلمة مرور حتى يُقدَّم مفتاح معتمد أو اعتماد وقت النشر. أكد أن مسار الوصول المولّد يطابق بيئتك قبل تعطيل مصادقة كلمة المرور.

ما يفعله مسار البناء

لـ Ubuntu 24.04، تجهّز الميزة أرشيفا متحققا بالبصمة لدور ansible-lockdown/UBUNTU24-CIS المثبت. يطبق أول إقلاع ملف خادم المستوى 1 المختار ويكتب أدلة الجاهزية أو الفشل. يحمل البناء أيضا تحققات ميزة لضوابط الحساب ولافتات التحذير وحالة الخدمة وإعدادات نظام الملفات والأصل وسلوك شبكة مختار.

الدور مكيّف لسير عمل صورة OpenFactory. راجع البيان والرقع المولّدة بدل افتراض أنه مطابق لتشغيل علوي افتراضي.

معايير القبول

لا تتوقف عند «اكتمل البناء». اطلب:

• مخرجا قابلا للاستخدام ببصمته؛
• جاهزية معالجة أول إقلاع وغياب علامة فشل؛
• حساب كل فحوصات المعيار المختارة المنطبقة؛
• تصرفا صريحا لكل تحكم فاشل أو متخطى أو غير منطبق؛
• وصول SSH ناجح عبر سير المفتاح المعتمد؛
• اختبارات جدار الحماية ومزامنة الوقت والسجلات والتحديث وإعادة التشغيل والاستعادة؛
• اختبارات دخان التطبيق بعد التقوية؛ و
• دليل نشر يعتمده المالك.

المستوى 2 ليس ملف المعالجة المثبت الحالي ويجب ألا يُطلب كأن هذا المسار يوفّره. إذا كان المستوى 2 متطلبا، عامله كمشروع هندسة وتحقق منفصل.

انظر أدلة معيار CIS لتفسير النتائج.