Byg et Ubuntu 24.04 CIS Level 1 evalueringsimage

Denne guide producerer et Ubuntu 24.04-image, der anmoder om OpenFactorys fastlagte CIS Level 1-remedieringssti og indsamler gæstebevis. Den giver ikke en certificeret eller automatisk produktionsklar server.

For andre distributioner anvender funktionen cis-benchmarks i øjeblikket kun en begrænset bærbar baseline. Tilpas ikke guiden ved at skifte base_image og beholde CIS-påstanden.

Prompt

Create an Ubuntu 24.04 headless evaluation image with SSH, firewall,
audit logging, and the cis-benchmarks feature. Use key-only SSH,
disable root login, and add a locked-password operator account in sudo.
Add a scenario that waits for first-boot CIS remediation and runs the
Ubuntu 24.04 Level 1 server benchmark plus service and network smoke tests.
Do not call the result compliant; preserve failed controls and exceptions.

Gennemgå den normaliserede opskrift

De vigtige felter bør ligne:

{
  "name": "ubuntu24-cis-l1-evaluation",
  "base_image": "ubuntu-24.04",
  "os": {
    "features": [
      "headless",
      "ssh",
      "firewall",
      "audit-logging",
      "cis-benchmarks"
    ],
    "services": [
      {
        "name": "ssh",
        "enabled": true,
        "config": {
          "port": 22,
          "allow_root": false,
          "disable_password_auth": true
        }
      }
    ],
    "users": [
      {
        "username": "operator",
        "groups": ["sudo"],
        "shell": "/bin/bash"
      }
    ],
    "security": {
      "hardening_level": "standard",
      "audit_logging": true,
      "fail2ban": false
    }
  },
  "scenarios": [
    {
      "id": "ubuntu24-cis-evidence",
      "name": "Ubuntu 24.04 CIS Level 1 evidence",
      "enabled": true,
      "tests": ["boot", "login", "packages", "services"],
      "cis_benchmark": "CIS_Ubuntu_Linux_24.04_LTS_Benchmark_v1.0.0",
      "cis_level": "L1"
    }
  ]
}

Kontoen har ingen opskrift-adgangskode og skal forblive adgangskodelåst, indtil en godkendt nøgle eller credential ved deployment leveres. Bekræft, at den genererede adgangssti matcher dit miljø, før du deaktiverer adgangskodeautentificering.

Hvad build-stien gør

For Ubuntu 24.04 stagear funktionen et digest-verificeret arkiv af den fastlagte rolle ansible-lockdown/UBUNTU24-CIS. Første boot anvender den valgte Level 1-serverprofil og skriver readiness- eller failure-bevis. Buildet indeholder også feature-assertions for kontokontroller, advarselsbannere, tjenestestatus, filsystemindstillinger, proveniens og valgt netværksadfærd.

Rollen er tilpasset OpenFactorys image-workflow. Gennemgå genereret manifest og patches i stedet for at antage, at det er identisk med en standard upstream-kørsel.

Acceptkriterier

Stop ikke ved „build completed“. Kræv:

• et brugbart artefakt med digest;
• readiness for first-boot-remediering og ingen failure-markør;
• at alle relevante valgte benchmark-tjek er medtaget;
• eksplicit disposition af hver mislykket, sprunget over eller not-applicable kontrol;
• vellykket SSH-adgang via det godkendte nøgle-workflow;
• firewall-, tidssynk-, lognings-, opdaterings-, reboot- og recovery-tests;
• applikations-smoke-tests efter hardening; og
• en ejer-godkendt deployment-runbook.

Level 2 er ikke den nuværende fastlagte remedieringsprofil og må ikke anmodes som om denne sti leverer den. Hvis Level 2 er påkrævet, behandl det som et separat engineering- og valideringsprojekt.

Se CIS benchmark-bevis for fortolkning af resultater.