בנה תמונת הערכה של Ubuntu 24.04 CIS Level 1

מדריך זה מייצר תמונת אובונטו 24.04 המבקשת את נתיב תיקון CIS Level 1 המוצמד של OpenFactory ואוספת ראיות אורחים. הוא אינו מייצר שרת מוסמך או מוכן אוטומטית לייצור.

עבור הפצות אחרות, התכונה cis-benchmarks חלה כעת רק על קו בסיס נייד מוגבל. אל תתאים מדריך זה על ידי שינוי base_image ושמירה על תביעת CIS.

הנחיה

Create an Ubuntu 24.04 headless evaluation image with SSH, firewall,
audit logging, and the cis-benchmarks feature. Use key-only SSH,
disable root login, and add a locked-password operator account in sudo.
Add a scenario that waits for first-boot CIS remediation and runs the
Ubuntu 24.04 Level 1 server benchmark plus service and network smoke tests.
Do not call the result compliant; preserve failed controls and exceptions.

סקור את המתכון המנורמל

השדות החשובים צריכים להיות דומים:

{
  "name": "ubuntu24-cis-l1-evaluation",
  "base_image": "ubuntu-24.04",
  "os": {
    "features": [
      "headless",
      "ssh",
      "firewall",
      "audit-logging",
      "cis-benchmarks"
    ],
    "services": [
      {
        "name": "ssh",
        "enabled": true,
        "config": {
          "port": 22,
          "allow_root": false,
          "disable_password_auth": true
        }
      }
    ],
    "users": [
      {
        "username": "operator",
        "groups": ["sudo"],
        "shell": "/bin/bash"
      }
    ],
    "security": {
      "hardening_level": "standard",
      "audit_logging": true,
      "fail2ban": false
    }
  },
  "scenarios": [
    {
      "id": "ubuntu24-cis-evidence",
      "name": "Ubuntu 24.04 CIS Level 1 evidence",
      "enabled": true,
      "tests": ["boot", "login", "packages", "services"],
      "cis_benchmark": "CIS_Ubuntu_Linux_24.04_LTS_Benchmark_v1.0.0",
      "cis_level": "L1"
    }
  ]
}

לחשבון אין סיסמת מתכון, לכן הוא צריך להישאר נעול בסיסמה עד שיסופק מפתח מאושר או אישור בזמן הפריסה. אשר שנתיב הגישה שנוצר תואם את הסביבה שלך לפני השבתת אימות הסיסמה.

מה עושה נתיב הבנייה

עבור אובונטו 24.04, התכונה משלבת ארכיון מאומת של תקציר של התפקיד המוצמד ansible-lockdown/UBUNTU24-CIS. האתחול הראשון מחיל את פרופיל השרת הנבחר ברמה 1 וכותב עדויות מוכנות או כשל. ה-build נושא גם הצהרות תכונה עבור בקרות חשבון, באנרים אזהרה, מצב שירות, הגדרות מערכת קבצים, מקור והתנהגות רשת נבחרה.

התפקיד מותאם לזרימת העבודה התדמיתית של OpenFactory. סקור את המניפסט ואת התיקונים שנוצרו במקום להניח שהוא זהה לריצת ברירת מחדל במעלה הזרם.

קריטריוני קבלה

אל תעצור ב”בנייה הושלמה”. דרוש:

• חפץ שמיש עם העיכול שלו;
• מוכנות לתיקון אתחול ראשון וללא סמן כשל;
• כל ההמחאות הרלוונטיות שנבחרו בנצ’מרק;
• נטייה מפורשת של כל שליטה שנכשלה, דילוג או לא ישימה;
• גישת SSH מוצלחת דרך זרימת העבודה המאושרת של המפתח;
• חומת אש, סנכרון זמן, רישום, עדכון, אתחול מחדש ושחזור מבחני;
• בדיקות עשן ליישום לאחר התקשות; ו
• פנקס פריסה שאושר על ידי הבעלים.

רמה 2 אינה פרופיל התיקון המוצמד הנוכחי ואין לבקש אותה כאילו נתיב זה מספק זאת. אם רמה 2 היא דרישה, התייחס לזה כאל פרויקט הנדסי ואימות נפרד.

ראה עדויות ביצועים של CIS לפרשנות התוצאות.