Збірка evaluation-образу Ubuntu 24.04 CIS Level 1

Цей посібник створює образ Ubuntu 24.04, який запитує pinned CIS Level 1 remediation path OpenFactory і збирає guest evidence. Він не дає certified або автоматично production-ready server.

Для інших distributions feature cis-benchmarks застосовує лише обмежений portable baseline. Не адаптуйте посібник, змінивши base_image і залишивши CIS claim.

Prompt

Create an Ubuntu 24.04 headless evaluation image with SSH, firewall,
audit logging, and the cis-benchmarks feature. Use key-only SSH,
disable root login, and add a locked-password operator account in sudo.
Add a scenario that waits for first-boot CIS remediation and runs the
Ubuntu 24.04 Level 1 server benchmark plus service and network smoke tests.
Do not call the result compliant; preserve failed controls and exceptions.

Перегляд нормалізованого рецепта

Важливі поля мають нагадувати:

{
  "name": "ubuntu24-cis-l1-evaluation",
  "base_image": "ubuntu-24.04",
  "os": {
    "features": [
      "headless",
      "ssh",
      "firewall",
      "audit-logging",
      "cis-benchmarks"
    ],
    "services": [
      {
        "name": "ssh",
        "enabled": true,
        "config": {
          "port": 22,
          "allow_root": false,
          "disable_password_auth": true
        }
      }
    ],
    "users": [
      {
        "username": "operator",
        "groups": ["sudo"],
        "shell": "/bin/bash"
      }
    ],
    "security": {
      "hardening_level": "standard",
      "audit_logging": true,
      "fail2ban": false
    }
  },
  "scenarios": [
    {
      "id": "ubuntu24-cis-evidence",
      "name": "Ubuntu 24.04 CIS Level 1 evidence",
      "enabled": true,
      "tests": ["boot", "login", "packages", "services"],
      "cis_benchmark": "CIS_Ubuntu_Linux_24.04_LTS_Benchmark_v1.0.0",
      "cis_level": "L1"
    }
  ]
}

Account без recipe password має лишатися password-locked, доки не надано approved key або deployment-time credential. Підтвердіть, що generated access path відповідає середовищу, перед disabling password authentication.

Що робить build path

Для Ubuntu 24.04 feature stages digest-verified archive pinned role ansible-lockdown/UBUNTU24-CIS. First boot застосовує обраний Level 1 server profile і пише readiness або failure evidence. Build також несе feature assertions для account controls, warning banners, service state, filesystem settings, provenance і selected network behavior.

Role adapted для image workflow OpenFactory. Review generated manifest і patches, а не assume identity з default upstream run.

Acceptance criteria

Не зупиняйтеся на «build completed». Вимагайте:

• usable artifact з digest;
• first-boot remediation readiness і no failure marker;
• all applicable selected benchmark checks accounted for;
• explicit disposition кожного failed, skipped або not-applicable control;
• successful SSH access через approved key workflow;
• firewall, time synchronization, logging, update, reboot і recovery tests;
• application smoke tests after hardening; та
• owner-approved deployment runbook.

Level 2 , not current pinned remediation profile і must not be requested as though this path provides it. Якщо Level 2 requirement, treat as separate engineering і validation project.

Див. CIS benchmark evidence для result interpretation.