如何强制 Anaconda 的 SCAP 附加组件让我使用 USB 键盘？

Question

问题

我正在创建一个带有自定义 kickstart 文件的 RHEL 7.3 安装映像。

我可以将它添加到我的 kickstart 文件中以在安装期间启用 SCAP 配置：

%addon org_fedora_oscap
content-type = scap-security-guide
profile = stig-rhel7-server-gui-upstream
%end

但是，当我这样做时，我最终会nousb在我的内核 cmdline 中出现，它禁用了所有 USB 接口，包括键盘和鼠标。

（我以前用 RHEL 7.2 映像做过同样的事情，它“正常工作”，所以我知道基本方法是合理的。但这是使用较旧且显然不太完整的安全配置文件。）

现在，我完全理解为什么：有一个专门设置它的规则。我需要“定制”规则，以便 SCAP 工具不会禁用我的所有 USB 设备。

到目前为止我发现了什么

根据Red Hat 的 kickstart 文档和OSCAP Anaconda 站点，我可以通过提供我自己的定制文件来暂停这一规则：

剪裁路径 - 应该使用的剪裁文件的路径，作为存档中的相对路径给出。

因此，我运行 scap-workbench，禁用受影响的规则，并将我的更改另存为 Tailing.xml 文件

然后，我可以在 kickstart 配置中添加一行，如下所示：

%addon org_fedora_oscap
content-type = scap-security-guide
profile = stig-rhel7-server-gui-upstream
tailoring-path = ssg-rhel7-ds-tailoring.xml
%end

基于反复试验，我还得出结论，必须将tailing.xml 文件放置在/root/openscap_data 中（绝对路径绝对不起作用——您在安装过程中会得到一个突出的显示停止调试提示）。

我想不通的

即使在生成定制文件之后，nousb当我进行全新安装时，我仍然会得到一个内核。

• 我真的把剪裁.xml 放在正确的地方吗？

• 是否有详细的日志可以用来诊断附加组件在做什么？（我在 /var/log/anaconda/journal.log 中只找到了非常基本的信息。）

• 如果裁剪方法由于某种原因而失败，那么在不完全抛弃 STIG 自动配置的情况下，有什么干净且一致的方法可以解决此问题？（例如，在 OSCAP 破坏内核参数后，我可以使用另一个附加模块来清理它们吗？）

Answer 1

如果添加tailoring-path，您可能需要更新该profile行

定义tailoring-path不会自动注入任何新规则，它只是将另一个源添加到搜索层次结构中。要实际使用它，您需要按名称调用“定制”配置文件，而不是原始配置文件，例如：

%addon org_fedora_oscap
content-type = scap-security-guide
profile = stig-rhel7-server-gui-upstream-MYPROJECT-CUSTOMIZATIONS
tailoring-path = ssg-rhel7-ds-tailoring.xml
%end

定制的配置文件名称是 Scap Workbench 指导您在保存时创建的名称。“长格式”是可以接受的；您可以使用文本编辑器打开裁剪文件并直接复制它。