Для улучшения работы сайта мы используем файлы cookies. Оставаясь на сайте, вы соглашаетесь с политикой обработки персональных данных.

Включение FIPS в zVirt

zVirt можно настроить в соответствии с Федеральным стандартом обработки информации (FIPS), в частности FIPS 140-2. Можно включить режим FIPS выборочно, на определенных виртуальных машинах, машинах без ОС ("bare metal") или во всей среде в зависимости от требований организации к обеспечению соответствия FIPS.

В zVirt машину без ОС с поддержкой FIPS можно создать либо установкой ОС в режиме FIPS, либо переключением системы в режим FIPS после установки ОС. Однако, чтобы избежать системных конфликтов, перед установкой и настройкой zVirt необходимо переключиться в режим FIPS.

Рекомендуется устанавливать Linux при включенном режиме FIPS, а не включать режим FIPS позже. Включение режима FIPS во время установки гарантирует, что система будет генерировать все ключи с помощью алгоритмов, одобренных FIPS, и проводить непрерывное тестирование и мониторинг.

Сначала включите FIPS на каждой машине без ОС, а затем – в Менеджере управления.

  • Включение FIPS в hosted engine

  • Включение FIPS в zVirt Node

  • Настройка хостов FIPS с помощью Менеджера управления

1. Включение FIPS в hosted engine

Можно включить FIPS в hosted engine во время развертывания с помощью командной строки.

Порядок действий:

  1. Запустите скрипт развертывания hosted engine. См. Развертывание менеджера управления в режиме Hosted Engine c помощью командной строки.

  2. Когда скрипт развертывания выведет запрос Do you want to apply a default OpenSCAP security profile?, введите Yes

  3. Следуя инструкциям на экране, выберите VPP - профиль защиты для Virtualization 1.0 для Red Hat Enterprise Linux Hypervisor (RHELH) (VPP - Protection Profile for Virtualization 1.0 for Red Hat Enterprise Linux Hypervisor (RHELH)).

Проверка:

Убедитесь, что FIPS включен, введя команду fips-mode-setup --check `на хосте. Команда должна вернуть `FIPS mode is enabled:

# fips-mode-setup --check
FIPS mode is enabled.

2. Включение FIPS в zVirt Node

Режим FIPS можно включить при установке zVirt Node. zVirt не поддерживает перевод предоставленной машины с zVirt Node в режим FIPS.

zVirt Node поставляется как единый образ системы. Если вы выберете дополнительные профили безопасности, пакеты которых не входят в этот образ системы, их установка может оказаться невозможной.
Порядок действий:

  1. Загрузите и начните устанавливать zVirt Node.

  2. Когда установщик выведет Резюме установки (Installation Summary), нажмите Политика безопасности (Security Policy).

  3. Нажмите профиль VPP - профиль защиты для Virtualization 1.0 для zVirt Node (VPP - Protection Profile for Virtualization 1.0 for zVirt Node).

  4. Нажмите Выбрать профиль (Select profile), установите параметр Применить политику безопасности (Apply security policy) в значение Включен (On) и нажмите Готово (Done).

  5. На экране Резюме установки (Installation Summary) убедитесь, что параметр Политика безопасности (Security Policy) имеет статус Все в порядке (Everything okay), и завершите процесс установки.

Проверка:

Убедитесь, что FIPS включен, введя команду fips-mode-setup --check на хосте. Команда должна вернуть FIPS mode is enabled:

# fips-mode-setup --check
FIPS mode is enabled.

3. Настройка хостов FIPS с помощью Менеджера управления

После включения режима FIPS на каждой машине хоста необходимо настроить хосты в Менеджере управления.

Порядок действий:

  1. На Портале администрирования нажмите Ресурсы (Compute)  Хосты (Hosts).

  2. Выберите хост, нажмите Изменить (Edit) и в окне Изменить хост (Edit Host) выберите вкладку Ядро (Kernel).

  3. Если в разделе Параметры загрузки ядра (Kernel boot parameters) флажки неактивны, нажмите Сброс (Reset).

  4. Установите флажок в поле Режим FIPS (FIPS mode) и нажмите OK.

  5. Выберите хост и нажмите Управление (Management) → Обслуживание (Maintenance), а затем OK.

  6. Когда хост находится в режиме обслуживания, выберите хост и нажмите Настройки (Installation) → Переустановить (Reinstall).

  7. После переустановки выберите хост и нажмите Управление (Management) → Перезапустить (Restart).

  8. После перезагрузки выберите хост и нажмите Настройки (Installation) → Регистрация сертификата (Enroll certificate).

  9. Нажмите Блок уведомлений (Notification Drawer) EventsIcon и проверьте раздел События (Events). Дождитесь успешного завершения регистрации сертификата для хоста.

  10. Выберите хост и нажмите Управление (Management) → Включить (Activate).

  11. Повторите эти шаги для каждого хоста в кластере.

4. Дополнительные ресурсы