我如何强制Anaconda的SCAP插件让我使用USB键盘？

问题

我正在用一个自定义kickstart文件创build一个RHEL 7.3安装映像。

我可以将其添加到我的kickstart文件中以在安装期间启用SCAPconfiguration：

%addon org_fedora_oscap content-type = scap-security-guide profile = stig-rhel7-server-gui-upstream %end

但是，当我这样做时，我最终在内核cmdline中使用了nousb ，禁用所有USB接口，包括键盘和鼠标。

（我之前用RHEL 7.2镜像做过同样的事情，而且它“正常工作”，所以我知道基本方法是正确的，但是使用的是旧的，显然不太完整的安全configuration文件。

现在，我完全明白为什么：有一个规则是专门设置的。我需要“调整”规则，以便SCAP工具不会禁用所有USB设备。

到目前为止我已经弄清楚了

根据Red Hat的kickstart文档和OSCAP Anaconda网站，我可以通过提供我自己的剪裁文件来暂停这一规则：

tailoring-path – 应该使用的剪裁文件的path，作为档案中的相对path给出。

所以，我运行scap-workbench，禁用受影响的规则，并将我的更改保存为tailoring.xml文件

使用规则“禁用通过引导加载程序配置对内核的支持”的scap-workbench的部分屏幕截图未选中

然后，我可以添加一行到kickstartconfiguration，如下所示：

 %addon org_fedora_oscap content-type = scap-security-guide profile = stig-rhel7-server-gui-upstream tailoring-path = ssg-rhel7-ds-tailoring.xml %end

基于反复试验，我还得出结论：tailoring.xml文件必须放在/ root / openscap_data中（绝对path绝对不行 – 在安装过程中你会得到一个显着的停止debugging提示）。

我无法弄清楚

即使在生成剪裁文件之后，我仍然在用全新安装的方式获得一个nousb内核。

我真的把tailoring.xml放在正确的地方吗？
有一个详细的日志，我可以用来诊断附加function在做什么？（我在/var/log/anaconda/journal.log中只find了真正的基本信息。）
如果裁剪方法由于某种原因而失败，那么在这个问题上应用一种解决方法的干净而一致的方法是什么，而不是完全抛弃STIG自动configuration？（例如，OSCAP中断后，我可以使用另一个附加模块来清理我的内核参数吗？）

基于OpenShift博客文章，您需要安装一些软件包以使openSCAPloginsyslog：

 yum install html2text util-linux-ng

就解决问题本身而言，你提到的检查基本上是这样做的：

  sed -i "s/\(GRUB_CMDLINE_LINUX=\)\"\(.*\)\"/\1\"\2 nousb\"/" /etc/default/grub bootloader /sbin/grubby --update-kernel=ALL --args="nousb"

因此，您可以通过从默认的grub选项中删除nousb来恢复该特定规则的操作。

然而，我看不出为什么你的剪裁不起作用。然而，这篇文章似乎报告了一个类似的问题，这个RH的解决scheme – 如果你有访问 – 可能是有用的（我没有一个帐户来查看解决scheme本身，但其标题是“支持OpenSCAP剪裁卫星6“）。

OpenSCAP关于定制的官方指南确实build议您确保使用以下方式保存您的工作台定制：

文件→仅保存自定义。

还有一点要注意（从http://static.open-scap.org/scap-workbench-1.1/#_load_a_ready_made_customization_xccdf_tailoring_file_optional ）：

只有XCCDF 1.2才支持正式裁剪。 OpenSCAP项目有一个扩展，允许定制文件与XCCDF 1.1一起使用，所以SCAP Workbench也支持。详细信息超出了本文档的范围，但请记住，裁剪XCCDF 1.1文件可能不适用于openscap以外的其他扫描程序。

如果您添加`tailoring-path` ，则可能需要更新`profile`行

定义tailoring-path不会自动注入任何新的规则，只是将其他来源添加到search层次结构中。要实际使用它， 您需要通过名称调用“定制”configuration文件 ，而不是原始configuration文件，例如：

 %addon org_fedora_oscap content-type = scap-security-guide profile = stig-rhel7-server-gui-upstream-MYPROJECT-CUSTOMIZATIONS tailoring-path = ssg-rhel7-ds-tailoring.xml %end

定制的configuration文件名称是Scap Workbench在您保存时指示您创build的名称。 “长形”是可以接受的; 您可以使用文本编辑器打开剪裁文件并直接复制。

我如何强制Anaconda的SCAP插件让我使用USB键盘？

问题

到目前为止我已经弄清楚了

我无法弄清楚

如果您添加tailoring-path ，则可能需要更新profile行

如果您添加`tailoring-path` ，则可能需要更新`profile`行