中的合規掃描 AWS OpsWorks for Chef Automate

如果您尚未這麼做，請登入 Chef Automate Web 儀表板。請使用您在建立 AWS OpsWorks for Chef Automate 伺服器期間下載入門套件時收到的相同登入資料。

在 Chef Automate 儀表板中，選擇 Asset Store (資產存放區) 標籤。

選擇 Available (可用) 標籤以查看預先定義的描述檔。

瀏覽描述檔清單。選擇至少符合其中一個受管節點之作業系統和組態的描述檔。若要查看描述檔的詳細資訊，包括描述檔的目標違反情況描述和基本規則程式碼，請選擇描述檔項目右側的 >。您可以選擇多個描述檔。如果您正在設定入門套件中的範例，請選擇 DevSec SSH Baseline (DevSec SSH 基準)。

若要在您的 Chef Automate 伺服器上安裝選取的描述檔，請選擇 Get (取得)。

安裝描述檔後，他們會顯示在 Profiles (描述檔) 標籤的 Chef Automate 儀表板。

查看入門套件 Policyfile.rb 中的屬性，以查看 Audit 技術指南在 ['profiles'] 中指定 ssh-baseline 描述檔。

# Define audit cookbook attributes
default["opsworks-demo"]["audit"]["reporter"] = "chef-server-automate"
default["opsworks-demo"]["audit"]["profiles"] = [
  {
    "name": "DevSec SSH Baseline",
    "compliance": "admin/ssh-baseline"
  }
]

下載並安裝 Policyfile.rb 中所定義的技術指南。

chef install

所有技術指南的版本都是經由技術指南的 metadata.rb 檔案所控制。每次變更技術指南時，您都必須在技術指南的 metadata.rb 中提高其版本。

將 Policyfile.rb 中所定義的政策 opsworks-demo 推送到您的伺服器。

chef push opsworks-demo

驗證您的政策安裝情況。執行下列命令。

chef show-policy

結果應類似以下內容：

opsworks-demo-webserver 
======================= 
* opsworks-demo:  ec0fe46314

如果您尚未完成此作業，請先將節點新增到您的伺服器，以便管理。若要將第一個節點連接到 AWS OpsWorks for Chef Automate 伺服器，請使用此入門套件中包含的userdata.sh指令碼。它使用 AWS OpsWorks AssociateNode API 將節點連接到您的伺服器。

您可以遵循在 中自動新增節點 AWS OpsWorks for Chef Automate中的步驟將節點的關聯自動化，或遵循個別新增節點中的步驟來逐一新增節點。

在更新節點的執行清單之後，chef-client 代理程式即會在下一次執行時執行您指定的配方。根據預設，這種情況會每隔 1800 秒 (30 分鐘) 發生一次。執行之後，您可以從 Chef Automate 儀表板的 Compliance (合規) 標籤，檢視合規結果，並且採取因應動作。

在文字編輯器中，將 ssh-hardening 技術指南附加到 Policyfile.rb 執行清單中。Policyfile.rb 執行清單應該符合下列項目。

run_list  'chef-client', 'opsworks-webserver', 'audit', 'ssh-hardening'

更新 Policyfile.rb，接著將其推送到您的 AWS OpsWorks for Chef Automate 伺服器。

chef update Policyfile.rb
   chef push opsworks-demo

與 opsworks-demo 政策相關聯的節點會自動更新執行清單，並將 ssh-hardening 技術指南套用到下一次的 chef-client 執行。

由於您使用的是 chef-client 技術指南，因此節點會定期 (預設為每隔 30 分鐘一次) 進行狀態檢查。在下一次狀態檢查時，會執行 ssh-hardening 技術指南並協助提升節點安全性，以符合 DevSec SSH Baseline (DevSec SSH 基準) 描述檔的規則。

在第一次執行 ssh-hardening 技術指南之後，請等待 30 分鐘再次執行 Compliance (合規) 掃描。在 Chef Automate 儀表板中查看結果。第一次執行 DevSec SSH Baseline (DevSec SSH 基準) 掃描時發生的未合規結果應該已經解決。

如果您尚未這麼做，請登入 Chef Automate Web 儀表板。使用您在建立 AWS OpsWorks for Chef Automate 伺服器時下載入門套件時收到的登入資料。

在 Chef Automate 儀表板上，選擇 Compliance (合規) 標籤。

在左側導覽列中，選擇 Profile Store (描述檔存放區)，然後選擇 Available (可用) 標籤，以查看預先定義的描述檔。

瀏覽描述檔清單。選擇至少符合其中一個受管節點之作業系統和組態的描述檔。若要查看描述檔的詳細資訊，包括描述檔的目標違反情況描述和基本規則程式碼，請選擇描述檔項目右側的 >。您可以選擇多個描述檔。

若要在您的 Chef Automate 伺服器上安裝選取的描述檔，請選擇 Get (取得)。

當下載完成後，請前往下一個步驟。

此步驟是選用的，但可以節省步驟 6 將配方新增至節點執行清單的時間。編輯 roles/opsworks-example-role.rb 檔案 (其隨附於您建立 AWS OpsWorks for Chef Automate 伺服器期間所下載的入門套件中)。新增下列這幾行。最後一行會標示為註解，因為您可以選擇是否要在執行 Compliance (合規) 掃描之後新增 ssh-hardening 技術指南和配方，以解決未合規節點的問題。

run_list(
     "recipe[chef-client]",
     "recipe[apache2]",
     "recipe[opsworks-audit]"
     # "recipe[ssh-hardening]"
       )

使用文字編輯器，在 Berksfile 中指定所需的技術指南。入門套件中會為您提供 Berksfile 範例。在這個範例中，我們會安裝 Chef Infra 用戶端 (chef-client) 技術指南、apache2 技術指南和 opsworks-audit 技術指南。您的 Berksfile 應該如下所示。

source 'https://supermarket.chef.io
     cookbook 'chef-client'
     cookbook 'apache2', '~> 5.0.1'
     cookbook 'opsworks-audit', path: 'cookbooks/opsworks-audit', '~> 1.0.0'

所有技術指南的版本都是經由技術指南的 metadata.rb 檔案所控制。每次變更技術指南時，您都必須在技術指南的 metadata.rb 中提高其版本。

執行下列命令，將技術指南下載並安裝到本機電腦上的 cookbooks 資料夾或工作用電腦中。

berks vendor cookbooks

執行下列命令，將廠商處理的技術指南上傳到 AWS OpsWorks for Chef Automate 伺服器。

knife upload .

執行下列命令，藉由顯示目前伺服器上可用的技術指南清單來驗證 opsworks-audit 技術指南的安裝。

knife cookbook list

如果您尚未完成此作業，請先將節點新增到您的伺服器，以便管理。您可以遵循在 中自動新增節點 AWS OpsWorks for Chef Automate中的步驟將節點的關聯自動化，或遵循個別新增節點中的步驟來逐一新增節點。編輯節點執行清單，以新增您在步驟 1 中指定的 opsworks-example-role 角色。在這個範例中，我們會編輯 RUN_LIST 指令碼 (您用來自動化節點的關聯) 中的 userdata 屬性。

RUN_LIST="role[opsworks-example-role]"

如果您略過步驟 1，且尚未設定角色，請將個別配方的名稱新增至執行清單。儲存您的變更，並遵循 中的步驟步驟 3：使用無人執行的關聯指令碼建立執行個體，將您的使用者資料指令碼套用至 Amazon EC2 執行個體。

RUN_LIST="recipe[chef-client],recipe[apache2],recipe[opworks-audit]"

在更新節點的執行清單之後，chef-client 代理程式即會在下一次執行時執行您指定的配方。根據預設，這種情況會每隔 1800 秒 (30 分鐘) 發生一次。執行之後，Chef Automate 儀表板中會顯示您的 Compliance (合規) 結果。

在文字編輯器中，將 ssh-hardening 技術指南附加到 Berksfile。您的 Berksfile 應該如下所示。

source 'https://supermarket.chef.io'
     cookbook 'chef-client'
     cookbook 'apache2', '~> 5.0.1'
     cookbook 'opsworks-audit', path: 'cookbooks/opsworks-audit', '~> 1.0.0' # optional
     cookbook 'ssh-hardening'

執行下列命令，將 ssh-hardening 技術指南下載到本機技術指南資料夾，然後將其上傳至您的 AWS OpsWorks for Chef Automate 伺服器。

berks vendor cookbooks
knife upload .

將 ssh-hardening 配方新增到您的節點執行清單中，如 安裝和設定 opsworks-audit 技術指南中的步驟 1 和 6 所述。

如果您更新 opsworks-example-role.rb 檔案，請執行下列命令，將變更上傳至您的伺服器。

knife upload .

如果您直接更新執行清單，請執行下列命令以上傳變更。節點名稱通常為執行個體 ID。

knife node run_list add <node name> 'recipe[ssh-hardening]'

由於您使用的是 chef-client 技術指南，因此節點會定期 (預設為每隔 30 分鐘一次) 進行狀態檢查。在下一次狀態檢查時，會執行 ssh-hardening 技術指南並協助提升節點安全性，以符合 DevSec SSH Baseline (DevSec SSH 基準) 描述檔的規則。

在第一次執行 ssh-hardening 技術指南之後，請等待 30 分鐘再次執行 Compliance (合規) 掃描。在 Chef Automate 儀表板中查看結果。第一次執行 DevSec SSH Baseline (DevSec SSH 基準) 掃描時發生的未合規結果應該已經解決。