符合性掃描 AWS OpsWorks for Chef Automate

如果您尚未這麼做，請登入 Chef Automate Web 儀表板。請使用您在建立 AWS OpsWorks for Chef Automate 伺服器期間下載入門套件時收到的相同登入資料。

在 Chef Automate 儀表板中，選擇 Asset Store (資產存放區) 標籤。

選擇 Available (可用) 標籤以查看預先定義的描述檔。

瀏覽描述檔清單。選擇至少符合其中一個受管節點之作業系統和組態的描述檔。若要查看描述檔的詳細資訊，包括描述檔的目標違反情況描述和基本規則程式碼，請選擇描述檔項目右側的 >。您可以選擇多個描述檔。如果您要在入門套件中設定範例，請選擇 [DevSec SSH 基準]。

若要在您的 Chef Automate 伺服器上安裝選取的描述檔，請選擇 Get (取得)。

安裝描述檔後，他們會顯示在 Profiles (描述檔) 標籤的 Chef Automate 儀表板。

查看入門套件 Policyfile.rb 中的屬性，以查看 Audit 技術指南在 ['profiles'] 中指定 ssh-baseline 描述檔。

# Define audit cookbook attributes
default["opsworks-demo"]["audit"]["reporter"] = "chef-server-automate"
default["opsworks-demo"]["audit"]["profiles"] = [
  {
    "name": "DevSec SSH Baseline",
    "compliance": "admin/ssh-baseline"
  }
]

下載並安裝 Policyfile.rb 中所定義的技術指南。

chef install

所有技術指南的版本都是經由技術指南的 metadata.rb 檔案所控制。每次變更技術指南時，您都必須在技術指南的 metadata.rb 中提高其版本。

將 Policyfile.rb 中所定義的政策 opsworks-demo 推送到您的伺服器。

chef push opsworks-demo

驗證您的政策安裝情況。執行下列命令。

chef show-policy

結果應類似以下內容：

opsworks-demo-webserver 
======================= 
* opsworks-demo:  ec0fe46314

如果您尚未完成此作業，請先將節點新增到您的伺服器，以便管理。若要將第一個節點連接到 AWS OpsWorks for Chef Automate 伺服器，請使用此入門套件中隨附的userdata.sh指令碼。它使用 AWS OpsWorks AssociateNode API 將節點連接到服務器。

您可以遵循自動加入節點 AWS OpsWorks for Chef Automate中的步驟將節點的關聯自動化，或遵循個別加入節點中的步驟來逐一新增節點。

在更新節點的執行清單之後，chef-client 代理程式即會在下一次執行時執行您指定的配方。根據預設，這種情況會每隔 1800 秒 (30 分鐘) 發生一次。執行之後，您可以從 Chef Automate 儀表板的 Compliance (合規) 標籤，檢視合規結果，並且採取因應動作。

在文字編輯器中，將 ssh-hardening 技術指南附加到 Policyfile.rb 執行清單中。Policyfile.rb 執行清單應該符合下列項目。

run_list  'chef-client', 'opsworks-webserver', 'audit', 'ssh-hardening'

更新 Policyfile.rb，接著將其推送到您的 AWS OpsWorks for Chef Automate 伺服器。

chef update Policyfile.rb
   chef push opsworks-demo

與 opsworks-demo 政策相關聯的節點會自動更新執行清單，並將 ssh-hardening 技術指南套用到下一次的 chef-client 執行。

由於您使用的是 chef-client 技術指南，因此節點會定期 (預設為每隔 30 分鐘一次) 進行狀態檢查。在下次簽入時，會執行ssh-hardening食譜，並協助改善節點安全性，以符合 DevSec SSH 基準設定檔的規則。

在第一次執行 ssh-hardening 技術指南之後，請等待 30 分鐘再次執行 Compliance (合規) 掃描。在 Chef Automate 儀表板中查看結果。DevSec 安全殼層基準掃描初始執行時發生的不相容結果應該已解決。

如果您尚未這麼做，請登入 Chef Automate Web 儀表板。使用您在建立伺服器時下載入門套件時收到的認 AWS OpsWorks for Chef Automate 證。

在 Chef Automate 儀表板上，選擇 Compliance (合規) 標籤。

在左側導覽列中，選擇 Profile Store (描述檔存放區)，然後選擇 Available (可用) 標籤，以查看預先定義的描述檔。

瀏覽描述檔清單。選擇至少符合其中一個受管節點之作業系統和組態的描述檔。若要查看描述檔的詳細資訊，包括描述檔的目標違反情況描述和基本規則程式碼，請選擇描述檔項目右側的 >。您可以選擇多個描述檔。

若要在您的 Chef Automate 伺服器上安裝選取的描述檔，請選擇 Get (取得)。

當下載完成後，請前往下一個步驟。

此步驟是選用的，但可以節省步驟 6 將配方新增至節點執行清單的時間。編輯 roles/opsworks-example-role.rb 檔案 (其隨附於您建立 AWS OpsWorks for Chef Automate 伺服器期間所下載的入門套件中)。新增下列這幾行。最後一行會標示為註解，因為您可以選擇是否要在執行 Compliance (合規) 掃描之後新增 ssh-hardening 技術指南和配方，以解決未合規節點的問題。

run_list(
     "recipe[chef-client]",
     "recipe[apache2]",
     "recipe[opsworks-audit]"
     # "recipe[ssh-hardening]"
       )

使用文字編輯器，在 Berksfile 中指定所需的技術指南。入門套件中會為您提供 Berksfile 範例。在這個範例中，我們會安裝 Chef Infra 用戶端 (chef-client) 技術指南、apache2 技術指南和 opsworks-audit 技術指南。您的 Berksfile 應該如下所示。

source 'https://supermarket.chef.io
     cookbook 'chef-client'
     cookbook 'apache2', '~> 5.0.1'
     cookbook 'opsworks-audit', path: 'cookbooks/opsworks-audit', '~> 1.0.0'

所有技術指南的版本都是經由技術指南的 metadata.rb 檔案所控制。每次變更技術指南時，您都必須在技術指南的 metadata.rb 中提高其版本。

執行下列命令，將技術指南下載並安裝到本機電腦上的 cookbooks 資料夾或工作用電腦中。

berks vendor cookbooks

執行下列命令，將廠商處理的技術指南上傳到 AWS OpsWorks for Chef Automate 伺服器。

knife upload .

執行下列命令，藉由顯示目前伺服器上可用的技術指南清單來驗證 opsworks-audit 技術指南的安裝。

knife cookbook list

如果您尚未完成此作業，請先將節點新增到您的伺服器，以便管理。您可以遵循自動加入節點 AWS OpsWorks for Chef Automate中的步驟將節點的關聯自動化，或遵循個別加入節點中的步驟來逐一新增節點。編輯節點執行清單，以新增您在步驟 1 中指定的 opsworks-example-role 角色。在這個範例中，我們會編輯 RUN_LIST 指令碼 (您用來自動化節點的關聯) 中的 userdata 屬性。

RUN_LIST="role[opsworks-example-role]"

如果您略過步驟 1，且尚未設定角色，請將個別配方的名稱新增至執行清單。儲存您的變更，並依照中步驟 3：使用無人執行的關聯指令碼建立執行個體的步驟將使用者資料指令碼套用至 Amazon EC2 執行個體。

RUN_LIST="recipe[chef-client],recipe[apache2],recipe[opworks-audit]"

在更新節點的執行清單之後，chef-client 代理程式即會在下一次執行時執行您指定的配方。根據預設，這種情況會每隔 1800 秒 (30 分鐘) 發生一次。執行之後，Chef Automate 儀表板中會顯示您的 Compliance (合規) 結果。

在文字編輯器中，將 ssh-hardening 技術指南附加到 Berksfile。您的 Berksfile 應該如下所示。

source 'https://supermarket.chef.io'
     cookbook 'chef-client'
     cookbook 'apache2', '~> 5.0.1'
     cookbook 'opsworks-audit', path: 'cookbooks/opsworks-audit', '~> 1.0.0' # optional
     cookbook 'ssh-hardening'

執行下列命令，將 ssh-hardening 技術指南下載到本機技術指南資料夾，然後將其上傳至您的 AWS OpsWorks for Chef Automate 伺服器。

berks vendor cookbooks
knife upload .

將 ssh-hardening 配方新增到您的節點執行清單中，如 安裝和設定 opsworks-audit 技術指南中的步驟 1 和 6 所述。

如果您更新 opsworks-example-role.rb 檔案，請執行下列命令，將變更上傳至您的伺服器。

knife upload .

如果您直接更新執行清單，請執行下列命令以上傳變更。節點名稱通常為執行個體 ID。

knife node run_list add <node name> 'recipe[ssh-hardening]'

由於您使用的是 chef-client 技術指南，因此節點會定期 (預設為每隔 30 分鐘一次) 進行狀態檢查。在下次簽入時，會執行ssh-hardening食譜，並協助改善節點安全性，以符合 DevSec SSH 基準設定檔的規則。

在第一次執行 ssh-hardening 技術指南之後，請等待 30 分鐘再次執行 Compliance (合規) 掃描。在 Chef Automate 儀表板中查看結果。DevSec 安全殼層基準掃描初始執行時發生的不相容結果應該已解決。