Installer le paquet authselect
Garantit que le paquet authselect est installé, fournissant la méthode prise en charge pour configurer l'authentification système et la pile PAM sur RHEL 8.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
authselect permet de sélectionner les sources d'authentification et d'identité système parmi des profils testés et pris en charge, au lieu d'éditer à la main la pile PAM, où une seule erreur peut verrouiller tout le monde ou affaiblir silencieusement l'authentification. En tant que successeur d'authconfig, il livre des profils validés et les applique de manière atomique, réduisant la dérive et les ruptures de configuration. CIS 5.3.1.2 l'exige comme fondation des contrôles de durcissement PAM de RHEL 8.
Ce que vérifie Pavois
Pavois interroge rpm (via la ressource InSpec package) pour savoir si authselect est installé. Vérifier l'état effectif des paquets confirme la présence réelle de l'outil sur lequel reposent les contrôles PAM ultérieurs.
describe package('authselect') do
it { should be_installed }
endComment vérifier qu’elle est appliquée
Exécutez rpm -q authselect, attendu : une version. Vérifiez qu'un profil est sélectionné avec authselect current, qui liste le profil actif et ses fonctionnalités activées.
Inspecter et investiguer
rpm -q authselectconfirme l'installation ;authselect currentmontre le profil actif.- Les applications de profil sont journalisées (
journalctl | grep authselect) ; les événements d'authentification résultants apparaissent dans/var/log/secure.
Remédiation
Le plan de durcissement de Pavois installe le paquet authselect (ressource package, action install) avec pavois harden apply. L'installation rend l'outil disponible ; vous devez encore sélectionner et appliquer un profil (par exemple authselect select sssd) pour gérer effectivement la pile PAM.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | install |
|---|---|
| name | authselect |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Installer le paquet seul est non perturbateur. Le risque réside dans l'application d'un profil : changer de profil authselect réécrit la configuration PAM et nsswitch et peut verrouiller des utilisateurs ou casser des modules PAM personnalisés. Si l'hôte a des modifications manuelles dans /etc/pam.d, authselect peut refuser d'appliquer sans --force ; examinez le diff et gardez une session console root ouverte avant d'appliquer.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 5.3.1.2 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.