Für alle US Government Cloud-Kunden

Oracle Cloud Infrastructure-Standardadministratorbenutzer und andere nicht föderierte Benutzer entfernen

Wenn sich Ihre Organisation für einen Oracle-Account und eine Identitätsdomain registriert, richtet Oracle einen Standardadministrator für den Account ein. Diese Person ist der erste IAM-Benutzer für Ihr Unternehmen und hat vollständigen Administratorzugriff auf Ihren Mandanten. Dieser Benutzer kann Ihre Föderation einrichten.

Nach der erfolgreichen Einrichtung der Föderation mit dem ausgewählten Identitätsprovider können Sie den Standardadministratorbenutzer und alle anderen lokalen Benutzer des IAM-Service löschen, die Sie möglicherweise hinzugefügt haben, um Sie bei der Einrichtung Ihres Mandanten zu unterstützen. Wenn Sie die lokalen, nicht föderierten Benutzer löschen, wird sichergestellt, dass nur Benutzer im ausgewählten Identitätsprovider auf Oracle Cloud Infrastructure zugreifen können.

So löschen Sie den Standardadministrator:

1. Melden Sie sich über Ihren Identitätsprovider in der Konsole an.

   Weitere Details

   1. Öffnen Sie einen unterstützten Browser, und rufen Sie die Government Cloud-Konsolen-URL auf.

   2. Geben Sie Ihren Cloud-Mandanten ein, und klicken Sie auf Weiter.

   3. Wählen Sie im Bereich Single Sign-On Ihren Identitätsprovider aus, und klicken Sie auf Weiter. Sie werden zum Identitätsprovider umgeleitet, um sich anzumelden.

   4. Geben Sie Ihren Benutzernamen und Ihr Kennwort ein.
2. Öffnen Sie das Navigationsmenü, und klicken Sie auf Identität und Sicherheit. Klicken Sie unter Identität auf Benutzer. Die Liste der Benutzer wird angezeigt.
3. Wählen Sie im Filter Benutzertyp nur Lokale Benutzer aus.
4. Klicken Sie für jeden lokalen Benutzer im Menü Aktionen () auf Löschen.

Oracle Linux

Befolgen Sie die Anleitungen unter FIPS 140-2 Compliance in Oracle Linux 8.

Ubuntu

Befolgen Sie die Anleitungen unter Ubuntu-Sicherheitszertifizierungen - FIPS 140 aktivieren.

Windows Server 2012

Befolgen Sie die Anweisungen unter Datenverschlüsselung für Webkonsolen- und Reporting-Serververbindungen.

Windows Server 2016 und Windows Server 2019

Befolgen Sie zunächst die Anleitungen unter FIPS-konforme Algorithmen verwenden.

Wechseln Sie anschließend zum Microsoft-Dokument FIPS 140-Validierung, und navigieren Sie zum Thema Informationen für Systemintegratoren. Befolgen Sie die Anweisungen unter "Schritt 2: Flag für die (lokale/Gruppen-) FIPS-Sicherheits-Policy festlegen", um die FIPS-Aktivierung abzuschließen.

CentOS

Die folgende Anleitung erläutert die Aktivierung von FIPS unter CentOS 7.5 und CentOS Stream 8. Diese Verfahren gelten sowohl für VM- als auch für Bare-Metal-Instanzen und zwar ausschließlich im NATIVE-Modus. Diese Prozeduren können je nach Bedarf für den emulierten Modus und den PV-Modus geändert werden. Beachten Sie, dass diese Prozedur eine Instanz bereitstellt, welche die genauen FIPS-Verschlüsselungsmodule AUSSER dem Kernel enthält. Das Kernel-Modul weist zwar dieselbe Haupt-/Nebenversion auf, wird aber in der Revision beschleunigt und kann daher für die meisten FIPS-konformen Modelle als konform angesehen werden.

Nachdem Sie diese Prozedur abgeschlossen haben, wird empfohlen, dass Sie keine systemweiten yum-Aktualisierungen ausführen. Bei der systemweiten Aktualisierung werden die hierin enthaltenen FIPS-Module entfernt.

Stellen Sie sicher, dass die Versionen von Kernel, FIPS-Modulen und FIPS-Software die Mindestanforderungen erfüllen:

1. Vergewissern Sie sich, dass die aktuelle Version des Kernel-Packages die Anforderung erfüllt:

   1. Aktuelle Version: kernel-3.10.0-693.el7

   2. Führen Sie rpm -qa | grep kernel-3 aus.

2. Führen Sie den folgenden Befehl aus, und prüfen Sie, ob die Haupt- oder Nebenversion den Anforderungen entspricht.

   1. Führen Sie folgenden Befehl aus:

      yum list <package_name>

   2. Prüfen Sie, ob die Haupt-/Nebenversion den Anforderungen entspricht.

      Erforderliche Packages und Versionen:

      • fipscheck - fipscheck-1.4.1-6.el7

      • hmaccalc - hmaccalc-0.9.13-4.el7

      • dracut-fips - dracut-fips-033-502.el7

      • dracut-fips-aesni - dracut-fips-aesni-033-502.el7

   3. Führen Sie für jede nicht installierte Packageversion folgenden Befehl aus:

      yum install <package_name>

3. Laden Sie die folgenden Packages herunter, und installieren Sie sie:
   1. Packages sind bereits als Teil des Images installiert:

      1. Erstellen Sie ein Verzeichnis mit dem Namen preinstall.

      2. Laden Sie die folgenden Packages in dieses Verzeichnis herunter:

         openssl, openssl-libs - 1.0.2k-8.el7

         nss, nss-tools, nss-sysinit - 3.28.4-15.el7_4

         nss-util - 3.28.4-3.el7

         nss-softokn, nss-softokn-freebl - 3.28.3-8.el7_4

         openssh, openssh-clients, openssh-server - 7.4p1-11.el7

      3. Führen Sie im Verzeichnis "preinstall" folgenden Befehl aus:

         yum - -nogpgcheck downgrade *.rpm

   2. Packages, die dem Image hinzugefügt werden sollen:
      1. Erstellen Sie ein Verzeichnis mit dem Namen newpackages.

      2. Laden Sie die folgenden Packages in dieses Verzeichnis herunter:

         libreswan - 3.20-3.el7

         libgcrypt - 1.5.3-14.el7

         gnutls - 3.3.26-9.el7

         gmp - 6.0.0-15.el7

         nettle - 2.7.1-8.el7

      3. Führen Sie im Verzeichnis newpackages folgenden Befehl aus:

          yum - -nogpgcheck localinstall *.rpm

URLs der für diese Installation verwendeten Packages:

Preinstall:

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-util-3.28.4-3.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-tools-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-sysinit-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-softokn-freebl-3.28.3-8.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-softokn-3.28.3-8.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssl-1.0.2k-8.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssl-libs-1.0.2k-8.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-7.4p1-11.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-clients-7.4p1-11.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-server-7.4p1-11.el7.x86_64.rpm

Newpackages:

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/libreswan-3.20-3.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/libgcrypt-1.5.3-14.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/gnutls-3.3.26-9.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/gmp-6.0.0-15.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nettle-2.7.1-8.el7.x86_64.rpm

Installation des Kernel-FIPS-Moduls und der initramfs-Validierung

Führen Sie dieses Verfahren als Root aus:

1. Generieren Sie "dracut" neu:

   dracut -f -v

2. Fügen Sie das fips-Argument am Ende der Kernel-Boot-Standardbefehlszeile hinzu:

   1. Bearbeiten Sie /etc/default/grub

   2. Fügen Sie am Ende der mit "GRUB_CMDLINE_LINUX" beginnenden Zeile

      fips=1 

      innerhalb der doppelten Anführungszeichen des Befehls hinzu.

   3. Speichern Sie das Ergebnis.

3. Generieren Sie eine neue Datei grub.cfg:

   grub2-mkconfig -o /etc/grub2-efi.cfg

Konfigurieren Sie SSH, um die Verschlüsselungsalgorithmen zu begrenzen

1. Wechseln Sie mit "sudo" zur Rolle "root".

2. Bearbeiten Sie /etc/ssh/sshd_config.

3. Fügen Sie am Ende der Datei die folgenden Zeilen hinzu:

   Protocol 2
   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc,aes192-cbc,aes256-cbc
   Macs hmac-sha1
   

4. Starten Sie die Instanz neu.
5. Prüfen Sie nach dem Neustart der Instanz, ob der FIPS-Modus im Kernel aktiviert wurde:

   1. Wechseln Sie mit "sudo" zur Rolle "root".

   2. Führen Sie den folgenden Befehl aus:

      cat /proc/sys/crypto/fips-enabled

      Das Ergebnis muss "1" sein.

Um CentOS7/RHEL 7. x-Systeme umfassender zu sichern, wie dies in einzelnen Behörden vorgeschrieben ist, befolgen Sie die Checkliste in der OpenSCAP-Dokumentation. Diese Dokumentation finden Sie hier: https://static.open-scap.org/ssg-guides/ssg-centos7-guide-index.html

Den STIG-Standard zur Beurteilung der Compliance gemäß mehreren Profilen finden Sie hier: https://iase.disa.mil/stigs/os/unix-linux/Pages/index.aspx. Verwenden Sie den Red Hat Linux 7 x-STIG für CentOS 7.5-Releases.

Phase 1 (ISAKMP)

Phase 2 (IPSec)

Serviceanfrage erstellen

So erstellen Sie eine Serviceanfrage für US Government Cloud und US Defense Cloud:

1. Gehen Sie zu My Oracle Support, und melden Sie sich an.

   Wenn Sie nicht bei Oracle Cloud Support angemeldet sind, klicken Sie oben auf der Seite auf Zu Cloud Support wechseln.

2. Klicken Sie oben auf der Seite auf Service Requests.
3. Klicken Sie auf Create Technical SR.
4. Wählen Sie aus den angezeigten Menüs Folgendes aus:
   • Servicetyp: Wählen Sie Oracle Cloud Infrastructure in der Liste aus.
   • Servicename: Wählen Sie die entsprechende Option für Ihre Organisation aus.
   • Problem Type: Wählen Sie Account Provisioning, Billing and Termination und dann im Untermenü Limit Increase aus.
5. Geben Sie Ihre Kontaktdaten ein.
6. Geben Sie eine Beschreibung ein, und füllen Sie dann die Pflichtfelder für das Problem aus. Wenn ein Feld nicht zutrifft, können Sie n/a eingeben.

Klicken Sie oben auf der Seite "Oracle Cloud Support" auf Hilfe, um Hilfe zu den allgemeinen Feldern in der Serviceanfrage oder Informationen zur Verwaltung von Serviceanfragen zu erhalten.

Oracle Cloud Infrastructure-IDs suchen

Anhand der folgenden Tipps können Sie IDs finden, die Sie eventuell angeben müssen:

My Oracle Support zum ersten Mal verwenden

Bevor Sie Serviceanfragen mit My Oracle Support erstellen können, müssen Sie über einen Oracle-Account für Single Sign-On (SSO) verfügen. Außerdem müssen Sie Ihre CSI-Nummer (Customer Support Identifier) bei My Oracle Support registrieren.