Für alle US Government Cloud-Kunden

Entfernen Sie den Oracle Cloud Infrastructure-Standardadministratorbenutzer und alle anderen nicht föderierten Benutzer

Wenn sich Ihre Organisation für einen Oracle-Account und eine Identitätsdomain registriert, richtet Oracle einen Standardadministrator für den Account ein. Diese Person ist der erste IAM-Benutzer für Ihr Unternehmen und hat vollständigen Administratorzugriff auf Ihren Mandanten. Dieser Benutzer kann Ihre Föderation einrichten.

Nach der erfolgreichen Einrichtung der Föderation mit dem ausgewählten Identitätsprovider können Sie den Standardadministratorbenutzer und alle anderen lokalen Benutzer des IAM-Service löschen, die Sie möglicherweise hinzugefügt haben, um Sie bei der Einrichtung Ihres Mandanten zu unterstützen. Wenn Sie die lokalen, nicht föderierten Benutzer löschen, wird sichergestellt, dass nur Benutzer im ausgewählten Identitätsprovider auf Oracle Cloud Infrastructure zugreifen können.

So löschen Sie den Standardadministrator:

1. Melden Sie sich über Ihren Identitätsprovider in der Konsole an.

   Weitere Details

   1. Öffnen Sie einen unterstützten Browser, und rufen Sie die Government Cloud-Konsolen-URL auf.

   2. Geben Sie Ihren Cloud-Mandanten ein, und wählen Sie Weiter aus.

   3. Wählen Sie im Bereich Single Sign-On Ihren Identitätsprovider aus, und wählen Sie Weiter aus. Sie werden zum Identitätsprovider zur Anmeldung umgeleitet.

   4. Geben Sie Ihren Benutzernamen und Ihr Kennwort ein.
2. Öffnen Sie das Navigationsmenü , und wählen Sie Identität und Sicherheit aus. Wählen Sie unter Identität die Option Benutzer aus. Die Liste der Benutzer wird angezeigt.
3. Wählen Sie im Filter Benutzertyp nur Lokale Benutzer aus.
4. Gehen Sie für jeden lokalen Benutzer zum Menü Aktionen (drei Punkte), und wählen Sie Löschen aus.

Oracle Linux

Befolgen Sie die Oracle Linux-Dokumentation für die BS-Version, wie FIPS-Modus in Oracle Linux 8 konfigurieren.

Ubuntu

Befolgen Sie die Anleitungen unter Ubuntu-Sicherheitszertifizierungen - FIPS 140 aktivieren.

Windows Server 2012

Befolgen Sie die Anweisungen unter Datenverschlüsselung für Webkonsolen- und Reporting-Serververbindungen.

Windows Server 2016 und Windows Server 2019

Befolgen Sie zunächst die Anleitungen unter FIPS-konforme Algorithmen verwenden.

Wechseln Sie anschließend zum Microsoft-Dokument FIPS 140-Validierung, und navigieren Sie zum Thema Informationen für Systemintegratoren. Befolgen Sie die Anweisungen unter "Schritt 2: Flag für die FIPS-Lokale/Gruppen-Sicherheits-Policy festlegen", um die FIPS-Aktivierung abzuschließen.

CentOS

Die folgende Anleitung erläutert die Aktivierung von FIPS unter CentOS 7.5 und CentOS Stream 8. Diese Verfahren gelten sowohl für VM- als auch für Bare-Metal-Instanzen und zwar ausschließlich im NATIVE-Modus. Diese Prozeduren können je nach Bedarf für den emulierten Modus und den PV-Modus geändert werden. Beachten Sie, dass diese Prozedur eine Instanz bereitstellt, welche die genauen FIPS-Verschlüsselungsmodule AUSSER dem Kernel enthält. Das Kernel-Modul weist zwar die gleiche Haupt-/Nebenversion auf, wird aber in der Revision beschleunigt und kann daher für die meisten FIPS-konformen Modelle als kompatibel angesehen werden.

Nach Abschluss dieses Verfahrens wird empfohlen, keine systemweiten yum-Updates auszuführen. Bei der systemweiten Aktualisierung werden die hierin enthaltenen FIPS-Module entfernt.

Stellen Sie sicher, dass die Versionen von Kernel, FIPS-Modulen und FIPS-Software die Mindestanforderungen erfüllen:

1. Vergewissern Sie sich, dass die aktuelle Version des Kernel-Packages die Anforderung erfüllt:

   1. Aktuelle Version: kernel-3.10.0-693.el7

   2. Führen Sie rpm -qa | grep kernel-3 aus.

2. Führen Sie den folgenden Befehl aus, und prüfen Sie, ob die Haupt- oder Nebenversion den Anforderungen entspricht.

   1. Run

      yum list <package_name>
                                          

   2. Prüfen Sie, ob die Haupt-/Nebenversion den Anforderungen entspricht.

      Erforderliche Packages und Versionen:

      • fipscheck - fipscheck-1.4.1-6.el7

      • hmaccalc - hmaccalc-0.9.13-4.el7

      • dracut-fips - dracut-fips-033-502.el7

      • dracut-fips-aesni - dracut-fips-aesni-033-502.el7

   3. Führen Sie für jede nicht installierte Version des Packages folgenden Befehl aus:

      yum install <package_name>
                                          

3. Laden Sie die folgenden Packages herunter, und installieren Sie sie:
   1. Packages sind bereits als Teil des Images installiert:

      1. Erstellen Sie ein Verzeichnis mit dem Namen preinstall.

      2. Laden Sie die folgenden Packages in dieses Verzeichnis herunter:

         openssl, openssl-libs - 1.0.2k-8.el7

         nss, nss-tools, nss-sysinit - 3.28.4-15.el7_4

         nss-util - 3.28.4-3.el7

         nss-softokn, nss-softokn-freebl - 3.28.3-8.el7_4

         openssh, openssh-clients, openssh-server - 7.4p1-11.el7

      3. Führen Sie im Verzeichnis "preinstall" folgenden Befehl aus:

         yum - -nogpgcheck downgrade *.rpm

   2. Packages, die dem Image hinzugefügt werden sollen:
      1. Erstellen Sie ein Verzeichnis mit dem Namen newpackages.

      2. Laden Sie die folgenden Packages in dieses Verzeichnis herunter:

         libreswan - 3.20-3.el7

         libgcrypt - 1.5.3-14.el7

         gnutls - 3.3.26-9.el7

         gmp - 6.0.0-15.el7

         nettle - 2.7.1-8.el7

      3. Führen Sie im Verzeichnis newpackages folgenden Befehl aus:

          yum - -nogpgcheck localinstall *.rpm

URLs der für diese Installation verwendeten Packages:

Vorinstallieren:

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-util-3.28.4-3.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-tools-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-sysinit-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-softokn-freebl-3.28.3-8.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-softokn-3.28.3-8.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssl-1.0.2k-8.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssl-libs-1.0.2k-8.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-7.4p1-11.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-clients-7.4p1-11.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-server-7.4p1-11.el7.x86_64.rpm

Neupakete:

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/libreswan-3.20-3.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/libgcrypt-1.5.3-14.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/gnutls-3.3.26-9.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/gmp-6.0.0-15.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nettle-2.7.1-8.el7.x86_64.rpm

Installation des Kernel-FIPS-Moduls und der initramfs-Validierung

Gehen Sie wie folgt vor:

1. Generieren Sie "dracut" neu:

   dracut -f -v

2. Fügen Sie das fips-Argument am Ende der Kernel-Boot-Standardbefehlszeile hinzu:

   1. Bearbeiten Sie /etc/default/grub

   2. Fügen Sie am Ende der mit "GRUB_CMDLINE_LINUX" beginnenden Zeile

      fips=1 

      innerhalb der doppelten Anführungszeichen des Befehls hinzu.

   3. Speichern Sie das Ergebnis.

3. Generieren Sie eine neue Datei grub.cfg:

   grub2-mkconfig -o /etc/grub2-efi.cfg

SSH konfigurieren, um Verschlüsselungsalgorithmen zu begrenzen

1. Wechseln Sie mit "sudo" zur Rolle "root".

2. Bearbeiten Sie /etc/ssh/sshd_config.

3. Fügen Sie am Ende der Datei die folgenden Zeilen hinzu:

   Protocol 2
   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc,aes192-cbc,aes256-cbc
   Macs hmac-sha1
   

4. Instanz neu starten.
5. Prüfen Sie nach dem Neustart der Instanz, ob der FIPS-Modus im Kernel aktiviert wurde:

   1. Wechseln Sie mit "sudo" zur Rolle "root".

   2. Führen Sie den folgenden Befehl aus:

      cat /proc/sys/crypto/fips-enabled

      Das Ergebnis muss "1" sein.

Um CentOS7/RHEL 7. x-Systeme umfassender zu sichern, wie dies in einzelnen Behörden vorgeschrieben ist, befolgen Sie die Checkliste in der OpenSCAP-Dokumentation. Diese Dokumentation finden Sie hier: https://static.open-scap.org/ssg-guides/ssg-centos7-guide-index.html

Verwenden Sie den Red Hat Linux 7 x-STIG für CentOS 7.5-Releases.

Phase 1 (ISAKMP)

Phase 2 (IPSec)

Serviceanfrage erstellen

So erstellen Sie eine Serviceanfrage für US Government Cloud und US Defense Cloud:

1. Gehen Sie zu My Oracle Support, und melden Sie sich an.

   Wenn Sie nicht bei Oracle Cloud Support angemeldet sind, wählen Sie oben auf der Seite Zu Cloud Support wechseln aus.

2. Wählen Sie oben auf der Seite Service Requests.
3. Wählen Sie Create Technical SR.
4. Wählen Sie aus den angezeigten Menüs Folgendes aus:
   • Servicetyp: Wählen Sie Oracle Cloud Infrastructure in der Liste aus.
   • Servicename: Wählen Sie die entsprechende Option für Ihre Organisation aus.
   • Problem Type: Wählen Sie Account Provisioning, Billing and Termination und dann im Untermenü Limit Increase aus.
5. Geben Sie Ihre Kontaktdaten ein.
6. Geben Sie eine Beschreibung ein, und füllen Sie dann die Pflichtfelder für das Problem aus. Wenn ein Feld nicht zutrifft, können Sie n/a eingeben.

Um Hilfe zu den allgemeinen Feldern in der Serviceanfrage oder Informationen zur Verwaltung von Serviceanfragen zu finden, wählen Sie oben auf der Seite "Oracle Cloud Support" die Option Hilfe.

Oracle Cloud Infrastructure-IDs suchen

Anhand der folgenden Tipps können Sie IDs finden, die Sie eventuell angeben müssen:

My Oracle Support zum ersten Mal verwenden

Bevor Sie Serviceanfragen mit My Oracle Support erstellen können, benötigen Sie einen Oracle Single Sign-On-(SSO-)Account. Außerdem müssen Sie Ihre Customer Support Identifier (CSI) bei My Oracle Support registrieren.