Pour tous les clients du nuage du gouvernement des États-Unis

Supprimer l'administrateur par défaut d'Oracle Cloud Infrastructure et tout autre utilisateur non fédéré

Lorsque votre organisation s'abonne à un compte Oracle et à un domaine d'identité, Oracle configure un administrateur par défaut pour le compte. Cette personne est le premier utilisateur IAM de votre société et dispose d'un accès administrateur complet à votre location. Cet utilisateur peut configurer votre fédération.

Après avoir configuré la fédération avec le fournisseur d'identités sélectionné, vous pouvez supprimer l'administrateur par défaut et tous les autres utilisateurs locaux du service IAM que vous avez ajoutés pour faciliter la configuration de votre location. La suppression des utilisateurs locaux non fédérés garantit que seuls les utilisateurs du fournisseur d'identités sélectionné auront accès à Oracle Cloud Infrastructure.

Pour supprimer l'administrateur par défaut :

1. Connectez-vous à la console au moyen de votre fournisseur d'identités.

   Détails supplémentaires

   1. Ouvrez un navigateur pris en charge et accédez à l'URL de la console du nuage gouvernemental.

   2. Indiquez votre location Oracle Cloud et cliquez sur Continuer.

   3. Dans le volet Authentification unique, sélectionnez votre fournisseur d'identités et cliquez sur Continuer. Vous êtes redirigé vers le fournisseur d'identité pour vous connecter.

   4. Entrez votre nom d'utilisateur et votre mot de passe.
2. Ouvrez le menu de navigation et cliquez sur Identité et sécurité. Sous Identité, cliquez sur Utilisateurs. La liste des utilisateurs s'affiche.
3. Dans le filtre Type d'utilisateur, sélectionnez uniquement Utilisateurs locaux.
4. Pour chaque utilisateur local, allez au menu Actions () et cliquez sur Supprimer.

Oracle Linux

Suivez les instructions fournies dans Conformité FIPS 140-2 dans Oracle Linux 8.

Ubuntu

Suivez les instructions fournies dans Certifications de sécurité d'Ubuntu - Activation de la compatibilité FIPS 140.

Windows Server 2012

Suivez les consignes fournies dans Chiffrement des données pour la console Web et les connexions au serveur de production de rapports.

Windows Server 2016 et Windows Server 2019

Suivez d'abord les consignes fournies dans Utilisation des algorithmes conformes aux normes FIPS.

Accédez ensuite au document Microsoft Validation FIPS 140, puis aux informations destinées aux intégrateurs de systèmes. Suivez les instructions sous "Étape 2 – Définition de l'indicateur de politique de sécurité locale/de groupe FIPS" pour terminer l'activation de FIPS.

CentOS

Les instructions ci-dessous permettent d'activer FIPS sur CentOS 7.5 et CentOS Stream 8. Ces procédures sont valides pour les instances de machine virtuelle et sans système d'exploitation, en mode NATIVE uniquement. Ces procédures peuvent être modifiées pour le mode émulé et le mode PV, si nécessaire. Notez que cette procédure fournit une instance qui contient les modules cryptographiques FIPS exacts, sauf celui du noyau. Cependant, le module du noyau possède la même version, majeure/mineure, mais sa révision étant accélérée, il peut être considéré comme conforme à la plupart des modèles conformes à FIPS.

Une fois cette procédure terminée, nous vous recommandons de ne pas exécuter les mises à jour yum à l'échelle du système. Cela supprimerait les modules FIPS installés.

Vérifiez que la version du noyau, des modules FIPS et du logiciel FIPS est la version minimale :

1. Vérifiez que la version courante de l'ensemble du noyau est conforme aux exigences :

   1. Version courante : kernel-3.10.0-693.el7

   2. Exécutez rpm -qa | grep kernel-3

2. Exécutez la commande suivante et vérifiez que la version majeure ou mineure est conforme aux exigences.

   1. Exécutez

      yum list <package_name>

   2. Vérifiez que la version majeure/mineure correspond à celle requise.

      Les ensembles et les versions requis sont les suivants :

      • fipscheck - fipscheck-1.4.1-6.el7

      • hmaccalc - hmaccalc-0.9.13-4.el7

      • dracut-fips - dracut-fips-033-502.el7

      • dracut-fips-aesni - dracut-fips-aesni-033-502.el7

   3. Pour chaque version d'ensemble qui n'est pas installée, exécutez

      yum install <package_name>

3. Téléchargez et installez les ensembles suivants :
   1. Ensembles déjà installés avec l'image :

      1. Créez un répertoire nommé preinstall.

      2. Téléchargez les ensembles suivants dans ce répertoire :

         openssl, openssl-libs – 1.0.2k-8.el7

         nss, nss-tools, nss-sysinit – 3.28.4-15.el7_4

         nss-util – 3.28.4-3.el7

         nss-softokn, nss-softokn-freebl – 3.28.3-8.el7_4

         openssh, openssh-clients, openssh-server – 7.4p1-11.el7

      3. Dans le répertoire preinstall, exécutez

         yum - -nogpgcheck downgrade *.rpm

   2. Ensembles à ajouter à l'image :
      1. Créez un répertoire nommé newpackages.

      2. Téléchargez les ensembles suivants dans ce répertoire :

         libreswan – 3.20-3.el7

         libgcrypt – 1.5.3-14.el7

         gnutls – 3.3.26-9.el7

         gmp – 6.0.0-15.el7

         nettle – 2.7.1-8.el7

      3. Dans le répertoire newpackages, exécutez

          yum - -nogpgcheck localinstall *.rpm

Les URL des ensembles utilisés pour cette installation sont les suivantes :

Préinstallation :

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-util-3.28.4-3.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-tools-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-sysinit-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-softokn-freebl-3.28.3-8.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-softokn-3.28.3-8.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssl-1.0.2k-8.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssl-libs-1.0.2k-8.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-7.4p1-11.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-clients-7.4p1-11.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-server-7.4p1-11.el7.x86_64.rpm

Newpackages :

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/libreswan-3.20-3.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/libgcrypt-1.5.3-14.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/gnutls-3.3.26-9.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/gmp-6.0.0-15.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nettle-2.7.1-8.el7.x86_64.rpm

Validation de l'installation du module FIPS du noyau et d'initramfs

Exécutez cette procédure en tant qu'utilisateur racine :

1. Régénérez dracut :

   dracut -f -v

2. Ajoutez l'argument fips à la fin de la ligne de commande de démarrage du noyau par défaut :

   1. Modifiez /etc/default/grub

   2. À la fin de la ligne qui commence par "GRUB_CMDLINE_LINUX", ajoutez

      fips=1 

      entre les guillemets de la commande.

   3. Enregistrez le résultat.

3. Générez un nouveau fichier grub.cfg :

   grub2-mkconfig -o /etc/grub2-efi.cfg

Configurer SSH pour limiter les algorithmes de chiffrement

1. Connectez-vous en tant qu'utilisateur racine.

2. Modifiez /etc/ssh/sshd_config.

3. Ajoutez les lignes suivantes en bas du fichier :

   Protocol 2
   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc,aes192-cbc,aes256-cbc
   Macs hmac-sha1
   

4. Redémarrez l'instance.
5. Une fois l'instance redémarrée, vérifiez que le mode FIPS est activé dans le noyau :

   1. Connectez-vous en tant qu'utilisateur racine.

   2. Exécutez la commande suivante :

      cat /proc/sys/crypto/fips-enabled

      le résultat doit être '1'.

Pour renforcer la sécurité des systèmes CentOS7/RHEL 7.x, conformément aux exigences de l'organisme, suivez la liste de vérification fournie dans le guide OpenSCAP. Ce guide se trouve ici : https://static.open-scap.org/ssg-guides/ssg-centos7-guide-index.html

Le guide technique de mise en oeuvre de la sécurité (STIG) consacré à l'évaluation de la conformité avec plusieurs profils se trouve ici : https://iase.disa.mil/stigs/os/unix-linux/Pages/index.aspx . Utilisez le STIG Red Hat Linux 7.x pour les versions CentOS 7.5.

Phase 1 (ISAKMP)

Phase 2 (IPSec)

Création d'une demande de service

Pour créer une demande de service pour le nuage gouvernemental des États-Unis et le nuage de défense des États-Unis :

1. Accédez à My Oracle Support et connectez-vous.

   Si vous n'êtes pas connecté au soutien technique d'Oracle Cloud, cliquez sur Passer à Cloud Support en haut de la page.

2. En haut de la page, cliquez sur Demandes de service.
3. Cliquez sur Créer une demande de service technique.
4. Sélectionnez ce qui suit dans les menus affichés :
   • Type de service : Sélectionnez Oracle Cloud Infrastructure dans la liste.
   • Nom du service : Sélectionnez l'option appropriée pour votre organisation.
   • Type de problème : Sélectionnez Provisionnement de compte, facturation et résiliation, puis sélectionnez Augmentation de limite dans le sous-menu.
5. Entrez vos informations de contact.
6. Entrez une Description, puis entrez les champs obligatoires propres au problème. Si un champ ne s'applique pas, vous pouvez entrer s.o..

Pour obtenir de l'aide sur n'importe quel champ général de la demande de service ou pour des informations sur la gestion des demandes de service, cliquez sur Aide en haut de la page Oracle Cloud Support.

Rechercher les ID Oracle Cloud Infrastructure

Utilisez les conseils suivants pour trouver facilement les identificateurs que vous pouvez être invité à fournir :

Première utilisation de My Oracle Support

Pour pouvoir créer des demandes de service avec My Oracle Support, vous devez disposer d'un compte Oracle d'authentification unique (SSO) et enregistrer votre identificateur de soutien à la clientèle (CSI) avec My Oracle Support.