Pour tous les clients US Government Cloud

Suppression de l'administrateur Oracle Cloud Infrastructure par défaut et de tout autre utilisateur non fédéré

Lorsque votre organisation s'inscrit afin d'obtenir un compte Oracle et un domaine d'identité, Oracle configure un administrateur par défaut pour le compte. Cette personne est le premier utilisateur IAM de votre société et dispose d'un accès administrateur complet à votre location. Cet utilisateur peut configurer votre fédération.

Une fois que vous avez configuré la fédération avec le fournisseur d'identités choisi, vous pouvez supprimer l'administrateur par défaut et tout autre utilisateur local du service IAM que vous avez ajouté pour configurer votre location. La suppression des utilisateurs locaux non fédérés permet aux utilisateurs du fournisseur d'identités choisi d'accéder à Oracle Cloud Infrastructure.

Pour supprimer l'administrateur par défaut, procédez comme suit :

1. Connectez-vous à la console par le biais de votre fournisseur d'identités.

   Plus de détails

   1. Ouvrez un navigateur pris en charge et accédez à l'URL de la console Government Cloud.

   2. Entrez votre locataire cloud, puis cliquez sur Continuer.

   3. Dans le panneau Accès avec connexion unique (SSO), sélectionnez votre fournisseur d'identités et cliquez sur Continuer. Vous êtes redirigé vers le fournisseur d'identités pour vous connecter.

   4. Indiquez votre nom utilisateur et votre mot de passe.
2. Ouvrez le menu de navigation et cliquez sur Identité et sécurité. Sous Identité, cliquez sur Utilisateurs. La liste des utilisateurs apparaît.
3. Dans le filtre Type d'utilisateur, sélectionnez Utilisateurs locaux uniquement.
4. Pour chaque utilisateur local, accédez au menu Actions () et cliquez sur Supprimer.

Oracle Linux

Suivez les instructions fournies dans Conformité FIPS 140-2 dans Oracle Linux 8.

Ubuntu

Suivez les instructions fournies dans Certifications de sécurité Ubuntu - Activation de FIPS 140.

Windows Server 2012

Suivez les instructions fournies dans l'article relatif au chiffrement des données pour la console Web et les connexions au serveur de rapports.

Windows Server 2016 et Windows Server 2019

Commencez par suivre les instructions fournies dans l'article expliquant la procédure d'utilisation des algorithmes compatibles FIPS.

Accédez ensuite au document Microsoft sur la validation FIPS 140, puis consultez les informations pour les intégrateurs de système. Suivez les instructions de l'étape 2 sur la définition d'un indicateur de stratégie de sécurité de groupe/locale FIPS pour activer FIPS.

CentOS

Les instructions suivantes permettent d'activer FIPS sous CentOS 7.5 et CentOS Stream 8. Ces procédures sont valides à la fois pour les instances de machine virtuelle et Bare Metal, et uniquement en mode NATIVE. Ces procédures peuvent être modifiées pour les modes émulé et PV si nécessaire. Cette procédure fournit une instance qui contient les modules cryptographiques FIPS exacts, à l'exception du noyau. Le module du noyau est de la même version, majeure/mineure, mais il est accéléré par des révisions, et peut donc être considéré comme conforme à la plupart des modèles compatibles FIPS.

Une fois cette procédure terminée, nous vous recommandons de ne pas exécuter de mises à jour yum à l'échelle du système. La mise à jour à l'échelle du système enlèvera les modules FIPS qui s'y trouvent.

Vérification que la version du noyau, des modules FIPS et du logiciel FIPS correspond à la version minimale :

1. Vérifiez que la version actuelle du package de noyau répond à l'exigence :

   1. Version en cours : kernel-3.10.0-693.el7

   2. Exécutez rpm -qa | grep kernel-3

2. Exécutez la commande suivante et vérifiez que la version majeure ou mineure est conforme aux exigences.

   1. Exécutez la commande suivante :

      yum list <package_name>

   2. Vérifiez que la version majeure/mineure correspond à la version requise.

      Les versions et packages requis sont les suivants :

      • fipscheck - fipscheck-1.4.1-6.el7

      • hmaccalc - hmaccalc-0.9.13-4.el7

      • dracut-fips - dracut-fips-033-502.el7

      • dracut-fips-aesni - dracut-fips-aesni-033-502.el7

   3. Pour chaque version de package qui n'est pas installé, exécutez la commande suivante :

      yum install <package_name>

3. Téléchargez et installez les packages suivants :
   1. Pour les packages déjà installés dans le cadre de l'image, procédez comme suit :

      1. Créez un répertoire nommé preinstall.

      2. Téléchargez les packages suivants vers ce répertoire :

         openssl, openssl-libs – 1.0.2k-8.el7

         nss, nss-tools, nss-sysinit – 3.28.4-15.el7_4

         nss-util – 3.28.4-3.el7

         nss-softokn, nss-softokn-freebl – 3.28.3-8.el7_4

         openssh, openssh-clients, openssh-server – 7.4p1-11.el7

      3. Dans le répertoire preinstall, exécutez la commande suivante :

         yum - -nogpgcheck downgrade *.rpm

   2. Pour les packages à ajouter à l'image, procédez comme suit :
      1. Créez un répertoire nommé newpackages.

      2. Téléchargez les packages suivants vers ce répertoire :

         libreswan – 3.20-3.el7

         libgcrypt – 1.5.3-14.el7

         gnutls – 3.3.26-9.el7

         gmp – 6.0.0-15.el7

         nettle – 2.7.1-8.el7

      3. Dans le répertoire newpackages, exécutez la commande suivante :

          yum - -nogpgcheck localinstall *.rpm

Les URL des packages utilisés pour cette installation sont les suivantes :

Preinstall :

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-util-3.28.4-3.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-tools-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-sysinit-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-softokn-freebl-3.28.3-8.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-softokn-3.28.3-8.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssl-1.0.2k-8.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssl-libs-1.0.2k-8.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-7.4p1-11.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-clients-7.4p1-11.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-server-7.4p1-11.el7.x86_64.rpm

Newpackages :

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/libreswan-3.20-3.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/libgcrypt-1.5.3-14.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/gnutls-3.3.26-9.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/gmp-6.0.0-15.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nettle-2.7.1-8.el7.x86_64.rpm

Installation de la validation initramfs et du module FIPS du noyau

Exécutez cette procédure en tant qu'utilisateur root :

1. Régénérez dracut :

   dracut -f -v

2. Ajoutez l'argument fips à la fin de la ligne de commande d'initialisation du noyau par défaut :

   1. Modifiez /etc/default/grub.

   2. A la fin de la ligne commençant par "GRUB_CMDLINE_LINUX", ajoutez

      fips=1 

      entre les guillemets de la commande.

   3. Enregistrez le résultat.

3. Générer un nouveau grub.cfg :

   grub2-mkconfig -o /etc/grub2-efi.cfg

Configuration de SSH pour limiter les algorithmes de cryptage

1. Utilisez sudo pour passer à l'utilisateur root.

2. Modifiez /etc/ssh/sshd_config.

3. Ajoutez les lignes suivantes à la fin du fichier :

   Protocol 2
   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc,aes192-cbc,aes256-cbc
   Macs hmac-sha1
   

4. Redémarrez l'instance.
5. Après le redémarrage de l'instance, vérifiez que le mode FIPS a été activé dans le noyau :

   1. Utilisez sudo pour passer à l'utilisateur root.

   2. Exécutez la commande suivante :

      cat /proc/sys/crypto/fips-enabled

      Le résultat doit être "1".

Pour sécuriser davantage les systèmes CentOS7/RHEL 7.x comme requis par les instructions de chaque organisme gouvernemental, suivez la liste de contrôle du guide OpenSCAP. Ce guide est disponible à l'adresse suivante : https://static.open-scap.org/ssg-guides/ssg-centos7-guide-index.html.

Le STIG (guide technique d'implémentation de la sécurité) permettant d'évaluer la conformité sous plusieurs profils est disponible à l'adresse suivante : https://iase.disa.mil/stigs/os/unix-linux/Pages/index.aspx. Utilisez le STIG Red Hat Linux 7.x pour les versions CentOS 7.5.

Phase 1 (ISAKMP)

Phase 2 (IPSec)

Création d'une demande d'assistance

Pour créer une demande de service pour US Government Cloud et US Defense Cloud :

1. Accédez à My Oracle Support et connectez-vous.

   Si vous n'êtes pas connecté au support technique Oracle Cloud, cliquez sur Passer à Cloud Support en haut de la page.

2. Cliquez sur Demandes d'assistance en haut de la page.
3. Cliquez sur Créer une demande d'assistance technique.
4. Sélectionnez les options suivantes dans les menus affichés :
   • Type de service : sélectionnez Oracle Cloud Infrastructure dans la liste.
   • Nom de service : sélectionnez l'option appropriée pour votre organisation.
   • Type de problème : sélectionnez Provisionnement, facturation et terminaison de compte, puis Augmentation de limite dans le sous-menu.
5. Saisissez vos coordonnées.
6. Saisissez une description, puis renseignez les champs requis propres au problème. Si un champ ne s'applique pas, vous pouvez entrer n/a.

Pour obtenir de l'aide sur les champs généraux de la demande de service ou des informations sur la gestion des demandes de service, cliquez sur Aide en haut de la page du support technique Oracle Cloud.

Recherche d'ID Oracle Cloud Infrastructure

Utilisez les conseils suivants pour rechercher les identificateurs que vous pouvez être invité à fournir :

Première utilisation de My Oracle Support

Pour pouvoir créer des demandes d'assistance avec My Oracle Support, vous devez disposer d'un compte d'accès avec connexion unique (SSO) Oracle et inscrire votre numéro CSI auprès de My Oracle Support.