Per tutti i clienti cloud del governo degli Stati Uniti

Rimuovi l'utente amministratore predefinito di Oracle Cloud Infrastructure e qualsiasi altro utente non federato

Quando l'organizzazione si registra per un account Oracle e un dominio di Identity, Oracle imposta un amministratore predefinito per l'account. Questa persona è il primo utente IAM dell'azienda e dispone dell'accesso amministratore completo alla tenancy. Questo utente può impostare la federazione.

Dopo aver impostato correttamente la federazione con il provider di identità scelto, è possibile eliminare l'utente amministratore predefinito e qualsiasi altro utente locale del servizio IAM aggiunto per facilitare l'impostazione della tenancy. L'eliminazione degli utenti locali non federati garantisce che solo gli utenti nel provider di identità scelto possano accedere a Oracle Cloud Infrastructure.

Per eliminare l'amministratore predefinito:

1. Collegarsi alla console tramite il provider di identità.

   Ulteriori dettagli

   1. Aprire un browser supportato e passare all'URL della console di Government Cloud.

   2. Immettere il proprio tenant cloud e selezionare Continua.

   3. Nel riquadro Single Sign-On, selezionare il provider di identità e selezionare Continua. Si è reindirizzati al provider di identità per collegarsi.

   4. Immettere il nome utente e la password personali.
2. Aprire il menu di navigazione e selezionare Identità e sicurezza. In Identità, selezionare Utenti. Viene visualizzata la lista degli utenti.
3. Nel filtro Tipo di utente selezionare solo Utenti locali.
4. Per ogni utente locale, andare al menu Azioni (tre punti) e selezionare Elimina.

Oracle Linux

Seguire la documentazione di Oracle Linux per la versione del sistema operativo, ad esempio Configuring FIPS Mode in Oracle Linux 8.

Ubuntu

Seguire le linee guida fornite su Ubuntu Security Certifications - Enabling FIPS 140.

Windows Server 2012

Attenersi alle istruzioni fornite in Cifratura dati per connessioni a console Web e server di reporting.

Windows Server 2016 e Windows Server 2019

Innanzitutto, segui le linee guida fornite in Come utilizzare gli algoritmi conformi a FIPS.

Passare al documento Microsoft Convalida FIPS 140 e passare all'argomento Informazioni per System Integrator. Per completare l'abilitazione di FIPS, seguire le istruzioni descritte al "Passo 2 - Impostazione del flag dei criteri di sicurezza locale/gruppo per FIPS".

CentOS

Le seguenti linee guida consentono di abilitare FIPS su CentOS 7.5 e CentOS Stream 8. Queste procedure sono valide sia per le istanze VM che Bare Metal e solo in modalità NATIVE. Queste procedure possono essere modificate sia per le modalità Emulate che per quelle PV, se necessario. Si noti che questa procedura fornisce un'istanza che contiene l'esatto modulo crittografico FIPS EXCEPT kernel. Il modulo kernel è la stessa versione major/minor, ma è accelerato nella revisione, quindi può essere considerato conforme nella maggior parte dei modelli conformi a FIPS.

Dopo aver completato questa procedura, si consiglia di non eseguire gli aggiornamenti yum a livello di sistema. L'aggiornamento a livello di sistema rimuoverà i moduli FIPS contenuti nella presente documentazione.

Verificare che la versione del kernel, dei moduli FIPS e del software FIPS sia quella minima:

1. Verificare che la versione corrente del pacchetto kernel soddisfi i requisiti riportati di seguito.

   1. Versione corrente: kernel-3.10.0-693.el7

   2. Esegui rpm -qa | grep kernel-3

2. Eseguire le seguenti operazioni e verificare che la versione principale o secondaria sia uguale ai requisiti.

   1. Eseguire

      yum list <package_name>

   2. Verificare che la versione principale/minore corrisponda a quella richiesta.

      Di seguito sono riportati i pacchetti e le versioni richiesti.

      • fipscheck - fipscheck-1.4.1-6.el7

      • hmaccalc - hmaccalc-0.9.13-4.el7

      • dracut-fips - dracut-fips-033-502.el7

      • dracut-fips-aesni - dracut-fips-aesni-033-502.el7

   3. Per ogni versione di pacchetto non installata, eseguire

      yum install <package_name>

3. Scaricare e installare i seguenti pacchetti:
   1. Pacchetti già installati come parte dell'immagine:

      1. Creare una directory denominata preinstall.

      2. Scaricare i seguenti pacchetti in questa directory:

         openssl, openssl-libs - 1.0.2k-8.el7

         nss, nss-tools, nss-sysinit - 3.28.4-15.el7_4

         nss-util - 3.28.4-3.el7

         nss-softokn, nss-softokn-freebl - 3.28.3-8.el7_4

         openssh, openssh-clients, openssh-server - 7.4p1-11.el7

      3. Nella directory di preinstallazione, eseguire

         yum - -nogpgcheck downgrade *.rpm

   2. Pacchetti da aggiungere all'immagine:
      1. Creare una directory denominata newpackages.

      2. Scaricare i seguenti pacchetti in questa directory:

         libreswan - 3.20-3.el7

         libgcrypt - 1.5.3-14.el7

         gnocchi - 3.3.26-9.el7

         gmp - 6.0.0-15.el7

         ortica - 2.7.1-8.el7

      3. Nella directory newpackages, eseguire

          yum - -nogpgcheck localinstall *.rpm

Di seguito sono riportati gli URL dei pacchetti utilizzati per questa installazione.

Preinstallazione:

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-util-3.28.4-3.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-tools-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-sysinit-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-softokn-freebl-3.28.3-8.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-softokn-3.28.3-8.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssl-1.0.2k-8.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssl-libs-1.0.2k-8.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-7.4p1-11.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-clients-7.4p1-11.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-server-7.4p1-11.el7.x86_64.rpm

Nuovi pacchetti:

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/libreswan-3.20-3.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/libgcrypt-1.5.3-14.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/gnutls-3.3.26-9.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/gmp-6.0.0-15.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nettle-2.7.1-8.el7.x86_64.rpm

Installazione di convalida del modulo Kernel FIPS e initramfs

Eseguire questa procedura come root:

1. Rigenera dracut:

   dracut -f -v

2. Aggiungere l'argomento fips alla fine della riga di comando boot del kernel predefinita:

   1. Modifica /etc/default/grub

   2. Alla fine della riga che inizia con "GRUB_CMDLINE_LINUX", aggiungere

      fips=1 

      all'interno delle virgolette doppie del comando.

   3. Salvare il risultato.

3. Generare un nuovo grub.cfg:

   grub2-mkconfig -o /etc/grub2-efi.cfg

Configurare SSH per limitare gli algoritmi di cifratura

1. Sudo alla radice.

2. Modificare /etc/ssh/sshd_config.

3. Aggiungere le righe seguenti nella parte inferiore del file:

   Protocol 2
   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc,aes192-cbc,aes256-cbc
   Macs hmac-sha1
   

4. Riavviare l'istanza.
5. Dopo il reboot dell'istanza, verificare che la modalità FIPS sia stata abilitata nel kernel:

   1. Sudo alla radice.

   2. Eseguire il comando riportato di seguito:

      cat /proc/sys/crypto/fips-enabled

      Il risultato dovrebbe essere '1'.

Per proteggere ulteriormente i sistemi CentOS7/RHEL 7.x come richiesto dalla guida delle singole agenzie, seguire la lista di controllo contenuta nella guida OpenSCAP. Questa guida è disponibile qui: https://static.open-scap.org/ssg-guides/ssg-centos7-guide-index.html

Lo STIG per la valutazione della conformità in più profili è disponibile all'indirizzo: https://iase.disa.mil/stigs/os/unix-linux/Pages/index.aspx. Utilizzare Red Hat Linux 7.x STIG per le release CentOS 7.5.

Fase 1 (ISAKMP)

Fase 2 (IPSec)

Creazione di una richiesta di servizio

Per creare una richiesta di servizio per US Government Cloud e US Defense Cloud:

1. Passare a My Oracle Support e accedere.

   Se non si è connessi al Supporto Oracle Cloud, selezionare Passa a Cloud Support nella parte superiore della pagina.

2. Nella parte superiore della pagina selezionare Service Requests.
3. Selezionare Crea RS tecnica.
4. Selezionare una delle opzioni seguenti dai menu visualizzati:
   • Tipo di servizio: selezionare Oracle Cloud Infrastructure dalla lista.
   • Nome servizio: selezionare l'opzione appropriata per l'organizzazione.
   • Tipo di problema: selezionare Provisioning conto, fatturazione e cessazione, quindi selezionare Limita aumento nel sottomenu.
5. Immettere le informazioni di contatto personali.
6. Immettere una descrizione, quindi immettere i campi obbligatori specifici del problema. Se un campo non viene applicato, è possibile immettere n/d.

Per informazioni su uno qualsiasi dei campi generali della richiesta di servizio o per informazioni sulla gestione delle richieste di servizio, selezionare ? nella parte superiore della pagina Supporto Oracle Cloud.

Trova gli ID di Oracle Cloud Infrastructure

Utilizzare i seguenti suggerimenti per trovare gli identificativi che potrebbero essere richiesti per fornire:

Uso di My Oracle Support per la prima volta

Per poter creare richieste di assistenza con My Oracle Support, è necessario disporre di un account Oracle Single Sign-On (SSO) e registrare il codice CSI (Customer Support Identifier) con My Oracle Support.