すべてのUS Government Cloud顧客の場合

Oracle Cloud Infrastructureのデフォルト管理者ユーザーおよびその他の非フェデレーテッド・ユーザーの削除

組織がOracleアカウントおよびアイデンティティ・ドメインにサインアップすると、Oracleによってアカウントのデフォルト管理者が設定されます。この個人は、会社の最初のIAMユーザーであり、テナンシへの完全な管理者アクセス権を持っています。このユーザーはフェデレーションを設定できます。

選択したアイデンティティ・プロバイダでフェデレーションを正常に設定したら、デフォルトの管理者ユーザーおよびテナンシの設定に役立つように追加した他のIAMサービス・ローカル・ユーザーを削除できます。ローカルの非フェデレーション・ユーザーを削除すると、選択したアイデンティティ・プロバイダのユーザーのみがOracle Cloud Infrastructureにアクセスできます。

デフォルト管理者を削除するには:

1. アイデンティティ・プロバイダを通じてコンソールにサインインします。

   詳細

   1. サポートされているブラウザを開き、Government CloudコンソールURLに移動します。

   2. クラウド・テナントを入力し、「続行」を選択します。

   3. 「シングル・サインオン」ペインで、アイデンティティ・プロバイダを選択し、「続行」を選択します。サインインするためにアイデンティティ・プロバイダにリダイレクトされます。

   4. ユーザー名とパスワードを入力します。
2. ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」を選択します。「アイデンティティ」で、「ユーザー」を選択します。ユーザーのリストが表示されます。
3. 「ユーザー・タイプ」フィルタで、「ローカル・ユーザー」のみを選択します。
4. ローカル・ユーザーごとに、「アクション」メニュー(3つのドット)に移動し、「削除」を選択します。

Oracle Linux

Oracle Linux 8でのFIPSモードの構成など、OSバージョンのOracle Linuxドキュメントのガイダンスに従います。

Ubuntu

Ubuntuセキュリティ証明書 - FIPS 140の有効化に記載されているガイダンスに従います。

Windows Server 2012

Webコンソールとレポート サーバー接続のデータの暗号化に記載されているガイダンスに従います。

Windows Server 2016およびWindows Server 2019

最初に、FIPS準拠アルゴリズムを使用する方法に記載されているガイダンスに従います。

次に、Microsoftドキュメント(FIPS 140の検証)に移動し、システム・コネクタの情報のトピックに移動します。FIPSの有効化を完了するには、「ステップ2–FIPSローカル/グループ・セキュリティ・ポリシー・フラグの設定」の指示に従います。

CentOS

次のガイダンスは、CentOS 7.5およびCentOS Stream 8でFIPSを有効にするためのものです。これらの手順は、VMとベア・メタル・インスタンスの両方に対して、NATIVEモードのみで有効です。これらの手順は、必要に応じてエミュレート・モードとPVモードの両方に対して変更できます。この手順は、カーネルを除く厳密なFIPS暗号モジュールを含むインスタンスを提供します。ただし、カーネル・モジュールは同じメジャー/マイナー・バージョンでもリビジョンで高速化されるため、ほとんどのFIPS準拠モデル下で準拠とみなすことができます。

この手順を完了したら、システム全体のyum更新を実行しないことをお薦めします。システム全体の更新では、ここに含まれているFIPSモジュールが削除されます。

カーネル、FIPSモジュールおよびFIPSソフトウェアのバージョンが最小バージョンであることの確認:

1. カーネル・パッケージの現在のバージョンが要件を満たしていることを確認します:

   1. 現在のバージョン: kernel-3.10.0-693.el7

   2. rpm -qa | grep kernel-3を実行します

2. 次を実行し、メジャー・バージョンまたはマイナー・バージョンが要件と同じであることを確認します。

   1. 実行

      yum list <package_name>
                                          

   2. メジャー/マイナー・バージョンが必要なバージョンと一致していることを確認します。

      必須のパッケージとバージョンは次のとおりです:

      • fipscheck - fipscheck-1.4.1-6.el7

      • hmaccalc - hmaccalc-0.9.13-4.el7

      • dracut-fips - dracut-fips-033-502.el7

      • dracut-fips-aesni - dracut-fips-aesni-033-502.el7

   3. インストールされていないパッケージごとに、実行します

      yum install <package_name>
                                          

3. 次のパッケージをダウンロードしてインストールします:
   1. パッケージはすでにイメージの一部としてインストールされています:

      1. preinstallというディレクトリを作成します。

      2. このディレクトリに次のパッケージをダウンロードします:

         openssl、openssl-libs – 1.0.2k-8.el7

         nss、nss-tools、nss-sysinit – 3.28.4-15.el7_4

         nss-util– 3.28.4-3.el7

         nss-softokn、nss-softokn-freebl – 3.28.3-8.el7_4

         openssh、openssh-clients、openssh-server – 7.4p1-11.el7

      3. preinstallディレクトリで、次を実行します

         yum - -nogpgcheck downgrade *.rpm

   2. イメージに追加するパッケージ:
      1. newpackagesというディレクトリを作成します。

      2. このディレクトリに次のパッケージをダウンロードします:

         libreswan - 3.20-3.el7

         libgcrypt– 1.5.3-14.el7

         gnutls– 3.3.26-9.el7

         gmp - 6.0.0-15.el7

         ネットトル – 2.7.1-8.el7

      3. newpackagesディレクトリで、次を実行します

          yum - -nogpgcheck localinstall *.rpm

このインストールに使用されるパッケージのURL:

インストール前:

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-util-3.28.4-3.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-tools-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-sysinit-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-softokn-freebl-3.28.3-8.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-softokn-3.28.3-8.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssl-1.0.2k-8.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssl-libs-1.0.2k-8.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-7.4p1-11.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-clients-7.4p1-11.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-server-7.4p1-11.el7.x86_64.rpm

Newpackages:

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/libreswan-3.20-3.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/libgcrypt-1.5.3-14.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/gnutls-3.3.26-9.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/gmp-6.0.0-15.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nettle-2.7.1-8.el7.x86_64.rpm

カーネルFIPSモジュールおよびinitramfs検証のインストール

次の手順をrootとして実行します:

1. dracutを再生成します:

   dracut -f -v

2. fips引数をデフォルトのカーネル・ブート・コマンド行の末尾に追加します:

   1. /etc/default/grubを編集します

   2. "GRUB_CMDLINE_LINUX"で始まる行の末尾で、

      fips=1 

      をコマンドの二重引用符内に追加します。

   3. 結果を保存します。

3. 新しいgrub.cfgを生成します:

   grub2-mkconfig -o /etc/grub2-efi.cfg

暗号化アルゴリズムを制限するようにSSHを構成します

1. rootへのSudoを実行します。

2. /etc/ssh/sshd_configを編集します。

3. ファイルの一番下に次の行を追加します:

   Protocol 2
   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc,aes192-cbc,aes256-cbc
   Macs hmac-sha1
   

4. インスタンスの再起動
5. インスタンスが再起動された後、カーネルでFIPSモードが有効になっていることを確認します:

   1. rootへのSudoを実行します。

   2. 次のコマンドを実行します:

      cat /proc/sys/crypto/fips-enabled

      結果は'1'になります。

個々の機関のガイダンスによる要求に応じてCentOS7/RHEL 7.xシステムをさらに保護するには、OpenSCAPガイドに含まれているチェックリストに従います。このガイドは、https://static.open-scap.org/ssg-guides/ssg-centos7-guide-index.htmlにあります

複数プロファイルでのコンプライアンスを評価するためのSTIGは、https://iase.disa.mil/stigs/os/unix-linux/Pages/index.aspxにあります。CentOS 7.5リリースにはRed Hat Linux 7.x STIGを使用します。

フェーズ1 (ISAKMP)

フェーズ2 (IPSec)

サービス・リクエストの作成

US Government CloudおよびUS Defense Cloudのサービス・リクエストを作成するには:

1. My Oracle Supportに移動してサインインします。

   Oracle Cloud Supportにサインインしない場合は、ページの上部にある「Cloud Supportに切替え」を選択します。

2. ページ上部の「サービス・リクエスト」を選択します。
3. 「技術的SRの作成」を選択します。
4. 表示されたメニューから次を選択します:
   • サービス・タイプ: リストからOracle Cloud Infrastructureを選択します。
   • サービス名: 組織に適したオプションを選択します。
   • 問題タイプ: 「アカウント・プロビジョニング、請求および終了」を選択し、サブメニューから「制限の引上げ」を選択します。
5. 連絡先情報を入力します。
6. 「説明」を入力し、問題に固有の必須フィールドを入力します。フィールドが適用されない場合は、n/aと入力できます。

サービス・リクエストの任意の一般フィールドに関するヘルプや、サービス・リクエストの管理に関する情報は、「Oracle Cloud Support」ページの上部にある「ヘルプ」を選択します。

Oracle Cloud Infrastructure IDの検索

指定するよう求められることのある識別子を検索する場合、次のヒントを役立ちます:

My Oracle Supportの最初の使用

My Oracle Supportでサービス・リクエストを作成するには、Oracleシングル・サインオン(SSO)アカウントが必要であり、カスタマ・サポートID (CSI)をMy Oracle Supportに登録する必要があります。