如何使用Ansible和CIS标准将/ var / tmp绑定到/ tmp

Jareg 发表于 Dev

贾雷格

我正在将centos6.7 VM增强为CIS基准标准。我正在使用Ansible进行尽可能多的自动化。

我正在使用的强化文档是（第12-13页）：https : //benchmarks.cisecurity.org/tools2/linux/CIS_CentOS_Linux_6_Benchmark_v1.1.0.pdf

我正在尝试实现控件1.1.6，该控件具有以下2个检查并期望：

# grep -e "^/tmp" /etc/fstab | grep /var/tmp
/tmp /var/tmp none none 0 0
# mount | grep -e "^/tmp" | grep /var/tmp
/tmp on /var/tmp type none (rw,bind)

为了尝试完成此任务，我编写了2个任务：

mount:
  name: /var/tmp
  src: /tmp
  fstype: none
  opts: rw,bind
  state:mounted

和

lineinfile:
  dest: /etc/fstab
  state: present
  regexp: '^\/tmp'
  line: '/tmp /var/tmp none bind 0 0'

问题：

“ / tmp / var / tmp none none 0 0”真的是正确的预期输出吗？我有一个nessus审核文件，它期望“ / tmp / var / tmp none bind 0 0”哪个正确？
从目前的情况来看，这两个任务不是幂等的。挂载模块运行并修改fstab文件，然后lineinfile模块重写fstab文件中的更改。每次播放运行时，两个任务都会运行并进行更改。有办法补救吗？
这是纠正此控制的正确方法吗？我不确定是否有更清洁的方法来解决这个问题。

谢谢。

弃

这是PDF的“审核”部分的错字，因为“无无”条目会导致错误，而“无绑定”（来自“修复”部分）则有效：

% grep /var/tmp /etc/fstab 
/tmp /var/tmp none none 0 0
% sudo mount -a           
mount: unknown filesystem type 'none'
% sudo ed /etc/fstab 
832
/\/var\/tmp
/tmp /var/tmp none none 0 0
s/none 0/bind 0
/tmp /var/tmp none bind 0 0
w
832
q
% sudo mount -a     
%

本文收集自互联网，转载请注明来源。

如有侵权，请联系 [email protected] 删除。