Para todos los clientes de la nube del Gobierno de EE. UU.

Eliminación del usuario administrador por defecto de Oracle Cloud Infrastructure y otros usuarios no federados

Cuando su organización se registra para obtener un cuenta de Oracle y un dominio de identidad, Oracle configura un administrador por defecto para la cuenta. Esta persona es el primer usuario IAM de su compañía y tiene acceso de administrador completo a su arrendamiento. Este usuario puede configurar su federación.

Después de configurar correctamente la federación con el proveedor de identidad seleccionado, puede suprimir el usuario administrador por defecto y a cualquier otro usuario local de servicio IAM que haya agregado para ayudarle a configurar el arrendamiento. La supresión de los usuarios locales no federados garantiza que solo los usuarios del proveedor de identidad seleccionado puedan acceder a Oracle Cloud Infrastructure.

Para suprimir el administrador por defecto:

1. Conéctese a la consola con su proveedor de identidad.

   Más detalles

   1. Abra un explorador soportado y vaya a la URL de la consola de la nube del Gobierno.

   2. Introduzca el Inquilino en la nube y haga clic en Continuar.

   3. En el panel Conexión única, seleccione su proveedor de identidad y haga clic en Continuar. Se le redirigirá al proveedor de identidad para conectarse.

   4. Introduzca el nombre de usuario y la contraseña.
2. Abra el menú de navegación y haga clic en Identidad y seguridad. En Identidad, haga clic en Usuarios. Aparecerá la lista de usuarios.
3. En el filtro Tipo de usuario, seleccione solo Usuarios locales.
4. Para cada usuario local, vaya al menú Acciones () y haga clic en Suprimir.

Oracle Linux

Siga las instrucciones proporcionadas en el apartado relacionado con la conformidad de FIPS 140-2 en Oracle Linux 8.

Ubuntu

Siga las indicaciones de Ubuntu Security Certifications - Enabling FIPS 140.

Windows Server 2012

Siga las indicaciones de Data Encryption for Web console and Reporting server Connections.

Windows Server 2016 y Windows Server 2019

En primer lugar, siga las indicaciones de How to Use FIPS Compliant Algorithms.

A continuación, vaya al documento de Microsoft, FIPS 140 Validation y acceda al tema sobre información para integradores de sistemas. Siga las instrucciones del paso 2, que describe cómo configurar el indicador de la política de seguridad FIPS local/de grupo para completar la activación de FIPS.

CentOS

Las siguientes indicaciones explican cómo activar FIPS en CentOS 7.5 y CentOS Stream 8. Estos procedimientos son válidos para las instancias de VM y dedicadas, y solo en el modo NATIVE. Estos procedimientos se pueden modificar tanto para el modo emulado como para el modo PV, según sea necesario. Tenga en cuenta que este procedimiento proporciona una instancia que contiene los módulos criptográficos FIPS exactos excepto el módulo de núcleo. El módulo de núcleo es de la misma versión principal/secundaria, pero está acelerado en la revisión, por lo que se puede considerar compatible según la mayoría de los modelos compatibles con FIPS.

Después de completar este procedimiento, se recomienda no ejecutar actualizaciones de yum en todo el sistema. La actualización de todo el sistema eliminará los módulos FIPS que contiene.

Verifique que la versión del núcleo, los módulos FIPS y el software FIPS sean la versión mínima:

1. Valide la versión actual del paquete de núcleo que cumpla los requisitos:

   1. Versión actual: kernel-3.10.0-693.el7

   2. Ejecute rpm -qa | grep kernel-3.

2. Ejecute lo siguiente y valide la versión principal o secundaria, según los requisitos.

   1. Ejecute

      yum list <package_name>

   2. Verifique que la versión principal/secundaria coincide con los requisitos.

      Las versiones y los paquetes necesarios son:

      • fipscheck- fipscheck-1.4.1-6.el7

      • hmaccalc- hmaccalc-0.9.13-4.el7

      • dracut-fips: dracut-fips-033-502.el7

      • dracut-fips-aesni: dracut-fips-aesni-033-502.el7

   3. Para cada versión del paquete que no esté instalada, ejecute

      yum install <package_name>

3. Descargue e instale los siguientes paquetes:
   1. Paquetes ya instalados como parte de la imagen:

      1. Cree un directorio denominado preinstall.

      2. Descargue los siguientes paquetes en este directorio:

         openssl, openssl-libs – 1.0.2k-8.el7

         nss, nss-tools, nss-sysinit – 3.28.4-15.el7_4

         nss-util – 3.28.4-3.el7

         nss-softokn, nss-softokn-freebl – 3.28.3-8.el7_4

         openssh, openssh-clients, openssh-server – 7.4p1-11.el7

      3. En el directorio preinstall, ejecute

         yum - -nogpgcheck downgrade *.rpm

   2. Paquetes que se van a agregar a la imagen:
      1. Cree un directorio denominado newpackages.

      2. Descargue los siguientes paquetes en este directorio:

         libreswan – 3.20-3.el7

         libgcrypt – 1.5.3-14.el7

         gnutls – 3.3.26-9.el7

         gmp – 6.0.0-15.el7

         nettle – 2.7.1-8.el7

      3. En el directorio newpackages, ejecute

          yum - -nogpgcheck localinstall *.rpm

Las URL de los paquetes utilizados para esta instalación son:

Preinstall:

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-util-3.28.4-3.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-tools-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-sysinit-3.28.4-15.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-softokn-freebl-3.28.3-8.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nss-softokn-3.28.3-8.el7_4.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssl-1.0.2k-8.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssl-libs-1.0.2k-8.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-7.4p1-11.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-clients-7.4p1-11.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/openssh-server-7.4p1-11.el7.x86_64.rpm

Newpackages:

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/libreswan-3.20-3.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/libgcrypt-1.5.3-14.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/gnutls-3.3.26-9.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/gmp-6.0.0-15.el7.x86_64.rpm

http://linuxsoft.cern.ch/cern/centos/7/updates/x86_64/Packages/nettle-2.7.1-8.el7.x86_64.rpm

Instalación de validación initramfs y módulo FIPS del núcleo

Realice este procedimiento como raíz:

1. Vuelva a generar dracut:

   dracut -f -v

2. Agregue el argumento fips al final de la línea de comandos de inicio del núcleo por defecto:

   1. Edite /etc/default/grub

   2. Al final de la línea que comienza por "GRUB_CMDLINE_LINUX," agregue

      fips=1 

      dentro de las comillas dobles del comando.

   3. Guarde el resultado.

3. Genere un nuevo grub.cfg:

   grub2-mkconfig -o /etc/grub2-efi.cfg

Configure SSH para limitar los algoritmos de cifrado

1. Sudo para raíz.

2. Edite /etc/ssh/sshd_config.

3. Agregue las siguientes líneas al final del archivo:

   Protocol 2
   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc,aes192-cbc,aes256-cbc
   Macs hmac-sha1
   

4. Reinicie la instancia.
5. Después de reiniciar la instancia, valide que se haya activado el modo FIPS en el núcleo:

   1. Sudo para raíz.

   2. Ejecute el siguiente comando:

      cat /proc/sys/crypto/fips-enabled

      El resultado debería ser '1'.

Para proteger más los sistemas CentOS7/RHEL 7. x según lo exigido por las instrucciones individuales de la organización, siga la lista de comprobación incluida en la guía de OpenSCAP. Encontrará esta guía en: https://static.open-scap.org/ssg-guides/ssg-centos7-guide-index.html

Encontrará la guía STIG para evaluar la conformidad en varios perfiles aquí: https://iase.disa.mil/stigs/os/unix-linux/Pages/index.aspx. Utilice la guía STIG de Red Hat Linux 7.x para las versiones de CentOS 7.5.

Fase 1 (ISAKMP)

Fase 2 (IPSec)

Creación de solicitudes de servicio

Para crear una solicitud de servicio para la nube del Gobierno de EE. UU. y la nube de defensa de EE. UU.:

1. Vaya a My Oracle Support y conéctese.

   Si no está conectado a los Servicios de Soporte Oracle Cloud, haga clic en Cambiar a Cloud Support en la parte superior de la página.

2. En la parte superior de la página, haga clic en Solicitudes de servicio.
3. Haga clic en Crear solicitud de servicio técnica.
4. Seleccione lo siguiente de los menús que se muestran:
   • Tipo de servicio: seleccione Oracle Cloud Infrastructure en la lista.
   • Nombre de servicio: seleccione la opción adecuada para su organización.
   • Tipo de problema: seleccione Aprovisionamiento de cuentas, facturación y finalización y, a continuación, Aumento de límite en el submenú.
5. Introduzca su información de contacto.
6. Introduzca una descripción y, a continuación, introduzca los campos necesarios específicos del problema. Si un campo no se aplica, puede introducir n/a.

Para obtener ayuda con cualquiera de los campos generales de la solicitud de servicio o para obtener información sobre la gestión de solicitudes de servicio, haga clic en Ayuda en la parte superior de la página de Soporte de Oracle Cloud.

Buscar ID de Oracle Cloud Infrastructure

Utilice los siguientes consejos para encontrar fácilmente los identificadores que se le pueden solicitar:

Uso de My Oracle Support por primera vez

Para poder crear solicitudes de servicio con My Oracle Support, debe tener una cuenta de Oracle Single Sign-On (SSO) y debe registrar el Identificador de Soporte del Cliente (ISC) con My Oracle Support.