大型安装环境中使用rpm和yum进行应用程序安装

Question 1

在我们讨论解决方案之前，先简单介绍一下贵公司的安全标准。简而言之，这些标准很难实施，而且过时得几乎毫无意义。

很明显他们很难合作，所以我就不再多说了。

至于过时，很明显他们没有考虑到虚拟化、Linux 功能、容器、SELinux 等现代技术，所有这些技术都有助于以更优雅的方式解决相同的安全问题并且可用方法。

举例来说，将 httpd 绑定到高端口，然后使用 iptables 将流量重定向到该端口，而不是像默认情况下那样简单地让其绑定然后放弃权限，这近乎偏执，而且几乎没有任何好处。它还使 SELinux 与 httpd 一起使用变得复杂，因为这种设置不是在 httpd SELinux 策略的设计中设想的。

同样，只是盲目地要求软件包自行塞入/opt或/usr/local安装不会给您带来任何好处，因为无论软件包安装在何处，RPM 已经保持了您所需的分离（除非软件包损坏，第三方供应商软件包可能就是这种情况，但这种软件包会拒绝安装）并且失去了标准遵从性，可能使相关的 SELinux 策略无法使用，并造成维护噩梦。Red Hat 软件合集是按照这样的思路设计的，虽然存在一些可用性问题，按照此设计构建你自己的包可以作为你在处理实际问题时的权宜之计。

不过，我认为最大的问题是维护一台或多台“大型”服务器，每个人的应用程序都并行运行在这些服务器上。仅这一点就带来了自身的安全问题，这可能是这些“安全做法”的起源。虚拟化目前已经相当成熟，只需将应用程序分离到自己的虚拟机中，例如RHEL 6 或 RHEL 7 上的 KVM，将要消除需要对于大多数这些“安全措施”

按照这个思路，由于你几乎肯定有大量的申请，使用 OpenStack 创建私有云可能是短期至中期的最佳选择。这些将使用 RHEL 7 主机并运行 RHEL 7、6 甚至 5 个客户机，因为您可能有许多客户机仍在运行。它还将为您提供一个平台，让您可以安全地试验新的应用程序和操作系统，以及更轻松地按业务单位、部门等分配资源。

如果虚拟化对于某些事情来说太过沉重，那么就转向容器（例如RHEL 7 上的 LXC/Docker)。这些容器的重量要轻得多，可以剥离到几乎只剩下应用程序包本身，然后使用它们自己的文件系统、网络和 uid/gid 命名空间进行隔离，从而有效地将它们与任何其他容器隔离开来，除非您恰好在相应的防火墙中打开了任何内容。将 SELinux 添加到 KVM 虚拟机或 Linux 容器中可提供第二层保护，只需单击一下即可打开。

此外，如果您开始向公司提供 OpenStack 和/或 Docker，您的公司将充满开发人员，他们会永远爱您。

简而言之，现在是时候评估现代 Linux 发行版及其提供的功能，并根据这些功能重新评估所有安全实践。

至于许可，Red Hat 现在提供无限虚拟化许可，允许您运行无限的 RHEL VM/容器，当然还有 CentOS，它将在 99.9% 的时间里取代 RHEL。所以这没什么可说的。

Answer

在我们讨论解决方案之前，先简单介绍一下贵公司的安全标准。简而言之，这些标准很难实施，而且过时得几乎毫无意义。

很明显他们很难合作，所以我就不再多说了。