在 SLES 15 上啟用 FIPS 模式並驗證啟動狀態

如果缺少 FIPS 狀態，請將啟動設定與合規性分開。

即使伺服器擁有者已安裝安全性更新或選擇了強化設定文件，伺服器仍可能報告 FIPS 模式已關閉。在 SUSE Linux Enterprise Server 15 SP7 上，SUSE 官方文件中建議的方法是：安裝系統所需的 FIPS 支持，運行 `fipconfig` 命令fips-mode-setup --enable，重啟系統，然後使用 `fipconfig` 命令確認狀態fips-mode-setup --check。此設定會更改系統加密策略和啟動配置；但它本身並不能證明工作負載或整個作業系統符合合規性要求。

舉例說明：假設一個虛擬的維運團隊正在為一項內部服務準備一台 SLES 15 SP7 伺服器，該服務需要符合 FIPS 標準的加密演算法。團隊擁有維護視窗和控制台存取權限，但他們尚不清楚舊版用戶端是否使用了不相容的演算法。這說明在更改生產主機之前，需要驗證確切的需求並測試依賴關係——但這並非實際部署或測試的證據。

1. 確認發布版本和要求

首先確定服務包和架構。 SLES 15 的不同服務包之間可能存在指令和軟體包差異，因此請勿在未查閱對應版本的 SUSE 文件的情況下，將 SP7 的步驟複製到 SP4、SP5 或 SP6 上。

cat /etc/os-release
uname -m

對於範例伺服器，團隊會記錄已安裝的 SLES 版本，檢查其變更窗口，並確認如果重新啟動失敗，可以透過控制台或經批准的遠端管理路徑進行恢復。 FIPS 可能會拒絕應用程式仍需要的加密演算法或協定。請安排時間檢查使用 TLS、SSH、檔案共用、Java、資料庫或其他加密庫的應用程式。

此外，也要明確評估人員的實際要求。 FIPS 140-3 驗證適用於特定配置下的加密模組；啟用作業系統模式並不等同於驗證每個模組、應用程式或部署。 SUSE 的 SLES 15 SP7 指南指出，SP7 不會提交給 NIST 進行 FIPS 140-3 認證。 SUSE 會單獨發布已驗證模組和配置的資訊。如果合約要求使用特定的已驗證模組，請在繼續操作之前，根據 SUSE 的認證材料和NIST CMVP 證書記錄，確認具體的模組、版本、運行環境和證書。

2. 準備支援的 FIPS 組件

SUSE 建議patterns-base-fips為全新安裝選擇此模式。如果您要變更正在執行的系統，SUSE 警告可能需要進行其他調整，包括重新產生金鑰和審核設定。請將現有主機視為受控更改，而不是一鍵認證。

檢查安裝程式是否存在：

command -v fips-mode-setup
rpm -q crypto-policies-scripts

該crypto-policies-scripts軟體包提供fips-mode-setup但可能未安裝。如果未安裝，請從系統授權的 SLES 軟體倉庫安裝：

sudo zypper install crypto-policies-scripts

如果對儲存庫存取權、軟體包可用性或所需的 FIPS 軟體包有任何疑問，請停止操作，並使用與您的服務包完全匹配的支援管道和認證指南。切勿使用舊的部落格指令或手動新增從其他 SLES 版本複製的核心參數。 SUSE 目前的 SP7 說明使用 setup 公用程式來套用原則並配置啟動程序。

3. 啟用FIPS模式並重啟

主機依照本機原則備份完畢、相依性已審核、且維護視窗已啟用後，啟用此模式：

sudo fips-mode-setup --enable

查看該實用程式的輸出。 SUSE 文件顯示，它會設定 FIPS 加密策略，並提示需要重新啟動。重新啟動是此過程的一部分，因為 initramfs 和啟動配置必須反映新的模式。不要將重啟前命令成功返回視為運行核心已在 FIPS 模式下運行的證據。

僅當確認服務受到影響且已取得恢復權限後才重新啟動：

sudo systemctl reboot

對於虛擬維運團隊而言，應用程式擁有者會在變更視窗期間在場，並在伺服器復原後執行約定的冒煙測試。如果伺服器位於遠端且不存在復原路徑，則應先建立復原路徑或延遲變更。 FIPS 限制可能會在啟動或服務啟動時暴露不受支援的加密演算法。

4. 驗證模式，然後驗證工作負載

系統完全重新啟動後，執行 SUSE 的狀態檢查：

sudo fips-mode-setup --check

為了成功配置 SP7，SUSE 文件會輸出 FIPS 模式已啟用、initramfs FIPS 模組已啟用，且目前加密策略基於 FIPS 政策的資訊。請將實際輸出與您已安裝服務包的文件進行比較；不要僅依賴設定檔或重新啟動完成此事實。

您也可以查詢該實用程式的啟用狀態：

sudo fips-mode-setup --is-enabled

SUSE 文件中將此描述為 FIPS 停用或模式不一致時傳回非零結果的狀態檢查。在自動化測試中，應使用退出狀態，而不是搜尋格式不規範的輸出。然後測試與需求相關的服務：使用已批准的 SSH 方法進行身份驗證，與代表性端點建立 TLS 連接，並執行特定於應用程式的健康檢查。服務處於活動狀態並不代表它使用了已批准的加密模組或配置。

SUSE 指南中有一個關於 Samba/CIFS 相容性的範例：在 FIPS 環境中，應使用 Kerberos 驗證，因為其他 Samba 驗證模式包含 MD5。僅當主機提供或使用 Samba 服務時才套用此指南；否則，請專注於實際相關的協定和程式庫。

5. 在不削弱要求的前提下解決故障

如果--check報告顯示 FIPS 未啟用，請查看完整的命令輸出並確認是否已執行所需的重新啟動操作。檢查已安裝的版本和軟體包集，然後查閱對應的 SUSE 指南。如果報告顯示該模式已啟用但應用程式運行失敗，請檢查該應用程式的日誌並確定其嘗試使用的演算法或模組。使用已核准的選項取代或重新配置相依項，或從合規性負責人處取得已記錄的例外情況。

不要僅僅為了讓舊客戶端能夠正常運作而切換回寬鬆的加密策略，同時又聲稱符合 FIPS 標準。如果必須回滾，請使用組織的事件處理和審批流程；sudo fips-mode-setup --disable遵循 SUSE 文檔，然後重新啟動系統以停用該模式。回滾後，請重新評估合規性狀態。

在完成變更之前，請將服務包標識、軟體包資訊、命令輸出、重新啟動記錄和應用程式測試結果儲存到系統的變更記錄中。在範例場景中，這些證據可以幫助團隊區分三個不同的事實：主機報告已啟用 FIPS 模式、預期服務功能正常以及所選加密模組符合合規性要求。只有負責的評估人員才能決定這些事實是否符合適用的控制要求。

有關權威程序和特定版本注意事項，請參閱SUSE Linux Enterprise Server 15 SP7 安全性和加固指南、SUSE FIPS 認證資訊以及適用的NIST 加密模組驗證程序記錄。