工业级的 Linux 锁定，第 2 部分：只执行签名的二进制代码

级别： 中级

Gary V. Vaughan (gary@gnu.org), 自由开放源码开发人员和自由技术撰稿人, Azazil

2007 年 8 月 20 日

	现在注册或者使用您的 IBM ID 和密码登录。

本教程是含两部分的系列教程的第二部分，这个系列介绍了为何要锁定 Linux机器来理顺相关的支持和管理过程，本教程讲解如何对 Linux 内核进行配置，使其只执行签名的二进制代码。

在本教程中

本教程延续 第 1 部分 中的内容。第 1 部分解释了为何要对 Linux 的定制加强控制，并采取了一些预防步骤来锁定标准的 Linux 发布以阻止对基线安装的伪造用户更改。第 2 部分将构建一个内核，该内核只允许使用以一种受控方式引入到每个必须支持的机器中的签名的二进制程序，并由此完成这个锁定过程。

预备知识

本教程是为中高级 Linux 管理员设计的。您应该十分熟悉 Public Key Infrastructure（PKI），尤其是 GNU Privacy Guard（GPG），可熟练使用命令行 shell 并拥有 C 编程语言的实践经验。当然，您还必须已经阅读并理解了本教程系列的 第 1 部分。

系统需求

要跟随本教程的步骤进行学习，您必须拥有对 Linux 机器的 root 访问权，并能够任意重引导和破坏存储于此机器上的所有数据。您还必须有已经安装好的编译环境，并能够通过某种途径获得该发行版的 Linux 内核源代码和头文件，以及 第 1 部分 的教程源代码。

在我撰写本教程时，使用的是从安装 CD 安装的 Ubuntu Linux V6.10；但是，除了一些细微差别，任何您习惯使用的 Linux 发行版都应该可以。如果已经有了 VMware 副本，则无需再学习本教程的硬件和固件部分，VMware 的快照实用工具可以让您更加自由地实践，因为如果 Linux 安装在任何阶段停止了引导，您都可以及时返回到一个已知的正常状态，而根本无需借助急救盘来诊断和修复问题。

格式

回页首