Red Hat fapolicyd 对 InterSystems IRIS 的影响

用户经常会遇到 InterSystems IRIS 与 Red Hat 的文件访问策略守护进程（fapolicyd）之间的兼容性问题，后者是一种基于可信软件强制执行执行白名单的安全机制。 完整报告（链接见下文）解释道，fapolicyd 默认信任通过 RPM 安装的软件，而 InterSystems IRIS 则是通过基于 TAR 的安装程序分发的，因此默认会被视为不可信。 因此，当 fapolicyd 以默认模式启用时，由于所需的共享库被阻止，InterSystems IRIS 将无法初始化或运行。这种情况并非 InterSystems IRIS 本身的限制，而是信任配置导致的后果。通过使用自定义规则和信任数据库条目，一种经过验证的解决方案既能确保正常运行，又能维持安全控制。

所附报告展示了在 RHEL 8 和 RHEL 10 环境中，针对 x86_64 和 ARM64 平台进行的广泛测试结果，涵盖了多个 InterSystems IRIS 版本。验证过程分为四个阶段：基线模式、宽松模式、强制模式（默认）和强制模式（受信任）。 测试结果表明，InterSystems IRIS 在“基线”和“宽松”模式下运行正常，在“强制（默认）”策略下完全无法运行，而在应用“强制（受信任）”规则后则能成功运行。 测试涵盖了 13 个操作类别，包括安装、升级、数据库操作、Web 服务、文件管理和外部执行。研究发现，在实施推荐的信任配置后，性能未受到可测量的影响，且在经过验证的操作过程中未观察到 fapolicyd 拒绝的情况。

在配置了适当的信任规则和策略后，组织可以安全地将 InterSystems IRIS 与 fapolicyd 并行部署。分阶段的部署过程应从“宽松”模式开始，以识别潜在的拒绝情况，然后再切换到“强制”（受信任）模式。 应将 fapolicyd 守护进程与其他控制措施（如 SELinux、监控系统和集中日志记录）结合使用，以实现深度防御。其他安全配置包括规则优先级设置、信任数据库管理、故障排除，以及针对主机环境和容器（fapolicyd 在其中无法运行）的部署注意事项。总体而言，正确的配置可解决默认的不兼容问题，并确保 InterSystems IRIS 安全、全面地运行。

如需下载本文的完整 PDF 版本，请点击此处。有关 InterSystems IRIS 隐私与安全模型的更多信息，请参阅此处。