В SUSE Linux Enterprise Server 15 используйте стандартный рабочий процесс SUSE fips-mode-setupдля настройки политики криптографии FIPS и параметров загрузки, затем перезагрузите систему и проверьте результат. Не рассматривайте отдельный флаг ядра как доказательство соответствия: режим FIPS — это лишь часть соответствующего требованиям развертывания, и проверенные криптографические модули и версии пакетов должны соответствовать требованиям, применимым к вашей системе.
Данная процедура соответствует руководству SUSE по безопасности и усилению защиты для SLES 15 SP7, текущей документации по пакетам обновлений SLES 15, проверенной 6 октября 2026 года. Доступность пакета и статус сертификации могут различаться в зависимости от пакета обновлений, архитектуры, репозитория и договора на поддержку.
| Цель | Действие | индикатор успеха |
|---|---|---|
| Подготовка к новой установке | Установите patterns-base-fipsшаблон | Присутствуют пакеты, связанные с FIPS. |
| Включите конфигурацию системы | Бегатьsudo fips-mode-setup --enable | Инструмент сообщает, что режим FIPS будет включен. |
| Примените конфигурацию загрузки | Перезагрузите систему во время планового технического обслуживания. | Сервер возобновляет работу. |
| Проверьте результат. | Бегатьsudo fips-mode-setup --check | Проверки ядра, initramfs и криптографической политики FIPS пройдены успешно. |
Стандарт FIPS 140 проверяет криптографические модули и их утвержденные конфигурации; это не общая оценка безопасности для всего сервера. Уточните точный пакет обновлений SLES, архитектуру, криптографические модули и приложения, которые требуются вашему органу по сертификации. В руководстве SUSE по SLES 15 SP7 указано, что SP7 не будет представлен на сертификацию NIST FIPS 140-3. В руководстве также отмечается, что сертификация может включать конкретные бинарные файлы и версии. Поэтому включение этого режима на SP7 не означает, что операционная система или каждое приложение сертифицированы по стандарту FIPS 140-3. Перед подачей заявления о соответствии проверьте актуальную информацию о сертификации SUSE и требования вашего органа по сертификации.
SUSE рекомендует включать FIPS только в том случае, если этого требует правило соответствия. Ограничения FIPS могут привести к отклонению устаревших алгоритмов или к прекращению работы приложений и интеграций; обновления также могут повлиять на функциональность. Сначала протестируйте репрезентативную систему. Запланируйте время простоя, убедитесь в наличии доступа к консоли или внеполосному доступу, подтвердите наличие актуальной резервной копии и задокументируйте план восстановления. Если сервер находится удаленно, убедитесь, что вы можете получить доступ к его загрузочной консоли, прежде чем изменять конфигурацию загрузки.
Запишите данные о платформе и убедитесь, что сервер может получить доступ к поддерживаемым репозиториям SUSE:
cat /etc/os-release
uname -m
sudo zypper refreshУбедитесь, что конфигурация репозитория соответствует зарегистрированному продукту SLES и пакету обновлений. Не добавляйте несвязанный репозиторий для получения пакета с похожим именем; сертификация зависит от правильного выбора пакетов, версий и конфигурации поставщика.
SUSE рекомендует устанавливать patterns-base-fipsшаблон на новой установке. На существующем сервере перед подтверждением транзакции проверьте изменения шаблона и пакетов. Команда, которая предоставляет, fips-mode-setupпредоставляется crypto-policies-scriptsи может не быть установлена по умолчанию. При включенных правильных репозиториях SLES установите необходимые компоненты, если они отсутствуют:
sudo zypper install patterns-base-fips crypto-policies-scriptsЕсли ваш пакет обновлений поддерживает стандарт FIPS через YaST Software, вы можете выбрать его там и установить установочный пакет из поддерживаемого репозитория. Ознакомьтесь с предлагаемыми zypper изменениями зависимостей; остановитесь, если они приведут к удалению необходимых пакетов или переключению системы на неподдерживаемые источники.
Выполните предоставленную SUSE команду от имени root следующим образом sudo:
sudo fips-mode-setup --enableЭта утилита настраивает системную политику и параметры загрузки. В приведенном в документации SUSE примере сообщается, что системная политика устанавливается на уровень FIPS, и запрашивается перезагрузка. Если команда сообщает об отсутствии утилиты, установите или восстановите ее crypto-policies-scriptsиз соответствующего репозитория продукта, вместо того чтобы вручную редактировать различные файлы криптографической политики.
Для сред с контролируемым изменением, где конфигурация загрузчика управляется отдельно, утилита поддерживает параметр `--` --no-bootcfg. Этот параметр выводит параметры загрузки, которые необходимо добавить, вместо переконфигурации загрузчика. Следуйте выводу и процедуре настройки загрузчика вашей платформы. SUSE отмечает исключение для IBM Z: команда все еще пытается выполнить команду, ziplпоскольку ее пропуск может привести к невозможности загрузки системы.
Перезагрузите систему в режиме технического обслуживания:
sudo rebootПосле восстановления работы сервера проверьте его полный статус:
sudo fips-mode-setup --checkВ SLES 15 SP7 пример выходных данных SUSE подтверждает, что режим FIPS включен, модуль initramfs FIPS включен, и текущая криптографическая политика основана на политике FIPS. Вы также можете проверить индикатор ядра:
cat /proc/sys/crypto/fips_enabledЗначение 1указывает на то, что флаг FIPS ядра активен. Рассматривайте это как дополнительную диагностическую информацию, а не как замену fips-mode-setup --checkили проверку проверенных модулей и конфигурации приложения. Сервис может иметь собственную криптографическую библиотеку, политику или требования к соответствию стандартам.
Проведите функциональные тесты, отражающие реальную роль системы. Проверьте TLS-соединения с необходимыми узлами, доступ по SSH с использованием утвержденных алгоритмов, работу с сертификатами, запланированные задания, резервное копирование, аутентификацию каталогов, а также криптографию баз данных или приложений. Просмотрите журналы приложений на наличие ошибок, указывающих на недоступность алгоритма или размера ключа. Обновите клиенты или интеграции, зависящие от запрещенной криптографии, используя поддерживаемый ими процесс настройки.
Использование Samba/CIFS — это известный момент, упомянутый в руководстве SUSE: в сети, соответствующей стандарту FIPS, используйте аутентификацию Kerberos. В руководстве поясняется, что другие режимы аутентификации Samba включают MD5, который не поддерживается для аутентификации в соответствии с правилами FIPS. Перед переключением на производственные системы уточните путь аутентификации у администраторов каталогов и хранилищ.
crypto-policies-scriptsиз зарегистрированных репозиториев SLES, затем повторите попытку./proc/sys/crypto/fips_enabled.Если вам потребуется откатить изменения, SUSE задокументировала эту команду:
sudo fips-mode-setup --disableПосле этого перезагрузите систему, а затем запустите команду sudo fips-mode-setup --checkдля подтверждения полученного состояния. Отключение режима FIPS не отменяет автоматически все изменения приложений, ключей или конфигурации, внесенные во время миграции. Проанализируйте их отдельно и задокументируйте конечное состояние системы.
fips-mode-setup --enableПосле завершения процесса сервер перезагрузился и fips-mode-setup --checkсообщил об активности ожидаемых компонентов.fips=1параметрДля устранения разрывов изображения на экране, вызванных графикой Intel, в Pardus Linux проверьте совместимость X11 и Wayland, настройки композитора, частоту обновления, активный драйвер Xorg и используйте TearFree только при необходимости.
Настройте firewalld на SLES 15: проверьте зоны, разрешите службы или порты, сохраните постоянные правила, безопасно перезагрузите систему и проверьте доступ.
Включите функцию автоматического обновления ядра в режиме реального времени на SLES 15 SP7, применяйте поддерживаемые исправления без перезагрузки, проверяйте активные патчи и определяйте, когда все еще требуется перезапуск ядра.
Включите режим FIPS на SLES 15 с помощью поддерживаемой SUSE утилиты настройки, безопасно перезагрузите систему, проверьте состояние ядра и криптографической политики, а также проверьте ограничения сертификации.
Безопасная установка Google Chrome на Gooroom OS с использованием официальных .deb-пакетов, APT-проверки, проверок политик, инструкций по обновлению и исправлений для управляемых устройств.
Надежная пересылка системных журналов SLES на удаленный сервер syslog с использованием rsyslog, TLS-сертификатов, проверки имен узлов, очередей, валидации и тестирования.
Подключите SLES 15 к Active Directory с помощью SSSD, используя YaST. Подготовьте DNS и время, настройте вход в домен, проверьте Kerberos и сравните SSSD, Winbind и realmd.
Fix RTL8821CE Wi-Fi on Pardus Linux by checking the built-in rtw88 driver, Realtek firmware, rfkill, NetworkManager, and safe fallback options.
Диагностика и устранение ошибок разрешения DNS в Debian 12 с помощью systemd-resolved, включая resolv.conf, NetworkManager, networkd, cache и verification.
Установите Pardus 25.2 рядом с Windows 11, создав резервную копию, уменьшив размер тома Windows, загрузившись с USB-накопителя с поддержкой UEFI и защитив существующие разделы EFI и восстановления.
