如何在 SUSE Linux Enterprise Server 15 上啟用 FIPS 模式

在 SUSE Linux Enterprise Server 15 上，請使用 SUSE 的fips-mode-setup工作流程設定 FIPS 加密策略和啟動設置，然後重新啟動並驗證結果。請勿將單一核心標誌視為合規性的證明：FIPS 模式只是合規部署的一部分，經過驗證的加密模組和軟體包版本必須與適用​​於您系統的要求相符。

本程序遵循 SUSE SLES 15 SP7 安全和加固指南，該指南是截至 2026 年 10 月 6 日審查的最新 SLES 15 服務包文件。軟體包的可用性和認證狀態可能會因服務包、架構、儲存庫和支援合約而異。

快速參考

啟用 FIPS 模式之前

FIPS 140 驗證加密模組及其已核准的設定；它並非針對整個伺服器的通用安全性評級。請確認您的合規機構要求的確切 SLES 服務包、架構、加密模組和應用程式。 SUSE 的 SLES 15 SP7 指南指出，SP7 不會提交 NIST FIPS 140-3 認證。該指南還指出，認證可能涉及特定的二進位和版本。因此，在 SP7 上啟用該模式並不表示作業系統或所有應用程式都已通過 FIPS 140-3 認證。在提出合規性聲明之前，請查看 SUSE 目前的認證資訊以及您的評估機構的要求。

SUSE 建議僅在合規性規則要求時才啟用 FIPS。 FIPS 限制可能會導致舊演算法無法運行，或導致應用程式和整合停止工作；更新也可能影響功能。請先在代表性系統上進行測試。安排停機時間，確保您擁有控制台或帶外存取權限，確認目前備份可用，並記錄復原路徑。如果伺服器位於遠端，請在變更啟動配置之前驗證您是否可以存取其啟動控制台。

在已安裝的 SLES 15 系統上啟用 FIPS 模式

1. 確認服務包和儲存庫

記錄平台詳細信息，並驗證伺服器是否可以存取其支援的 SUSE 軟體倉庫：

cat /etc/os-release
uname -m
sudo zypper refresh

請檢查儲存庫配置是否與已註冊的 SLES 產品和服務包相符。請勿新增不相關的儲存庫以取得名稱相似的軟體包；認證取決於正確的供應商軟體包、版本和配置。

2. 如有需要，安裝 FIPS 模式和設定實用程式

SUSE 建議在新安裝的系統上安裝此patterns-base-fips模式。在現有伺服器上，請在確認操作前檢查模式和軟體包的變更。提供的命令fips-mode-setup由 SUSE 提供crypto-policies-scripts，可能預設未安裝。啟用正確的 SLES 軟體倉庫後，如果缺少所需的元件，請安裝它們：

sudo zypper install patterns-base-fips crypto-policies-scripts

如果您的服務包透過 YaST 軟體顯示 FIPS 模式，您可以從中選擇它，並從支援的儲存庫安裝安裝套件。請檢查 zypper 提出的依賴項變更；如果這些變更會移除必要的軟體包或將系統切換到不支援的來源，請停止操作。

3. 啟用 FIPS 配置

以 root 使用者身分執行 SUSE 提供的命令sudo：

sudo fips-mode-setup --enable

此實用程式用於配置係統策略和啟動設定。 SUSE 文件中的範例報告稱，系統策略已設定為 FIPS，並提示重新啟動。如果命令報告該實用程式缺失，請crypto-policies-scripts從正確的軟體倉庫安裝或修復，而不是手動編輯各種加密策略檔案。

對於單獨管理引導程式配置的變更控制環境，此實用程式支援此選項--no-bootcfg。此選項會列印需要新增的引導參數，而不是重新配置引導程式。請按照輸出結果和您平台的引導程式步驟進行操作。 SUSE 指出 IBM Z 系統有例外：該指令仍會嘗試執行，zipl因為省略該指令可能會導致系統無法啟動。

4. 重新啟動並驗證

在維護視窗期內重啟：

sudo reboot

伺服器恢復後，檢查完整狀態：

sudo fips-mode-setup --check

在 SLES 15 SP7 上，SUSE 的範例輸出確認 FIPS 模式已啟用，initramfs FIPS 模組已啟用，且目前加密策略基於 FIPS 政策。您也可以檢查核心指示器：

cat /proc/sys/crypto/fips_enabled

此值1表示內核 FIPS 標誌已啟動。請將其視為額外的診斷訊息，而非替代fips-mode-setup --check或審查已驗證的模組和應用程式配置。服務可能擁有自己的加密庫、策略或合規性要求。

檢查應用程式和集成

運行能夠反映系統實際作用的功能測試。測試與所需對等方的 TLS 連線、使用已核准演算法的 SSH 存取、憑證操作、排程任務、備份、目錄驗證以及任何資料庫或應用程式加密。檢查應用程式日誌，尋找指示演算法或金鑰長度不可用的錯誤。透過受支援的配置流程更新依賴已停用加密的客戶端或整合。

SUSE 指南中明確指出，Samba/CIFS 存在問題：在符合 FIPS 標準的網路中，應使用 Kerberos 驗證。該指南解釋說，Samba 的其他身份驗證模式包括 MD5，而 FIPS 規則不支援 MD5 身份驗證。在切換生產系統之前，請務必與目錄和儲存管理員確認身份驗證路徑。

故障排除檢查點

• 找不到該指令：crypto-policies-scripts請從已註冊的 SLES 儲存庫安裝，然後重試。
• 檢查結果顯示狀態不一致：請同時檢查啟動命令列、initramfs 狀態和加密策略。不要僅依賴/proc/sys/crypto/fips_enabled.
• 系統無法正常啟動：請使用控制台或您已記錄的復原方法，並還原先前的啟動設定。在嘗試手動調整核心參數之前，請先查閱特定服務包的支援指南。
• 應用程式停止連線：請確定被拒絕的協定、演算法、金鑰長度或函式庫。將對等方或應用程式更新為已批准的配置；未經合規性批准，請勿削弱系統策略以忽略此錯誤。

當需求改變時，請停用 FIPS 模式

如果需要回滾，SUSE 文件中提供了該命令：

sudo fips-mode-setup --disable

重啟後運行命令sudo fips-mode-setup --check以確認最終狀態。停用 FIPS 模式不會自動撤銷遷移過程中所做的所有應用程式、金鑰或設定變更。請單獨檢查這些變更並記錄最終系統狀態。

實際完成清單

• SLES 服務包和架構已記錄在案，其認證狀態與實際合規性要求相符。
• FIPS 模式和設定實用程式來自該產品的支援儲存庫。
• fips-mode-setup --enable操作完成，伺服器已重啟，並fips-mode-setup --check報告預期組件已啟動。
• 應用程式、網路、SSH、備份和身分驗證測試均已通過，且均採用已核准的演算法。
• 已與合規負責人審查了確切的已驗證模組、二進位檔案、軟體包版本和運行證據。

官方參考資料

• SUSE SLES 15 SP7 安全加固指南：實現符合 FIPS 140-3 標準
• SUSE SLES 15 SP5 安全加固指南：FIPS 狀態與設定
• SUSE SLES 15 GA 版本說明：libica FIPS 140-2 模式與fips=1參數
• SUSE 安全認證與驗證產品
• NIST 密碼模組驗證程式