RHEL 加固与合规工具
RHEL 的合规工位在 EL 通用工具（OpenSCAP/scap-security-guide）之上，多了两条订阅环境专属的路径：安装器预置安全 profile、Satellite 的批量合规管理。
合规标准的平台化路径
Section titled “合规标准的平台化路径”官方对 Satellite 的定位包含使系统持续符合各类安全标准——批量环境的合规扫描与报告经 Satellite 集中管理，单机则用本机 SCAP 工具。两条路径用的是同一套内容（scap-security-guide 的档案）。
基线档案怎么选
Section titled “基线档案怎么选”scap-security-guide 提供 OSPP、PCI-DSS、DISA STIG、CIS 等档案，选档案先问审计方认哪个口径。安装器内可直接预置 profile（安装时的「安全策略」页），比装后整改成本低得多。
sudo dnf install openscap-scanner scap-security-guidesudo oscap xccdf eval --profile ospp --results results.xml /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml安装两条订阅仓库内的包（openscap-scanner 与 scap-security-guide，见 AppStream）后即可用 oscap 对着选定的档案做评估：扫描 → 按失败项风险排序修复 → 复扫留档。工具用法与档案差异的通用说明见枢纽的 OpenSCAP 指南。
合规扫描必然出现「无法修复」的失败项（业务依赖、硬件限制）。例外管理三要素：书面例外理由、补偿性控制、复核日期。例外登记在审计口径内留档，而不是在扫描工具里忽略了事。
修复与例外都登记后复扫：同一档案、同一口径，把结果与上一次对比留档。批量环境的扫描排成定时任务，见自动化与批量管理。
- 安全公告与 errata — CVE 修复
- 运维基线 — 留痕要求
- 枢纽：OpenSCAP 指南