Conversation
…ecks (#20) - main/account/file/service.yml을 check_mode 블록으로 격리해 include_tasks 전파에 의존하지 않고 report 모드 변경을 role 차원에서 차단 - 변경 유발 shell(.rhosts 제거, world-writable 제거, 고아 파일, 홈 환경파일)을 [점검](read-only) / [조치](apply 전용)로 분리 - main.yml에 id -u 권한 사전 판정(os_security_privileged) 추가, /root 접근 항목은 비특권 시 [검사 불가]로 명확히 보고 - 재시작 핸들러 4종에 check_mode 적용 - pam-auth-update를 apply + 조건부로만 실행하여 반복 실행 멱등성 확보
#20) - 실행 모드 변수(apply_policy) 섹션 및 [점검]/[조치]·[검사 불가] 동작 문서화 - 구현 task 표에 main.yml, handlers/main.yml 추가 및 account/file/system 설명 갱신 - 적용 시 변경점(pam-auth-update 조건 실행, timedated 재기동) 반영 - 계정 정책 변수 표의 중복 행을 sshd_password_authentication으로 수정
This was referenced Jul 21, 2026
Closed
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
2 participants
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
💡 설명
os-security role의 이슈 #20 을 해결합니다. report 모드에서 실제 변경이 발생하고
/root 권한 항목이 오류로 실패하던 문제를, 호출 경로와 무관하게 report 모드 변경이
차단되고 권한 부재 항목은 '검사 불가'로 보고되도록 수정했습니다.
✅ 작업 상세 내용
📝 추가 설명(선택)
timesyncd (#19)와 물리적으로 같은 파일인 system.yml은 #19 에서 다룹니다.
README는 파일 충돌을 피하기 위해 본 PR에만 포함하며, #19 의 보고 동작까지 함께
문서화되어 있습니다. 두 PR은 손대는 파일이 겹치지 않아 머지 순서와 무관합니다.
📚 참고 자료(선택)