3.2. Capacidades de los usuarios de SELinux

• Los usuarios de Linux en los dominios user_t, guest_t, y xguest_t sólo pueden ejecutar aplicaciones setuid si la política SELinux lo permite (por ejemplo, passwd). Estos usuarios no pueden ejecutar las aplicaciones setuid de su y sudo, y por lo tanto no pueden usar estas aplicaciones para convertirse en root.
• Los usuarios de Linux en los dominios sysadm_t, staff_t, user_t, y xguest_t pueden conectarse utilizando el sistema X Window y un terminal.

• Por defecto, los usuarios de Linux en los dominios staff_t, user_t, guest_t, y xguest_t pueden ejecutar aplicaciones en sus directorios personales y /tmp.

  Para evitar que ejecuten aplicaciones, que heredan los permisos de los usuarios, en directorios a los que tienen acceso de escritura, establezca los booleanos guest_exec_content y xguest_exec_content en off. Esto ayuda a evitar que aplicaciones defectuosas o maliciosas modifiquen los archivos de los usuarios.

• El único acceso a la red que tienen los usuarios de Linux en el dominio xguest_t es Firefox para conectarse a las páginas web.

• El usuario sysadm_u no puede iniciar sesión directamente utilizando SSH. Para habilitar los inicios de sesión SSH para sysadm_u, establezca el booleano ssh_sysadm_login en on:

  # setsebool -P ssh_sysadm_login on

  Copy to Clipboard Toggle word wrap

• webadm_r sólo puede administrar los tipos de SELinux relacionados con el servidor HTTP Apache.
• dbadm_r sólo puede administrar tipos de SELinux relacionados con la base de datos MariaDB y el sistema de gestión de bases de datos PostgreSQL.
• logadm_r sólo puede administrar los tipos de SELinux relacionados con los procesos syslog y auditlog.
• secadm_r sólo puede administrar SELinux.
• auditadm_r sólo puede administrar los procesos relacionados con el subsistema de Auditoría.

Recursos adicionales

• Para más información, consulte las páginas de manual seinfo(1), semanage-login(8), y xguest_selinux(8).