3.6. Confiner les utilisateurs réguliers

Procédure

1. Affiche la liste des enregistrements de connexion SELinux. La liste affiche les correspondances entre les utilisateurs Linux et les utilisateurs SELinux :

   # semanage login -l
   
   Login Name    SELinux User  MLS/MCS Range   Service
   
   __default__   unconfined_u  s0-s0:c0.c1023       *
   root          unconfined_u  s0-s0:c0.c1023       *

2. Mapper l'utilisateur __default__, qui représente tous les utilisateurs sans correspondance explicite, à l'utilisateur SELinux user_u:

   # semanage login -m -s user_u -r s0 __default__

Vérification

1. Vérifiez que l'utilisateur __default__ est associé à l'utilisateur SELinux user_u:

   # semanage login -l
   
   Login Name    SELinux User   MLS/MCS Range    Service
   
   __default__   user_u         s0               *
   root          unconfined_u   s0-s0:c0.c1023   *

2. Vérifiez que les processus d'un nouvel utilisateur s'exécutent dans le contexte SELinux user_u:user_r:user_t:s0.

   1. Créer un nouvel utilisateur :

      # adduser example.user

   2. Définir un mot de passe pour example.user:

      # passwd example.user

   3. Déconnectez-vous en tant que root et connectez-vous en tant que nouvel utilisateur.

   4. Affiche le contexte de sécurité pour l'ID de l'utilisateur :

      [example.user@localhost ~]$ id -Z
      user_u:user_r:user_t:s0

   5. Affiche le contexte de sécurité des processus en cours de l'utilisateur :

      [example.user@localhost ~]$ ps axZ
      LABEL                           PID TTY      STAT   TIME COMMAND
      -                                 1 ?        Ss     0:05 /usr/lib/systemd/systemd --switched-root --system --deserialize 18
      -                              3729 ?        S      0:00 (sd-pam)
      user_u:user_r:user_t:s0        3907 ?        Ss     0:00 /usr/lib/systemd/systemd --user
      -                              3911 ?        S      0:00 (sd-pam)
      user_u:user_r:user_t:s0        3918 ?        S      0:00 sshd: example.user@pts/0
      user_u:user_r:user_t:s0        3922 pts/0    Ss     0:00 -bash
      user_u:user_r:user_dbusd_t:s0  3969 ?        Ssl    0:00 /usr/bin/dbus-daemon --session --address=systemd: --nofork --nopidfile --systemd-activation --syslog-only
      user_u:user_r:user_t:s0        3971 pts/0    R+     0:00 ps axZ