第3章 Targeted ポリシー

手順3.1 SELinux の状態を確認する方法

1. SELinux が有効になり、Enforcing モードで実行されていること、および Targeted ポリシーが使用されていることを確認します。正しい出力は以下のようになります。

   ~]$ sestatus
   SELinux status:                 enabled
   SELinuxfs mount:                /sys/fs/selinux
   SELinux root directory:         /etc/selinux
   Loaded policy name:             targeted
   Current mode:                   enforcing
   Mode from config file:          enforcing
   Policy MLS status:              enabled
   Policy deny_unknown status:     allowed
   Max kernel policy version:      30

   SELinux モードの変更に関する詳細は、「SELinux のステータスおよびモードの永続的変更」 を参照してください。
2. root として、/var/www/html/ ディレクトリーにファイルを作成します。

   ~]# touch /var/www/html/testfile

3. 以下のコマンドを入力して、新規作成されたファイルの SELinux コンテキストを表示します。

   ~]$ ls -Z /var/www/html/testfile
   -rw-r--r--  root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/testfile
   

   デフォルトでは、Linux ユーザーは Red Hat Enterprise Linux で制限なしで実行されます。そのため、testfile ファイルには SELinux unconfined_u ユーザーのラベルが付けられます。RBAC は、ファイルではなくプロセスに使用されます。ロールには意味がありません。object_r ロールはファイル (永続ストレージおよびネットワークファイルシステム上) に使用される汎用ロールです。/proc ディレクトリー下では、プロセスに関連するファイルは system_r ロールを使用する場合があります。httpd_sys_content_t タイプを使用すると、httpd プロセスがこのファイルにアクセスできるようになります。

手順3.2 競合するプロセスの例

1. root で httpd デーモンを起動します。

   ~]# systemctl start httpd.service

   サービスが実行中であることを確認します。出力には以下の情報が含まれている必要があります (タイムスタンプのみは異なります)。

   ~]$ systemctl status httpd.service
   httpd.service - The Apache HTTP Server
   	  Loaded: loaded (/usr/lib/systemd/system/httpd.service; disabled)
   	  Active: active (running) since Mon 2013-08-05 14:00:55 CEST; 8s ago
   

2. Linux ユーザーが書き込み権限を持つディレクトリーに移動し、以下のコマンドを入力します。デフォルト設定が変更されない限り、このコマンドは成功します。

   ~]$ wget http://localhost/testfile
   --2009-11-06 17:43:01--  http://localhost/testfile
   Resolving localhost... 127.0.0.1
   Connecting to localhost|127.0.0.1|:80... connected.
   HTTP request sent, awaiting response... 200 OK
   Length: 0 [text/plain]
   Saving to: `testfile'
   
   [ <=>                              ] 0     --.-K/s   in 0s
   
   2009-11-06 17:43:01 (0.00 B/s) - `testfile' saved [0/0]
   

3. chcon コマンドによってファイルが再ラベル付けされます。ただし、このようなラベルの変更は、ファイルシステムの再ラベル付け時に維持されません。ファイルシステムの再ラベル付け後も存続する永続的な変更については、semanage ユーティリティーを使用します。これについては後述します。root で以下のコマンドを実行して、タイプを Samba が使用するタイプに変更します。

   ~]# chcon -t samba_share_t /var/www/html/testfile

   以下のコマンドを入力して、変更を表示します。

   ~]$ ls -Z /var/www/html/testfile
   -rw-r--r--  root root unconfined_u:object_r:samba_share_t:s0 /var/www/html/testfile
   

4. 現在の DAC パーミッションでは、httpd プロセスが testfile にアクセスできるようになります。ユーザーの書き込み権限があるディレクトリーに移動し、以下のコマンドを入力します。デフォルト設定が変更されない限り、このコマンドは失敗します。

   ~]$ wget http://localhost/testfile
   --2009-11-06 14:11:23--  http://localhost/testfile
   Resolving localhost... 127.0.0.1
   Connecting to localhost|127.0.0.1|:80... connected.
   HTTP request sent, awaiting response... 403 Forbidden
   2009-11-06 14:11:23 ERROR 403: Forbidden.
   

5. root で testfile を削除します。

   ~]# rm -i /var/www/html/testfile

6. httpd を実行する必要がない場合は、root で以下のコマンドを実行して停止します。

   ~]# systemctl stop httpd.service