3.2. 制限のないプロセス

手順3.3 制限のないプロセスの例

1. chcon コマンドによってファイルが再ラベル付けされます。ただし、このようなラベルの変更は、ファイルシステムの再ラベル付け時に維持されません。ファイルシステムの再ラベル付け後も存続する永続的な変更については、semanage ユーティリティーを使用します。これについては後述します。root ユーザーとして以下のコマンドを実行し、タイプを Samba が使用するタイプに変更します。

   ~]# chcon -t samba_share_t /var/www/html/testfile

   Copy to Clipboard Toggle word wrap
   変更を表示します。

   ~]$ ls -Z /var/www/html/testfile
   -rw-r--r--  root root unconfined_u:object_r:samba_share_t:s0 /var/www/html/testfile

   Copy to Clipboard Toggle word wrap
2. 以下のコマンドを実行して、httpd プロセスが実行されていないことを確認します。

   ~]$ systemctl status httpd.service
   httpd.service - The Apache HTTP Server
      Loaded: loaded (/usr/lib/systemd/system/httpd.service; disabled)
      Active: inactive (dead)

   Copy to Clipboard Toggle word wrap
   出力が異なる場合は、root で以下のコマンドを実行して、httpd プロセスを停止します。

   ~]# systemctl stop httpd.service

   Copy to Clipboard Toggle word wrap
3. httpd プロセスが制限なしで実行されるようにするには、root で以下のコマンドを実行して、/usr/sbin/httpd ファイルのタイプを、制限のあるドメインに移行しないタイプに変更します。

   ~]# chcon -t bin_t /usr/sbin/httpd

   Copy to Clipboard Toggle word wrap
4. /usr/sbin/httpd に bin_t タイプのラベルが付けられていることを確認します。

   ~]$ ls -Z /usr/sbin/httpd
   -rwxr-xr-x. root root system_u:object_r:bin_t:s0       /usr/sbin/httpd
   

   Copy to Clipboard Toggle word wrap
5. root で、httpd プロセスを開始して、正常に起動したことを確認します。

   ~]# systemctl start httpd.service

   Copy to Clipboard Toggle word wrap

   ~]# systemctl status httpd.service
   httpd.service - The Apache HTTP Server
      Loaded: loaded (/usr/lib/systemd/system/httpd.service; disabled)
      Active: active (running) since Thu 2013-08-15 11:17:01 CEST; 5s ago
   

   Copy to Clipboard Toggle word wrap
6. 以下のコマンドを入力して、unconfined_service_t ドメインで実行している httpd を表示します。

   ~]$ ps -eZ | grep httpd
   system_u:system_r:unconfined_service_t:s0 11884 ? 00:00:00 httpd
   system_u:system_r:unconfined_service_t:s0 11885 ? 00:00:00 httpd
   system_u:system_r:unconfined_service_t:s0 11886 ? 00:00:00 httpd
   system_u:system_r:unconfined_service_t:s0 11887 ? 00:00:00 httpd
   system_u:system_r:unconfined_service_t:s0 11888 ? 00:00:00 httpd
   system_u:system_r:unconfined_service_t:s0 11889 ? 00:00:00 httpd
   

   Copy to Clipboard Toggle word wrap
7. Linux ユーザーが書き込み権限を持つディレクトリーに移動し、以下のコマンドを入力します。デフォルト設定が変更されない限り、このコマンドは成功します。

   ~]$ wget http://localhost/testfile
   --2009-05-07 01:41:10--  http://localhost/testfile
   Resolving localhost... 127.0.0.1
   Connecting to localhost|127.0.0.1|:80... connected.
   HTTP request sent, awaiting response... 200 OK
   Length: 0 [text/plain]
   Saving to: `testfile'
   
   [ <=>                            ]--.-K/s   in 0s
   
   2009-05-07 01:41:10 (0.00 B/s) - `testfile' saved [0/0]

   Copy to Clipboard Toggle word wrap
   httpd プロセスは samba_share_t タイプのラベル付けされたファイルにアクセスできませんが、httpd は制限のない unconfined_service_t ドメインで実行され、DAC ルールの使用にフォールバックします。したがって、wget コマンドは成功します。httpd が制限のある httpd_t ドメインで実行されていた場合、wget コマンドは失敗していました。
8. restorecon ユーティリティーは、ファイルのデフォルトの SELinux コンテキストを復元します。root で次のコマンドを実行して、/usr/sbin/httpd のデフォルトの SELinux コンテキストを復元します。

   ~]# restorecon -v /usr/sbin/httpd
   restorecon reset /usr/sbin/httpd context system_u:object_r:unconfined_exec_t:s0->system_u:object_r:httpd_exec_t:s0
   

   Copy to Clipboard Toggle word wrap
   /usr/sbin/httpd に httpd_exec_t タイプのラベルが付けられていることを確認します。

   ~]$ ls -Z /usr/sbin/httpd
   -rwxr-xr-x  root root system_u:object_r:httpd_exec_t:s0 /usr/sbin/httpd

   Copy to Clipboard Toggle word wrap
9. root で次のコマンドを実行して httpd を再起動します。再起動したら、制限のある httpd_t ドメインで httpd が実行されていることを確認します。

   ~]# systemctl restart httpd.service

   Copy to Clipboard Toggle word wrap

   ~]$ ps -eZ | grep httpd
   system_u:system_r:httpd_t:s0    8883 ?        00:00:00 httpd
   system_u:system_r:httpd_t:s0    8884 ?        00:00:00 httpd
   system_u:system_r:httpd_t:s0    8885 ?        00:00:00 httpd
   system_u:system_r:httpd_t:s0    8886 ?        00:00:00 httpd
   system_u:system_r:httpd_t:s0    8887 ?        00:00:00 httpd
   system_u:system_r:httpd_t:s0    8888 ?        00:00:00 httpd
   system_u:system_r:httpd_t:s0    8889 ?        00:00:00 httpd
   

   Copy to Clipboard Toggle word wrap
10. root で testfile を削除します。

    ~]# rm -i /var/www/html/testfile
    rm: remove regular empty file `/var/www/html/testfile'? y
    

    Copy to Clipboard Toggle word wrap
11. httpd を実行する必要がない場合は、root で以下のコマンドを実行して httpd を停止します。

    ~]# systemctl stop httpd.service

    Copy to Clipboard Toggle word wrap