13.6. fapolicyd に関連する問題のトラブルシューティング

fapolicyd フレームワークは名前空間とコンテナーを完全にサポートしていないため、コンテナーを実行しているシステムでは回避策を使用する必要があります。fapolicyd が原因でコンテナーの起動に失敗するのを防ぐため、/etc/fapolicyd/ rules.d/25-runc.rules ファイルを作成し、以下の内容を記述してください。

allow perm=any pattern=ld_so exe=/usr/bin/runc : all
allow perm=any uid=0 pattern=ld_so exe=/runc : trust=1

ファイルを保存し、fagenrules スクリプトを実行してから、fapolicyd-cli --reload-rules コマンドを入力して変更を適用します。または、/etc/fapolicyd/ fapolicyd.conf ファイルの watch_fs オプションから tmpfs の 値を削除し、systemctl restart fapolicyd コマンドを使用して fapolicyd サービスを再起動することもできますが、この方法ではシステムのセキュリティーが低下します。

rpm コマンドを使用してアプリケーションをインストールする場合は、fapolicyd RPM データベースを手動で更新する必要があります。

fapolicyd が正しく機能しない場合は、サービスステータスを確認します。

# systemctl status fapolicyd

--check-config、--check-watch_fs、および --check-trustdb オプションは、構文エラー、まだ監視されていないファイルシステム、およびファイルの不一致を見つけるのに役立ちます。次に例を示します。

# fapolicyd-cli --check-config
Daemon config is OK

# fapolicyd-cli --check-trustdb
/etc/selinux/targeted/contexts/files/file_contexts miscompares: size sha256
/etc/selinux/targeted/policy/policy.31 miscompares: size sha256

デバッグモードは、一致したルール、データベースステータスなどに関する詳細情報を提供します。fapolicyd をデバッグモードに切り替えるには、以下を行います。

fapolicyd データベースに関連する問題を解決するには、データベースファイルを削除してください。

# systemctl stop fapolicyd
# fapolicyd-cli --delete-db

fapolicyd には、有効なすべての信頼ソースからのエントリーが含まれます。データベースをダンプした後にエントリーを確認できます。

# fapolicyd-cli --dump-db