6.3. SELinux ポリシーの MLS への切り替え

手順

1. selinux-policy-mls パッケージをインストールします。

   # dnf install selinux-policy-mls

2. 任意のテキストエディターで /etc/selinux/config ファイルを開きます。以下に例を示します。

   # vi /etc/selinux/config

3. SELinux モードを Enforcing から Permissive に変更し、ターゲットポリシーから MLS に切り替えます。

   SELINUX=permissive
   SELINUXTYPE=mls

   変更を保存し、エディターを終了します。

4. MLS ポリシーを有効にする前に、MLS ラベルでファイルシステム上の各ファイルに再度ラベル付けする必要があります。

   # fixfiles -F onboot
   System relabels on next boot

5. システムを再起動します。

   # reboot

6. SELinux 拒否を確認します。

   # ausearch -m AVC,USER_AVC,SELINUX_ERR,USER_SELINUX_ERR -ts recent -i

   上記のコマンドはあらゆる状況に対応したものではありません。そのため、SELinux に関連する問題のトラブルシューティング を参照し、SELinux 拒否の特定、分析、修正のガイダンスを確認してください。

7. システムに SELinux に関連する問題がないことを確認したら、/etc/selinux/config で該当するオプションを変更して、SELinux を Enforcing モードに切り替えます。

   SELINUX=enforcing

8. システムを再起動します。

   # reboot

   重要

   システムが起動しなかったり、MLS に切り替えた後にログインできない場合は、enforcing=0 パラメーターをカーネルコマンドラインに追加します。詳細は、システム起動時の SELinux モードの変更 を参照してください。

   また、MLS では、sysadm_r SELinux ロールにマッピングされた root ユーザーとしての SSH ログインは staff_r で root としてログインするのとは異なります。MLS で初めてシステムを起動する前に、SELinux ブール値 ssh_sysadm_login を 1 に設定して、SSH ログインを sysadm_r として許可することを検討してください。後で ssh_sysadm_login を有効にするには、すでに MLS が有効な状態で、staff_r の root としてログインし、newrole -r sysadm_r コマンドを使用して sysadm_r の root に切り替え、ブール値を 1 に設定する必要があります。

検証

1. SELinux が Enforcing モードで実行されていることを確認します。

   # getenforce
   Enforcing

2. SELinux のステータスが mls の値を返すことを確認します。

   # sestatus | grep mls
   Loaded policy name:             mls