51.2.2. Type Enforcement (TE)ファイルの分析

cat コマンドを使用して、TE ファイルの内容を確認します。

~]# cat mysemanag.te
module mysemanage 1.0;

require {
	class fd use;
	type init_t;
	type semanage_t;
	role system_r;
};

allow semanage_t init_t:fd use;

TE ファイルは 3 つのセクションで設定されています。最初のセクションは、モジュール 名とバージョンを識別する module コマンドです。モジュール名は一意である必要があります。既存のモジュールの名前を使用して semanage モジュールを作成すると、システムは既存のモジュールパッケージを新たに作成したバージョンに置き換えることができます。モジュール行の最後の部分はバージョンです。semodule はモジュールパッケージを更新し、現在インストールされているバージョンに対して更新バージョンを確認できます。

TE ファイルの次のブロックは require ブロックです。これにより、このモジュールをインストールする前に、システムポリシーで必要なタイプ、クラス、およびロールについてポリシーローダーに通知します。これらのフィールドのいずれかが未定義の場合、semodule コマンドは失敗します。

最後に許可ルールです。この例では、semodule がファイル記述子にアクセスする必要がないため、この行を dontaudit に変更できます。