50.2.6. Enforcement の有効化または無効化
ランタイム時に SELinux 強制を有効または無効にしたり、コマンドラインまたは GUI を使用して、システムの起動時に正しいモードで開始するように設定できます。SELinux は、無効
の、つまりカーネルで有効ではないことを意味します。Permissive
は、SELinux が実行中およびログに記録されているが、パーミッションを制御していません。または、SELinux が実行中および強制ポリシーを意味します。
setenforce コマンドを使用して、実行時に Permissive モードと enforcing モードを切り替えます。setenforce 0 を使用して Permissive モードに入り、setenforce 1 を使用して Enforcing モードに入ります。
sestatus コマンドは、起動時に参照される設定ファイルの現在のモードとモードを表示します。
~]# sestatus | grep -i mode
Current mode: permissive
Mode from config file: permissive
ランタイムの適用を変更しても、ブート時間設定には影響がないことに注意してください。
~]# setenforce 1 ~]# sestatus | grep -i mode Current mode: enforcing Mode from config file: permissive
1 つのデーモンの Enforcing モードを無効にすることもできます。たとえば、
名前付きデーモンと SELinux のトラブルシューティングを行う場合は、そのデーモンのみの Enforcing をオフにできます。
getsebool コマンドを使用して、ブール値の現在のステータスを取得します。
~]# getsebool named_disable_trans
named_disable_trans --> off
以下のコマンドを使用して、このデーモンの enforcing モードを無効にします。
~]# setsebool named_disable_trans 1 ~]# getsebool named_disable_trans named_disable_trans --> on
注記
これにより、ランタイム値のみが設定されます。
-P オプションを使用して、再起動後も変更が永続化されるようにします。
on に設定されている *_disable_trans ブール値は、プロセスが実行時にドメインに移行しないように条件を呼び出します。
これらのブール値のうちどのブール値が設定されているかを調べるには、次のコマンドを使用します。
~]# getsebool -a | grep disable.*on
httpd_disable_trans=1
mysqld_disable_trans=1
ntpd_disable_trans=1
setsebool コマンドを使用して、任意の数のブール値を設定できます。
setsebool -P httpd_disable_trans=1 mysqld_disable_trans=1 ntpd_disable_trans=1
また、togglesebool < boolean_name> を使用して 特定のブール値の値を変更することもできます。
~]# getsebool httpd_disable_trans httpd_disable_trans --> off ~]# togglesebool httpd_disable_trans httpd_disable_trans: active
これらのすべての設定は、system-config-selinux を使用して設定できます。同じ設定ファイルが使用されるため、変更は双方向に表示されます。
ランタイムブール値の変更
以下の手順に従って、GUI を使用してランタイムのブール値を変更します。
注記
この手順を実行するには、管理者権限が必要です。
- メニューで を参照し、 をクリックして Security Level Configuration ダイアログボックスを表示します。
- SELinux タブをクリックし、SELinux ポリシーの変更 をクリックします。
- 選択リストで、Name Service エントリーの横にある矢印をクリックし、Disable SELinux protection for named daemon チェックボックスを選択します。
- をクリックして変更を適用します。ポリシーが再読み込みされるまでに少し時間がかかる場合があります。
図50.1 Security Level Configuration ダイアログボックスを使用してランタイムのブール値を変更します。
[D]
スクリプトでこれらの設定を制御する場合は、 setenforce (1)、getenforce (1)、および selinuxenabled (1) コマンドを使用でき ます。
