4.3. sVirt の設定
SELinux ブール値は、オン/オフ切り替えが可能な変数で、機能やその他の特殊条件を迅速に有効化/無効化することができます。ブール値は、一時的な変更の場合は
setsebool boolean_name {on|off}、再起動時に変更を永続化する場合は setsebool -P boolean_name {on|off} のいずれかを実行することによって切り替えることができます。
以下の表は、libvirt で始動された場合に KVM に影響する SELinux ブール値を示しています。これらのブール値 (オンまたはオフ) の現在の状態は、コマンド
getsebool -a|grep virt を実行することにより確認できます。
| SELinux のブール値 | 説明 |
|---|---|
| staff_use_svirt | staff ユーザーが sVirt ドメインを作成し、それに移行することを許可します。 |
| unprivuser_use_svirt | 非特権ユーザーが sVirt ドメインを作成し、それに移行することを許可します。 |
| virt_sandbox_use_audit | サンドボックスコンテナーが監査メッセージを送信することを許可します。 |
| virt_sandbox_use_netlink | サンドボックスコンテナーがネットリンクシステム呼び出しを使用することを許可します。 |
| virt_sandbox_use_sys_admin | サンドボックスコンテナーが sys_admin システム呼び出しを使用することを許可します (例: mount)。 |
| virt_transition_userdomain | 仮想プロセスがユーザードメインとして実行されることを許可します |
| virt_use_comm | virt がシリアル/パラレル通信ポートを使用するのを許可します。 |
| virt_use_execmem | 制限された仮想マシンが実行可能なメモリーおよび実行可能なスタックを使用することを許可します。 |
| virt_use_fusefs | virt が FUSE マウントされたファイルを読み取るのを許可します。 |
| virt_use_nfs | virt が NFS マウントされたファイルを管理するのを許可します。 |
| virt_use_rawip | virt が rawip ソケットと通信することを許可します。 |
| virt_use_samba | virt が CIFS マウントされたファイルを管理するのを許可します。 |
| virt_use_sanlock | 隔離された仮想化ゲストが sanlock と対話するのを許可します。 |
| virt_use_usb | virt が USB デバイスを使用するのを許可します。 |
| virt_use_xserver | 仮想マシンが X Window System と対話するのを許可します。 |
注記
SELinux のブール値についてさらに詳しくは、https://access.redhat.com/site/documentation/ の 『Red Hat Enterprise Linux Security Enhanced Linux』 を参照してください。
