Red Hat Summit Red Hat Summitサポートコンソール開発者トライアルの開始お問い合わせ

4.7. SELinux コンテキスト - ファイルのラベル付け

SELinux を実行しているシステムでは、セキュリティー関連の情報を表す方法で、すべてのプロセスとファイルにラベルが付けられます。この情報は SELinux コンテキストと呼ばれます。ファイルの場合は、ls -Z コマンドを使用して表示されます。
Copy to Clipboard Toggle word wrap 
~]$ ls -Z file1
-rw-rw-r--  user1 group1 unconfined_u:object_r:user_home_t:s0 file1
この例では、SELinux はユーザー (unconfined_u)、ロール (object_r)、タイプ (user_home_t)、およびレベル (s0) を提供します。この情報は、アクセス制御の決定を行うために使用されます。DAC システムでは、アクセスは Linux ユーザーおよびグループ ID に基づいて制御されます。SELinux ポリシールールは、DAC ルールの後にチェックされます。DAC ルールがアクセスを拒否する場合は、SELinux ポリシールールは使用されません。
注記
デフォルトでは、新規作成されたファイルおよびディレクトリーは親ディレクトリーの SELinux タイプを継承します。たとえば、etc_t タイプのラベルが付けられた /etc ディレクトリーに新しいファイルを作成する場合、新しいファイルは同じタイプを継承します。
Copy to Clipboard Toggle word wrap 
~]$ ls -dZ - /etc
drwxr-xr-x. root root system_u:object_r:etc_t:s0       /etc
Copy to Clipboard Toggle word wrap 
~]# touch /etc/file1
 Copy to Clipboard Toggle word wrap 
~]# ls -lZ /etc/file1
-rw-r--r--. root root unconfined_u:object_r:etc_t:s0   /etc/file1
SELinux は、chcon、semanage fcontext、restorecon、および matchpathcon など、ファイルシステムのラベリングを管理するための複数のコマンドを提供します。

4.7.1. 一時的な変更: chcon

chcon コマンドは、ファイルの SELinux コンテキストを変更します。ただし、chcon コマンドを使用して行った変更は、ファイルシステムのラベル変更や restorecon コマンドの実行後も維持されません。SELinux ポリシーは、ユーザーが任意のファイルの SELinux コンテキストを変更できるかどうかを制御します。chcon を使用すると、ユーザーは変更する SELinux コンテキストのすべてまたは一部を提供します。ファイルタイプは、SELinux がアクセスを拒否する一般的な原因です。

クイックリファレンス

  • chcon -t type file-name コマンドを実行して、ファイルタイプを変更します。type は SELinux タイプです。たとえば、httpd_sys_content_t で、file-name はファイルまたはディレクトリー名になります。
    Copy to Clipboard Toggle word wrap 
    ~]$ chcon -t httpd_sys_content_t file-name
  • chcon -R -t type directory-name コマンドを実行して、ディレクトリーのタイプとそのコンテンツを変更します。type は SELinux タイプです。たとえば、httpd_sys_content_t で、directory-name はディレクトリー名になります。
    Copy to Clipboard Toggle word wrap 
    ~]$ chcon -R -t httpd_sys_content_t directory-name

手順4.6 ファイルまたはディレクトリーのタイプの変更

次の手順は、タイプの変更を示しており、SELinux コンテキストの他の属性は示していません。このセクションの例では、file1 がディレクトリーである場合など、ディレクトリーに対して同じように動作します。
  1. ホームディレクトリーに移動します。
  2. 新しいファイルを作成して、その SELinux コンテキストを表示します。
    Copy to Clipboard Toggle word wrap 
    ~]$ touch file1
     Copy to Clipboard Toggle word wrap 
    ~]$ ls -Z file1
-rw-rw-r--  user1 group1 unconfined_u:object_r:user_home_t:s0 file1
    この例では、file1 の SELinux コンテキストには、SELinux の unconfined_u ユーザー、object_r ロール、user_home_t タイプ、および s0 レベルが含まれます。SELinux コンテキストの各部分の説明は、2章SELinux コンテキスト を参照してください。
  3. 次のコマンドを実行して、タイプを samba_share_t に変更します。-t オプションはタイプを変更します。次に、変更を表示します。
    Copy to Clipboard Toggle word wrap 
    ~]$ chcon -t samba_share_t file1
     Copy to Clipboard Toggle word wrap 
    ~]$ ls -Z file1 
-rw-rw-r--  user1 group1 unconfined_u:object_r:samba_share_t:s0 file1
  4. 以下のコマンドを使用して、file1 ファイルの SELinux コンテキストを復元します。変更を確認するには、-v オプションを使用します。
    Copy to Clipboard Toggle word wrap 
    ~]$ restorecon -v file1
restorecon reset file1 context unconfined_u:object_r:samba_share_t:s0->system_u:object_r:user_home_t:s0
    この例では、前のタイプ samba_share_t は正しいタイプ user_home_t タイプに復元されます。Targeted ポリシー (Red Hat Enterprise Linux のデフォルトの SELinux ポリシー) を使用する場合、restorecon コマンドは /etc/selinux/targeted/contexts/files/ ディレクトリーのファイルを読み取り、どの SELinux コンテキストファイルが存在するかを確認します。

手順4.7 ディレクトリーとそのコンテンツタイプの変更

以下の例は、新しいディレクトリーを作成し、そのディレクトリーのファイルタイプを Apache HTTP Server が使用するタイプに変更します。この例での設定は、Apache HTTP サーバーが、(/var/www/html/ の代わりに) 別のドキュメント root を使用する場合に使用します。
  1. root ユーザーとして、このディレクトリー内に新しい web/ ディレクトリーを作成し、3 つの空のファイル (file1、file2、および file3) を作成します。web/ ディレクトリーおよびそのファイルには、default_t タイプのラベルが付けられます。
    Copy to Clipboard Toggle word wrap 
    ~]# mkdir /web
     Copy to Clipboard Toggle word wrap 
    ~]# touch /web/file{1,2,3}
     Copy to Clipboard Toggle word wrap 
    ~]# ls -dZ /web
drwxr-xr-x  root root unconfined_u:object_r:default_t:s0 /web
    Copy to Clipboard Toggle word wrap 
    ~]# ls -lZ /web
-rw-r--r--  root root unconfined_u:object_r:default_t:s0 file1
-rw-r--r--  root root unconfined_u:object_r:default_t:s0 file2
-rw-r--r--  root root unconfined_u:object_r:default_t:s0 file3
  2. root で次のコマンドを実行して、web/ ディレクトリー (とそのコンテンツ) のタイプを httpd_sys_content_t に変更します。
    Copy to Clipboard Toggle word wrap 
    ~]# chcon -R -t httpd_sys_content_t /web/
     Copy to Clipboard Toggle word wrap 
    ~]# ls -dZ /web/
drwxr-xr-x  root root unconfined_u:object_r:httpd_sys_content_t:s0 /web/
    Copy to Clipboard Toggle word wrap 
    ~]# ls -lZ /web/
-rw-r--r--  root root unconfined_u:object_r:httpd_sys_content_t:s0 file1
-rw-r--r--  root root unconfined_u:object_r:httpd_sys_content_t:s0 file2
-rw-r--r--  root root unconfined_u:object_r:httpd_sys_content_t:s0 file3
  3. デフォルトの SELinux コンテキストを復元するには、root で restorecon ユーティリティーを使用します。
    Copy to Clipboard Toggle word wrap 
    ~]# restorecon -R -v /web/
restorecon reset /web context unconfined_u:object_r:httpd_sys_content_t:s0->system_u:object_r:default_t:s0
restorecon reset /web/file2 context unconfined_u:object_r:httpd_sys_content_t:s0->system_u:object_r:default_t:s0
restorecon reset /web/file3 context unconfined_u:object_r:httpd_sys_content_t:s0->system_u:object_r:default_t:s0
restorecon reset /web/file1 context unconfined_u:object_r:httpd_sys_content_t:s0->system_u:object_r:default_t:s0
chcon の詳細は、chcon(1) man ページを参照してください。
注記
Type Enforcement は、SELinux の Targeted ポリシーで使用される主要なパーミッション制御です。ほとんどの場合、SELinux のユーザーとロールは無視できます。

4.7.2. 永続的な変更 - semanage fcontext

semanage fcontext コマンドは、ファイルの SELinux コンテキストを変更するのに使用します。新しく作成したファイルおよびディレクトリーのコンテキストを表示するには、root で以下のコマンドを実行します。
Copy to Clipboard Toggle word wrap 
~]# semanage fcontext -C -l
semanage fcontext が加えた変更は、以下のユーティリティーで使用されます。setfiles ユーティリティーは、ファイルシステムに再ラベル付けされ、restorecon ユーティリティーがデフォルトの SELinux コンテキストを復元するときに使用されます。つまり、ファイルシステムが再ラベル付けされても、semanage fcontext による変更は永続します。SELinux ポリシーは、ユーザーが任意のファイルの SELinux コンテキストを変更できるかどうかを制御します。

クイックリファレンス

ファイルシステムの再ラベル付け後に SELinux コンテキストを変更するには、以下のコマンドを実行します。
  1. 次のコマンドを入力します。ファイルまたはディレクトリーのフルパスを使用することを忘れないでください。
    Copy to Clipboard Toggle word wrap 
    ~]# semanage fcontext -a options file-name|directory-name
  2. restorecon ユーティリティーを使用して、コンテキストの変更を適用します。
    Copy to Clipboard Toggle word wrap 
    ~]# restorecon -v file-name|directory-name

semanage fcontext での正規表現の使用

semanage fcontext が適切に機能するようにするためには、完全修飾パスまたは Perl-compatible regular expressions (PCRE) を使用できます。使用されている唯一のPCRE フラグは PCRE2_DOTALL です。これにより、. ワイルドカードは、改行を含むあらゆるものにマッチします。パスを表す文字列はバイトとして処理されます。つまり、ASCII 以外の文字は、1 つのワイルドカードで一致しません。
semanage fcontext を使用して指定したファイルコンテキストの定義は、定義方法が逆順で評価されることに注意してください。定義方法は、stem の長さに関係なく、直近のエントリーが最初に評価されます。file_contexts.local に保存されているローカルファイルコンテキストの変更の優先度は、ポリシーモジュールで指定されているものよりも高くなります。つまり、指定したファイルパスが file_contexts.local で一致するものが見つかるたびに、その他のファイルコンテキスト定義は考慮されません。
重要
semanage fcontext コマンドを使用して指定したファイルコンテキスト定義は、他のすべてのファイルコンテキスト定義を効果的に上書きします。したがって、ファイルシステムの他の部分に意図せず影響を与えないように、すべての正規表現は可能な限り具体的にする必要があります。
file-context 定義とフラグで使用される正規表現のタイプの詳細は、man ページの semanage-fcontext(8) を参照してください。

手順4.8 ファイルまたはディレクトリーのタイプの変更

以下の例は、ファイルのタイプを変更する方法を示していますが、SELinux コンテキストの他の属性はありません。この例は、file1 がディレクトリーであった場合など、ディレクトリーに対しても同じように機能します。
  1. root ユーザーで、/etc ディレクトリーに新しいファイルを作成します。デフォルトでは、/etc に新規に作成されたファイルには etc_t タイプのラベルが付けられます。
    Copy to Clipboard Toggle word wrap 
    ~]# touch /etc/file1
     Copy to Clipboard Toggle word wrap 
    ~]$ ls -Z /etc/file1
-rw-r--r--  root root unconfined_u:object_r:etc_t:s0       /etc/file1
    ディレクトリーの情報をリスト表示するには、次のコマンドを使用します。
    Copy to Clipboard Toggle word wrap 
    ~]$ ls -dZ directory_name
  2. root で次のコマンドを実行して、file1 タイプを samba_share_t に変更します。-a オプションは新しいレコードを追加し、-t オプションはタイプ (samba_share_t) を定義します。このコマンドを実行すると、タイプを直接変更しません。file1 には、まだ etc_t タイプのラベルが付けられています。
    Copy to Clipboard Toggle word wrap 
    ~]# semanage fcontext -a -t samba_share_t /etc/file1
     Copy to Clipboard Toggle word wrap 
    ~]# ls -Z /etc/file1
-rw-r--r--  root root unconfined_u:object_r:etc_t:s0       /etc/file1
    Copy to Clipboard Toggle word wrap 
    ~]$ semanage fcontext -C -l
/etc/file1    unconfined_u:object_r:samba_share_t:s0
  3. root で restorecon ユーティリティーを使用してタイプを変更します。semanage により、/etc/file1 の file_contexts.local にエントリーが追加されたため、restorecon によりタイプが samba_share_t に変わります。
    Copy to Clipboard Toggle word wrap 
    ~]# restorecon -v /etc/file1
restorecon reset /etc/file1 context unconfined_u:object_r:etc_t:s0->system_u:object_r:samba_share_t:s0

手順4.9 ディレクトリーとそのコンテンツタイプの変更

以下の例は、新しいディレクトリーを作成し、そのディレクトリーのファイルタイプを Apache HTTP サーバーが使用するタイプに変更します。この例の設定は、Apache HTTP サーバーで、/var/www/html/ の代わりに別のドキュメント root を使用する場合に使用します。
  1. root ユーザーとして、このディレクトリー内に新しい web/ ディレクトリーを作成し、3 つの空のファイル (file1、file2、および file3) を作成します。web/ ディレクトリーおよびそのファイルには、default_t タイプのラベルが付けられます。
    Copy to Clipboard Toggle word wrap 
    ~]# mkdir /web
     Copy to Clipboard Toggle word wrap 
    ~]# touch /web/file{1,2,3}
     Copy to Clipboard Toggle word wrap 
    ~]# ls -dZ /web
drwxr-xr-x  root root unconfined_u:object_r:default_t:s0 /web
    Copy to Clipboard Toggle word wrap 
    ~]# ls -lZ /web
-rw-r--r--  root root unconfined_u:object_r:default_t:s0 file1
-rw-r--r--  root root unconfined_u:object_r:default_t:s0 file2
-rw-r--r--  root root unconfined_u:object_r:default_t:s0 file3
  2. root で次のコマンドを実行して、web/ ディレクトリーのタイプとその中のファイルを httpd_sys_content_t に変更します。-a オプションは新しいレコードを追加し、-t オプションはタイプを定義します (httpd_sys_content_t)。"/web(/.*)?" 正規表現を使用すると、semanage は、web/ およびその中のファイルに変更を適用します。このコマンドを実行しても、タイプを直接変更しません。web/ ファイルおよびこのファイルには、default_t タイプのラベルが付けられます。
    Copy to Clipboard Toggle word wrap 
    ~]# semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"
     Copy to Clipboard Toggle word wrap 
    ~]$ ls -dZ /web
drwxr-xr-x  root root unconfined_u:object_r:default_t:s0 /web
    Copy to Clipboard Toggle word wrap 
    ~]$ ls -lZ /web
-rw-r--r--  root root unconfined_u:object_r:default_t:s0 file1
-rw-r--r--  root root unconfined_u:object_r:default_t:s0 file2
-rw-r--r--  root root unconfined_u:object_r:default_t:s0 file3
    semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?" コマンドは、以下のエントリーを /etc/selinux/targeted/contexts/files/file_contexts.local に追加します。
    Copy to Clipboard Toggle word wrap 
    /web(/.*)?    system_u:object_r:httpd_sys_content_t:s0
  3. root で restorecon ユーティリティーを使用して、web/ のタイプと、その中のすべてのファイルを変更します。-R は再帰用です。これは、web/ の下にあるすべてのファイルおよびディレクトリーに httpd_sys_content_t タイプのラベルが付けられることを意味します。semanage により、/web(/.*)? の file.contexts.local にエントリーが追加されたため、restorecon によりタイプが httpd_sys_content_t に変わります。
    Copy to Clipboard Toggle word wrap 
    ~]# restorecon -R -v /web
restorecon reset /web context unconfined_u:object_r:default_t:s0->system_u:object_r:httpd_sys_content_t:s0
restorecon reset /web/file2 context unconfined_u:object_r:default_t:s0->system_u:object_r:httpd_sys_content_t:s0
restorecon reset /web/file3 context unconfined_u:object_r:default_t:s0->system_u:object_r:httpd_sys_content_t:s0
restorecon reset /web/file1 context unconfined_u:object_r:default_t:s0->system_u:object_r:httpd_sys_content_t:s0
    デフォルトでは、新規作成されたファイルおよびディレクトリーは親ディレクトリーの SELinux タイプを継承する点に注意してください。

手順4.10 追加したコンテキストの削除

以下の例では、SELinux コンテキストの追加および削除を示しています。/web(/.*)? のように、コンテキストが正規表現の一部である場合は、正規表現を引用符で囲んでください。
Copy to Clipboard Toggle word wrap 
~]# semanage fcontext -d "/web(/.*)?"
  1. コンテキストを削除するには、root で次のコマンドを実行します。file_contexts.local の最初の部分は file-name|directory-name です。
    Copy to Clipboard Toggle word wrap 
    ~]# semanage fcontext -d file-name|directory-name
    以下は、file_contexts.local のコンテキストの例になります。
    Copy to Clipboard Toggle word wrap 
    /test    system_u:object_r:httpd_sys_content_t:s0
    最初のパートは test です。restorecon の実行後、またはファイルシステムの再ラベル付け後に、test/ ディレクトリーにhttpd_sys_content_t のラベルが付けられないようにするには、root で次のコマンドを実行して、file_contexts.local からコンテキストを削除します。
    Copy to Clipboard Toggle word wrap 
    ~]# semanage fcontext -d /test
  2. root で、restorecon ユーティリティーを使用して、デフォルトの SELinux コンテキストを復元します。
semanage の詳細は、semanage(8) および semanage-fcontext(8) の man ページを参照してください。
重要
semanage fcontext -a で SELinux コンテキストを変更する場合は、ファイルシステムの再ラベル付け後や restorecon コマンドの実行後にファイルに間違ったラベル付けが行われないように、ファイルまたはディレクトリーのフルパスを使用します。

4.7.3. ファイルコンテキストの決定方法

ファイルコンテキストの判断は、システムセキュリティーポリシー (.fcファイル) で指定されているファイルコンテキスト定義に基づいて行われます。semanage は、システムポリシーに基づいて、file_contexts.homedirs ファイルと file_contexts ファイルを生成します。
システム管理者は、semanage fcontext コマンドを使用して、ファイルコンテキストの定義をカスタマイズできます。このようなカスタマイズは、file_contexts.local ファイルに保存されます。
matchpathcon または restorecon などのラベリングユーティリティーが、指定されたパスに適したラベルを決定する場合は、最初にローカル変更 (file_contexts.local) を検索します。一致するパターンが見つからない場合は、file_contexts.homedirsファイルが検索され、最後にfile_contextsファイルが検索されます。ただし、指定したファイルパスに一致するものが見つかると、検索が終了します。このユーティリティーは、追加の file-context 定義を検索します。つまり、ホームディレクトリー関連のファイルコンテキストの優先度は、その他のファイルコンテキストの優先度よりも高く、ローカルのカスタマイズによりシステムポリシーが上書きされます。
system policy で指定されるファイルコンテキストの定義 (file_contexts.homedirs ファイルおよび file_contexts ファイルのコンテンツ) は、評価前に stem (ワイルドカードの前のパスの接頭辞) の長さでソートされます。つまり、最も具体的なパスが選択されます。ただし、semanage fcontext を使用して指定したファイルコンテキスト定義は、定義された方法とは逆の順序で評価されます。つまり、直近のエントリーは、stem の長さに関係なく最初に評価されます。
詳細は、以下を参照してください。
トップに戻る
Red Hat logoGithubredditYoutubeTwitter

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

Red Hat をお使いのお客様が、信頼できるコンテンツが含まれている製品やサービスを活用することで、イノベーションを行い、目標を達成できるようにします。 最新の更新を見る.

多様性を受け入れるオープンソースの強化

Red Hat では、コード、ドキュメント、Web プロパティーにおける配慮に欠ける用語の置き換えに取り組んでいます。このような変更は、段階的に実施される予定です。詳細情報: Red Hat ブログ.

会社概要

Red Hat は、企業がコアとなるデータセンターからネットワークエッジに至るまで、各種プラットフォームや環境全体で作業を簡素化できるように、強化されたソリューションを提供しています。

Theme

© 2025 Red Hat, Inc.