SELinux の使用

手順

1. 任意のテキストエディターで /etc/selinux/config ファイルを開きます。以下に例を示します。

   # vi /etc/selinux/config

   Copy to Clipboard Toggle word wrap

2. SELINUX=permissive オプションを設定します。

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=permissive
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

   Copy to Clipboard Toggle word wrap

3. システムを再起動します。

   # reboot

   Copy to Clipboard Toggle word wrap

検証

1. システムの再起動後に、getenforce コマンドが Permissive を返すことを確認します。

   $ getenforce
   Permissive

   Copy to Clipboard Toggle word wrap

手順

1. 任意のテキストエディターで /etc/selinux/config ファイルを開きます。以下に例を示します。

   # vi /etc/selinux/config

   Copy to Clipboard Toggle word wrap

2. SELINUX=enforcing オプションを設定します。

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=enforcing
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

   Copy to Clipboard Toggle word wrap

3. 変更を保存して、システムを再起動します。

   # reboot

   Copy to Clipboard Toggle word wrap

   次にシステムを起動する際に、SELinux はシステム内のファイルおよびディレクトリーのラベルを再設定し、SELinux が無効になっている間に作成したファイルおよびディレクトリーに SELinux コンテキストを追加します。

検証

1. システムの再起動後に、getenforce コマンドが Enforcing を返すことを確認します。

   $ getenforce
   Enforcing

   Copy to Clipboard Toggle word wrap

手順

1. SELinux を Permissive モードで有効にします。詳細は Permissive モードへの変更 を参照してください。

2. システムを再起動します。

   # reboot

   Copy to Clipboard Toggle word wrap
3. SELinux 拒否メッセージを確認します。詳細は、SELinux 拒否の特定 を参照してください。

4. 次の再起動時に、ファイルが再ラベル付けされていることを確認します。

   # fixfiles -F onboot

   Copy to Clipboard Toggle word wrap

   これにより、-F オプションを含む /.autorelabel ファイルが作成されます。

   警告

   fixfiles -F onboot コマンドを入力する前に、必ず Permissive モードに切り替えてください。

   デフォルトでは、autorelabel はシステムで使用可能な CPU コアと同じ数のスレッドを並列に使用します。ラベルの自動再設定中に単一のスレッドのみを使用するには、fixfiles -T 1 onboot コマンドを使用します。

5. 拒否がない場合は、Enforcing モードに切り替えます。詳細は システム起動時の SELinux モードの変更 を参照してください。

検証

1. システムの再起動後に、getenforce コマンドが Enforcing を返すことを確認します。

   $ getenforce
   Enforcing

   Copy to Clipboard Toggle word wrap

手順

1. ブートローダーを設定して、カーネルコマンドラインに selinux=0 を追加します。

   $ sudo grubby --update-kernel ALL --args selinux=0

   Copy to Clipboard Toggle word wrap

2. システムを再起動します。

   $ reboot

   Copy to Clipboard Toggle word wrap

1. 任意のテキストエディターで /etc/selinux/config ファイルを開きます。以下に例を示します。

   # vi /etc/selinux/config

   Copy to Clipboard Toggle word wrap

2. SELINUX=disabled オプションを設定します。

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=disabled
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

   Copy to Clipboard Toggle word wrap

3. 変更を保存して、システムを再起動します。

   # reboot

   Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを入力して、<example_user> という名前の新しい Linux ユーザーを作成します。

   # useradd <example_user>

   Copy to Clipboard Toggle word wrap

2. Linux の <example_user> ユーザーにパスワードを割り当てるには、次のコマンドを実行します。

   # passwd <example_user>
   Changing password for user <example_user>.
   New password:
   Retype new password:
   passwd: all authentication tokens updated successfully.

   Copy to Clipboard Toggle word wrap
3. 現在のセッションからログアウトします。
4. Linux の <example_user> ユーザーとしてログインします。ログインすると、PAM モジュール pam_selinux は Linux ユーザーを SELinux ユーザー (この場合は unconfined_u) に自動的にマッピングし、作成された SELinux コンテキストを設定します。Linux ユーザーのシェルはこのコンテキストで起動します。

検証

1. <example_user> ユーザーとしてログインしたら、Linux ユーザーのコンテキストを確認します。

   $ id -Z
   unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを入力して、<example_user> という名前の新しい Linux ユーザーを作成し、それを SELinux Staff_u ユーザーにマッピングします。

   # useradd -Z staff_u <example_user>

   Copy to Clipboard Toggle word wrap

2. Linux の <example_user> ユーザーにパスワードを割り当てるには、次のコマンドを実行します。

   # passwd <example_user>
   Changing password for user <example_user>.
   New password:
   Retype new password:
   passwd: all authentication tokens updated successfully.

   Copy to Clipboard Toggle word wrap
3. 現在のセッションからログアウトします。
4. Linux の <example_user> ユーザーとしてログインします。ユーザーのシェルは staff_u コンテキストで起動します。

検証

1. <example_user> ユーザーとしてログインしたら、Linux ユーザーのコンテキストを確認します。

   $ id -Z
   uid=1000(<example_user>) gid=1000(<example_user>) groups=1000(<example_user>) context=staff_u:staff_r:staff_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

手順

1. SELinux ログインレコードのリストを表示します。このリストには、SELinux ユーザーへの Linux ユーザーのマッピングが表示されます。

   # semanage login -l
   
   Login Name    SELinux User  MLS/MCS Range   Service
   
   __default__   unconfined_u  s0-s0:c0.c1023       *
   root          unconfined_u  s0-s0:c0.c1023       *

   Copy to Clipboard Toggle word wrap

2. 明示的なマッピングのないすべてのユーザーを表す __default__ ユーザーを、SELinux ユーザー user_u にマッピングします。

   # semanage login -m -s user_u -r s0 __default__

   Copy to Clipboard Toggle word wrap

検証

1. __default__ ユーザーが SELinux ユーザー user_u にマッピングされていることを確認します。

   # semanage login -l
   
   Login Name    SELinux User   MLS/MCS Range    Service
   
   __default__   user_u         s0               *
   root          unconfined_u   s0-s0:c0.c1023   *

   Copy to Clipboard Toggle word wrap

2. 新規ユーザーのプロセスが SELinux コンテキスト user_u:user_r:user_t:s0 で実行されることを確認します。

   1. 新しいユーザーを作成します。

      # adduser <example_user>

      Copy to Clipboard Toggle word wrap

   2. <example_user> のパスワードを定義します。

      # passwd <example_user>

      Copy to Clipboard Toggle word wrap
   3. root としてログアウトし、新規ユーザーとしてログインします。

   4. ユーザーの ID のセキュリティーコンテキストを表示します。

      [<example_user>@localhost ~]$ id -Z
      user_u:user_r:user_t:s0

      Copy to Clipboard Toggle word wrap

   5. ユーザーの現在のプロセスのセキュリティーコンテキストを表示します。

      [<example_user>@localhost ~]$ ps axZ
      LABEL                           PID TTY      STAT   TIME COMMAND
      -                                 1 ?        Ss     0:05 /usr/lib/systemd/systemd --switched-root --system --deserialize 18
      -                              3729 ?        S      0:00 (sd-pam)
      user_u:user_r:user_t:s0        3907 ?        Ss     0:00 /usr/lib/systemd/systemd --user
      -                              3911 ?        S      0:00 (sd-pam)
      user_u:user_r:user_t:s0        3918 ?        S      0:00 sshd: <example_user>@pts/0
      user_u:user_r:user_t:s0        3922 pts/0    Ss     0:00 -bash
      user_u:user_r:user_dbusd_t:s0  3969 ?        Ssl    0:00 /usr/bin/dbus-daemon --session --address=systemd: --nofork --nopidfile --systemd-activation --syslog-only
      user_u:user_r:user_t:s0        3971 pts/0    R+     0:00 ps axZ

      Copy to Clipboard Toggle word wrap

手順

1. 必要に応じて、sysadm_u ユーザーが SSH を使用してシステムに接続できるようにするには、次のコマンドを実行します。

   # setsebool -P ssh_sysadm_login on

   Copy to Clipboard Toggle word wrap

2. 新しいユーザーまたは既存のユーザーを sysadm_u SELinux ユーザーにマッピングします。

   • 新規ユーザーをマッピングするには、新規ユーザーを wheel ユーザーグループに追加し、そのユーザーを SELinux ユーザー sysadm_u にマッピングします。

     # adduser -G wheel -Z sysadm_u <example_user>

     Copy to Clipboard Toggle word wrap

   • 既存のユーザーをマッピングするには、ユーザーを wheel ユーザーグループに追加し、そのユーザーを SELinux ユーザー sysadm_u にマッピングします。

     # usermod -G wheel -Z sysadm_u <example_user>

     Copy to Clipboard Toggle word wrap

3. ユーザーのホームディレクトリーのコンテキストを復元します。

   # restorecon -R -F -v /home/<example_user>

   Copy to Clipboard Toggle word wrap

検証

1. <example_user> が、SELinux ユーザー sysadm_u にマッピングされていることを確認します。

   # semanage login -l | grep <example_user>
   <example_user>     sysadm_u    s0-s0:c0.c1023   *

   Copy to Clipboard Toggle word wrap

2. SSH などを使用して <example_user> としてログインし、ユーザーのセキュリティーコンテキストを表示します。

   [<example_user>@localhost ~]$ id -Z
   sysadm_u:sysadm_r:sysadm_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

3. root ユーザーに切り替えます。

   $ sudo -i
   [sudo] password for <example_user>:

   Copy to Clipboard Toggle word wrap

4. セキュリティーコンテキストが変更されていないことを確認します。

   # id -Z
   sysadm_u:sysadm_r:sysadm_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

5. sshd サービスを再起動するなど、管理タスクを実行します。

   # systemctl restart sshd

   Copy to Clipboard Toggle word wrap

   出力がない場合は、コマンドが正常に完了します。

   コマンドが正常に完了しない場合は、以下のメッセージが表示されます。

   Failed to restart sshd.service: Access denied
   See system logs and 'systemctl status sshd.service' for details.

   Copy to Clipboard Toggle word wrap

手順

1. 新規または既存のユーザーを staff_u SELinux ユーザーにマッピングします。

   1. 新規ユーザーをマッピングするには、新規ユーザーを wheel ユーザーグループに追加し、そのユーザーを SELinux ユーザー staff_u にマッピングします。

      # adduser -G wheel -Z staff_u <example_user>

      Copy to Clipboard Toggle word wrap

   2. 既存のユーザーをマッピングするには、ユーザーを Wheel ユーザーグループに追加し、そのユーザーを SELinux ユーザー staff_u にマッピングします。

      # usermod -G wheel -Z staff_u <example_user>

      Copy to Clipboard Toggle word wrap

2. ユーザーのホームディレクトリーのコンテキストを復元します。

   # restorecon -R -F -v /home/<example_user>

   Copy to Clipboard Toggle word wrap

3. <example_user> が SELinux 管理者ロールを取得できるようにするには、/etc/sudoers.d/ ディレクトリーに新規ファイルを作成します。以下に例を示します。

   # visudo -f /etc/sudoers.d/<example_user>

   Copy to Clipboard Toggle word wrap

4. 以下の行を新規ファイルに追加します。

   <example_user> ALL=(ALL) TYPE=sysadm_t ROLE=sysadm_r ALL

   Copy to Clipboard Toggle word wrap

検証

1. <example_user> が SELinux ユーザー staff_u にマッピングされていることを確認します。

   # semanage login -l | grep <example_user>
   <example_user>     staff_u    s0-s0:c0.c1023   *

   Copy to Clipboard Toggle word wrap

2. SSH などを使用して <example_user> としてログインし、root ユーザーに切り替えます。

   [<example_user>@localhost ~]$ sudo -i
   [sudo] password for <example_user>:

   Copy to Clipboard Toggle word wrap

3. root セキュリティーコンテキストを表示します。

   # id -Z
   staff_u:sysadm_r:sysadm_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

4. sshd サービスを再起動するなど、管理タスクを実行します。

   # systemctl restart sshd

   Copy to Clipboard Toggle word wrap

   出力がない場合は、コマンドが正常に完了します。

   コマンドが正常に完了しない場合は、以下のメッセージが表示されます。

   Failed to restart sshd.service: Access denied
   See system logs and 'systemctl status sshd.service' for details.

   Copy to Clipboard Toggle word wrap

手順

1. httpd サービスを起動して、ステータスを確認します。

   # systemctl start httpd
   # systemctl status httpd
   …
   httpd[14523]: (13)Permission denied: AH00072: make_sock: could not bind to address [::]:3131
   …
   systemd[1]: Failed to start The Apache HTTP Server.
   …

   Copy to Clipboard Toggle word wrap

2. SELinux ポリシーは、httpd がポート 80 で実行していることを前提としています。

   # semanage port -l | grep http
   http_cache_port_t              tcp      8080, 8118, 8123, 10001-10010
   http_cache_port_t              udp      3130
   http_port_t                    tcp      80, 81, 443, 488, 8008, 8009, 8443, 9000
   pegasus_http_port_t            tcp      5988
   pegasus_https_port_t           tcp      5989

   Copy to Clipboard Toggle word wrap

3. ポート 3131 の SELinux タイプを、ポート 80 に一致させるように変更します。

   # semanage port -a -t http_port_t -p tcp 3131

   Copy to Clipboard Toggle word wrap

4. httpd を再開します。

   # systemctl start httpd

   Copy to Clipboard Toggle word wrap

5. ただし、コンテンツにはアクセスできません。

   # wget localhost:3131/index.html
   …
   HTTP request sent, awaiting response... 403 Forbidden
   …

   Copy to Clipboard Toggle word wrap

   sealert ツールの理由を確認します。

   # sealert -l "*"
   ...
   SELinux is preventing httpd from getattr access on the file /var/test_www/html/index.html.
   …

   Copy to Clipboard Toggle word wrap

6. matchpathcon ツールを使用して、標準パスと新規パスの SELinux タイプを比較します。

   # matchpathcon /var/www/html /var/test_www/html
   /var/www/html       system_u:object_r:httpd_sys_content_t:s0
   /var/test_www/html  system_u:object_r:var_t:s0

   Copy to Clipboard Toggle word wrap

7. 新しい /var/test_www/html/ コンテンツディレクトリーの SELinux タイプを、デフォルトの /var/ ディレクトリーのタイプに変更します。

   # semanage fcontext -a -e /var/www /var/test_www

   Copy to Clipboard Toggle word wrap

8. 再帰的に、/var ディレクトリーのラベルを再設定します。

   # restorecon -Rv /var/
   ...
   Relabeled /var/test_www/html from unconfined_u:object_r:var_t:s0 to unconfined_u:object_r:httpd_sys_content_t:s0
   Relabeled /var/test_www/html/index.html from unconfined_u:object_r:var_t:s0 to unconfined_u:object_r:httpd_sys_content_t:s0

   Copy to Clipboard Toggle word wrap

検証

1. httpd サービスが実行していることを確認します。

   # systemctl status httpd
   …
   Active: active (running)
   …
   systemd[1]: Started The Apache HTTP Server.
   httpd[14888]: Server configured, listening on: port 3131
   …

   Copy to Clipboard Toggle word wrap

2. Apache HTTP サーバーが提供するコンテンツがアクセスできることを確認します。

   # wget localhost:3131/index.html
   …
   HTTP request sent, awaiting response... 200 OK
   Length: 0 [text/html]
   Saving to: ‘index.html’
   …

   Copy to Clipboard Toggle word wrap

手順

1. NFS、CIFS、および Apache に関する SELinux ブール値を特定します。

   # semanage boolean -l | grep 'nfs\|cifs' | grep httpd
   httpd_use_cifs                 (off  ,  off)  Allow httpd to access cifs file systems
   httpd_use_nfs                  (off  ,  off)  Allow httpd to access nfs file systems

   Copy to Clipboard Toggle word wrap

2. ブール値の現在の状態をリスト表示します。

   $ getsebool -a | grep 'nfs\|cifs' | grep httpd
   httpd_use_cifs --> off
   httpd_use_nfs --> off

   Copy to Clipboard Toggle word wrap

3. 指定されたブール値を有効にします。

   # setsebool httpd_use_nfs on
   # setsebool httpd_use_cifs on

   Copy to Clipboard Toggle word wrap
   注記

   setsebool で -P オプションを使用使用すると、システムを再起動しても変更が持続します。setsebool -P コマンドは、ポリシー全体を再構築する必要がありますが、設定によっては少し時間がかかる場合があります。

検証

1. ブール値が on になっていることを確認します。

   $ getsebool -a | grep 'nfs\|cifs' | grep httpd
   httpd_use_cifs --> on
   httpd_use_nfs --> on

   Copy to Clipboard Toggle word wrap

手順

1. SELinux 関連のすべてのトピックをリスト表示し、設定するコンポーネントに結果を絞り込みます。以下に例を示します。

   # man -k selinux | grep samba
   samba_net_selinux (8) - Security Enhanced Linux Policy for the samba_net processes
   samba_selinux (8)    - Security Enhanced Linux Policy for the smbd processes
   …

   Copy to Clipboard Toggle word wrap

   お客様の状況に関連する man ページで、関連する SELinux ブール値、ポートタイプ、およびファイルタイプを見つけます。

   man -k selinux または apropos selinux コマンドを使用するには、先に selinux-policy-doc パッケージをインストールする必要があることに注意してください。

2. オプション: semanage fcontext -l コマンドを使用すると、デフォルトの場所にあるプロセスのデフォルトのマッピングを表示できます。次に例を示します。

   # semanage fcontext -l | grep samba
   …
   /var/cache/samba(/.*)?                             all files          system_u:object_r:samba_var_t:s0
   …
   /var/spool/samba(/.*)?                             all files          system_u:object_r:samba_spool_t:s0
   …

   Copy to Clipboard Toggle word wrap

3. sesearch コマンドを使用して、デフォルトの SELinux ポリシーのルールを表示します。対応するルールをリスト表示することで、使用するタイプとブール値を見つけることができます。次に例を示します。

   $ sesearch -A | grep samba | grep httpd
   …
   allow httpd_t cifs_t:dir { getattr open search }; [ use_samba_home_dirs && httpd_enable_homedirs ]:True
   …

   Copy to Clipboard Toggle word wrap

4. 場合によっては、SELinux ブール値が、設定の問題に対する最も簡単な解決策であることがあります。getsebool -a コマンドを使用すると、使用可能なすべてのブール値とその値を表示できます。次に例を示します。

   $ getsebool -a | grep homedirs
   git_cgi_enable_homedirs --> off
   git_system_enable_homedirs --> off
   httpd_enable_homedirs --> off
   mock_enable_homedirs --> off
   mpd_enable_homedirs --> off
   openvpn_enable_homedirs --> on
   ssh_chroot_rw_homedirs --> off

   Copy to Clipboard Toggle word wrap

5. sesearch コマンドを使用すると、選択したブール値が意図するとおりに機能するかどうかを確認できます。次に例を示します。

   $ sesearch -A | grep httpd_enable_homedirs
   …
   allow httpd_suexec_t autofs_t:dir { getattr open search }; [ use_nfs_home_dirs && httpd_enable_homedirs ]:True
   allow httpd_suexec_t autofs_t:dir { getattr open search }; [ use_samba_home_dirs && httpd_enable_homedirs ]:True
   …

   Copy to Clipboard Toggle word wrap

6. お客様の状況に合ったブール値がない場合は、状況に合った SELinux タイプを見つけます。sesearch を使用してデフォルトのポリシーから対応するルールを照会することで、ファイルのタイプを見つけることができます。次に例を示します。

   $ sesearch -A -s httpd_t -c file -p read
   …
   allow httpd_t httpd_t:file { append getattr ioctl lock open read write };
   allow httpd_t httpd_tmp_t:file { append create getattr ioctl link lock map open read rename setattr unlink write };
   …

   Copy to Clipboard Toggle word wrap
7. 以上の解決策がどれもお客様の状況に当てはまらない場合は、SELinux ポリシーにカスタムルールを追加できます。詳細は、ローカル SELinux ポリシーモジュールの作成 セクションを参照してください。

手順

1. ターミナルで user_selinux(8) man ページを開きます。

   $ man user_selinux

   Copy to Clipboard Toggle word wrap

   MANAGED FILES セクションで、お客様の状況に合った属性またはタイプを見つけます。たとえば、user_home_type 属性です。

2. オプション: 属性に割り当てられているすべてのタイプをリスト表示するには、-x および -a オプションを指定した seinfo コマンドを使用します。次に例を示します。

   $ seinfo -x -a user_home_type
   
   Type Attributes: 1
      attribute user_home_type;
   …
   	chrome_sandbox_home_t
   	config_home_t
   	cvs_home_t
   	data_home_t
   	dbus_home_t
   	fetchmail_home_t
   	gconf_home_t
   	git_user_content_t
   …

   Copy to Clipboard Toggle word wrap

3. 対応するタイプの候補 (この例では data_home_t タイプ) を特定したら、その SELinux マッピングを確認します。

   $ semanage fcontext -l | grep data_home_t
   …
   /root/\.local/share(/.*)?                          all files          system_u:object_r:data_home_t:s0
   …

   Copy to Clipboard Toggle word wrap

4. 対応するタイプを、user_u からアクセス可能にするディレクトリー (例: /shared-data) にマップします。

   $ semanage fcontext -a -t data_home_t '/shared-data(/.*)?'

   Copy to Clipboard Toggle word wrap

検証

1. 設定したディレクトリーのマッピングを確認します。

   # semanage fcontext -l | grep "shared-data"
   /shared-data(/.*)?                             	all files      	system_u:object_r:data_home_t:s0

   Copy to Clipboard Toggle word wrap
2. user_u SELinux ユーザーにマップされた Linux ユーザーとしてログインし、ディレクトリーにアクセスできることを確認します。

手順

1. SELinux がシナリオをブロックしたときに、最初に拒否に関する詳細情報を確認するのは /var/log/audit/audit.log ファイルとなります。Audit ログのクエリーには、ausearch ツールを使用します。アクセスを許可する、または許可しないといった SELinux の決定はキャッシュされ、このキャッシュは AVC (アクセスベクターキャッシュ) として知られています。たとえば、メッセージタイプパラメーターには AVC および USER_AVC の値を使用します。

   # ausearch -m AVC,USER_AVC,SELINUX_ERR,USER_SELINUX_ERR -ts recent

   Copy to Clipboard Toggle word wrap

   一致するものがない場合は、Audit デーモンが実行しているかどうかを確認します。実行していない場合は、auditd を起動して Audit ログを再確認してから、拒否されたシナリオを繰り返します。

2. auditd が実行中で、ausearch の出力に一致がない場合は、systemd ジャーナルが出力するメッセージを確認してください。

   # journalctl -t setroubleshoot

   Copy to Clipboard Toggle word wrap

3. SELinux が有効で、Audit デーモンがシステムで実行していない場合は、dmesg コマンドの出力で特定の SELinux メッセージを検索します。

   # dmesg | grep -i -e type=1300 -e type=1400

   Copy to Clipboard Toggle word wrap

4. 以上の 3 つを確認しても、何も見つからない場合もあります。この場合、dontaudit ルールが原因で AVC 拒否を非表示にできます。

   一時的に dontaudit ルールを無効にし、すべての拒否をログに記録できるようにするには、以下のコマンドを実行します。

   # semodule -DB

   Copy to Clipboard Toggle word wrap

   以前の手順で、拒否されたシナリオを再実行し、拒否メッセージを取得したら、次のコマンドはポリシーで dontaudit ルールを再度有効にします。

   # semodule -B

   Copy to Clipboard Toggle word wrap

5. これまでの 4 つのステップをすべて試し、それでも問題が解決しない場合は、SELinux がシナリオをブロックするかどうかを検討してください。

   • Permissive モードに切り替えます。

     # setenforce 0
     $ getenforce
     Permissive

     Copy to Clipboard Toggle word wrap
   • シナリオを繰り返します。

   上記を試しても問題が発生する場合は、SELinux 以外に原因があります。

手順

1. 以下のように、sealert コマンドを実行して、ログに記録されている拒否の詳細をリスト表示します。

   $ sealert -l "*"
   SELinux is preventing /usr/bin/passwd from write access on the file
   /root/test.
   
   *****  Plugin leaks (86.2 confidence) suggests *****************************
   
   If you want to ignore passwd trying to write access the test file,
   because you believe it should not need this access.
   Then you should report this as a bug.
   You can generate a local policy module to dontaudit this access.
   Do
   # ausearch -x /usr/bin/passwd --raw | audit2allow -D -M my-passwd
   # semodule -X 300 -i my-passwd.pp
   
   *****  Plugin catchall (14.7 confidence) suggests **************************
   
   ...
   
   Raw Audit Messages
   type=AVC msg=audit(1553609555.619:127): avc:  denied  { write } for
   pid=4097 comm="passwd" path="/root/test" dev="dm-0" ino=17142697
   scontext=unconfined_u:unconfined_r:passwd_t:s0-s0:c0.c1023
   tcontext=unconfined_u:object_r:admin_home_t:s0 tclass=file permissive=0
   
   ...
   
   Hash: passwd,passwd_t,admin_home_t,file,write

   Copy to Clipboard Toggle word wrap

2. 前の手順で取得した出力に明確な提案が含まれていない場合は、以下のコマンドを実行します。

   • 完全パス監査を有効にして、アクセスしたオブジェクトの完全パスを表示し、追加の Linux Audit イベントフィールドが表示されるようにします。

     # auditctl -w /etc/shadow -p w -k shadow-write

     Copy to Clipboard Toggle word wrap

   • setroubleshoot キャッシュを削除します。

     # rm -f /var/lib/setroubleshoot/setroubleshoot.xml

     Copy to Clipboard Toggle word wrap
   • 問題を再現します。

   • ステップ 1 を繰り返します。

     プロセスが完了したら、完全パスの監査を無効にします。

     # auditctl -W /etc/shadow -p w -k shadow-write

     Copy to Clipboard Toggle word wrap
3. sealert が catchall 提案を返すか、audit2allow ツールを使用して新しいルールを追加するように提案した場合は、Audit ログの SELinux 拒否 で説明されている例と問題を一致させます。

手順

1. テキストエディターで新しい .cil を開きます。以下に例を示します。

   # vim <local_module>.cil

   Copy to Clipboard Toggle word wrap

   ローカルモジュールをより適切に整理するには、ローカル SELinux ポリシーモジュール名で接頭辞 local_ を使用します。

2. 既知の問題または Red Hat ソリューションからカスタムルールを挿入します。

   重要

   独自のルールを作成しないでください。特定の既知の問題または Red Hat ソリューションで提供されているルールのみを使用します。

   • たとえば、SELinux denies cups-lpd read access to cups.sock in RHEL のソリューションを実装するには、以下の規則を挿入します。

     (allow cupsd_lpd_t cupsd_var_run_t (sock_file (read)))

     Copy to Clipboard Toggle word wrap

     このサンプルソリューションは、RHBA-2021:4420 で RHEL 用に永続的に修正されました。したがって、このソリューションの特定の手順は更新済みの RHEL 8 システムおよび 9 システムに影響を与えず、構文のサンプルとしてのみ含まれています。

     2 つの SELinux ルール構文 (Common Intermediate Language (CIL) と m4) のどちらかを使用できます。たとえば、CIL の (allow cupsd_lpd_t cupsd_var_run_t (sock_file (read))) は、m4 の以下と同じになります。

     module local_cupslpd-read-cupssock 1.0;
     
     require {
         type cupsd_var_run_t;
         type cupsd_lpd_t;
         class sock_file read;
     }
     
     #============= cupsd_lpd_t ==============
     allow cupsd_lpd_t cupsd_var_run_t:sock_file read;

     Copy to Clipboard Toggle word wrap
3. ファイルを保存してから閉じます。

4. ポリシーモジュールをインストールします。

   # semodule -i <local_module>.cil

   Copy to Clipboard Toggle word wrap

   semodule -i を使用して作成したローカルポリシーモジュールを削除する場合は、.cil 接尾辞のないモジュール名を参照してください。ローカルポリシーモジュールを削除するには、semodule -r <local_module> を使用します。

5. ルールに関連するサービスを再起動します。

   # systemctl restart <service-name>

   Copy to Clipboard Toggle word wrap

検証

1. SELinux ポリシーにインストールされているローカルモジュールをリスト表示します。

   # semodule -lfull | grep "local_"
   400 local_module  cil

   Copy to Clipboard Toggle word wrap

   ローカルモジュールの優先順位は 400 であるため、semodule -lfull | grep -v ^100 コマンドを使用して、その値を使用してリストからそれらをフィルター処理することもできます。

2. 関連する許可ルールを SELinux ポリシーで検索します。

   # sesearch -A --source=<SOURCENAME> --target=<TARGETNAME> --class=<CLASSNAME> --perm=<P1>,<P2>

   Copy to Clipboard Toggle word wrap

   <SOURCENAME> はソースの SELinux の種類、<TARGETNAME> はターゲットの SELinux の種類、<CLASSNAME> はセキュリティークラスまたはオブジェクトクラスの名前、そして <P1> と <P2> はルール固有の権限です。

   たとえば、Red Hat ナレッジベースソリューション SELinux denies cups-lpd read access to cups.sock in RHEL を実装するには、次のコマンドを実行します。

   # sesearch -A --source=cupsd_lpd_t --target=cupsd_var_run_t --class=sock_file --perm=read
   allow cupsd_lpd_t cupsd_var_run_t:sock_file { append getattr open read write };

   Copy to Clipboard Toggle word wrap

   最後の行には、read 操作が含まれているはずです。

3. 関連するサービスが SELinux に制限されて実行されていることを確認します。

   1. 関連するサービスに関連するプロセスを特定します。

      $ systemctl status <service-name>

      Copy to Clipboard Toggle word wrap

   2. 上記コマンドの出力でリスト表示されたプロセスの SELinux コンテキストを確認します。

      $ ps -efZ | grep <process-name>

      Copy to Clipboard Toggle word wrap

4. サービスが SELinux の拒否を引き起こさないことを確認します。

   # ausearch -m AVC -i -ts recent
   <no matches>

   Copy to Clipboard Toggle word wrap

   -i オプションは、数値を人間が判読できるテキストに解析します。

手順

1. selinux-policy-mls パッケージをインストールします。

   # yum install selinux-policy-mls

   Copy to Clipboard Toggle word wrap

2. 任意のテキストエディターで /etc/selinux/config ファイルを開きます。以下に例を示します。

   # vi /etc/selinux/config

   Copy to Clipboard Toggle word wrap

3. SELinux モードを Enforcing から Permissive に変更し、ターゲットポリシーから MLS に切り替えます。

   SELINUX=permissive
   SELINUXTYPE=mls

   Copy to Clipboard Toggle word wrap

   変更を保存し、エディターを終了します。

4. MLS ポリシーを有効にする前に、MLS ラベルでファイルシステム上の各ファイルに再度ラベル付けする必要があります。

   # fixfiles -F onboot
   System will relabel on next boot

   Copy to Clipboard Toggle word wrap

5. システムを再起動します。

   # reboot

   Copy to Clipboard Toggle word wrap

6. SELinux 拒否を確認します。

   # ausearch -m AVC,USER_AVC,SELINUX_ERR,USER_SELINUX_ERR -ts recent -i

   Copy to Clipboard Toggle word wrap

   上記のコマンドはすべてのシナリオに対応していないため、SELinux 拒否の識別、分析、修正のガイダンスは SELinux 関連の問題のトラブルシューティング を参照してください。

7. システムに SELinux に関連する問題がないことを確認したら、/etc/selinux/config で該当するオプションを変更して、SELinux を Enforcing モードに切り替えます。

   SELINUX=enforcing

   Copy to Clipboard Toggle word wrap

8. システムを再起動します。

   # reboot

   Copy to Clipboard Toggle word wrap

検証

1. SELinux が Enforcing モードで実行されていることを確認します。

   # getenforce
   Enforcing

   Copy to Clipboard Toggle word wrap

2. SELinux のステータスが mls の値を返すことを確認します。

   # sestatus | grep mls
   Loaded policy name:             mls

   Copy to Clipboard Toggle word wrap

手順

1. 必要に応じて、SELinux ポリシーにエラーを追加しないようにするには、Permissive SELinux モードに切り替えてください。切り替えることでトラブルシューティングが容易になります。

   # setenforce 0

   Copy to Clipboard Toggle word wrap

   permissive モードでは、SELinux はアクティブなポリシーを適用せず、Access Vector Cache (AVC) メッセージをログに記録するだけです。このログは、トラブルシューティングやデバッグに使用できます。

2. SELinux ユーザー staff_u のクリアランスの範囲を定義します。たとえば、このコマンドは、クリアランスの範囲を s1 から s15 に、デフォルトのクリアランスレベルを s1 に設定します。

   # semanage user -m -L s1 -r s1-s15 staff_u

   Copy to Clipboard Toggle word wrap

3. ユーザーのホームディレクトリー用の SELinux ファイルコンテキスト設定エントリーを生成します。

   # genhomedircon

   Copy to Clipboard Toggle word wrap

4. ファイルセキュリティーコンテキストをデフォルトに復元します。

   # restorecon -R -F -v /home/
   Relabeled /home/staff from staff_u:object_r:user_home_dir_t:s0 to staff_u:object_r:user_home_dir_t:s1
   Relabeled /home/staff/.bash_logout from staff_u:object_r:user_home_t:s0 to staff_u:object_r:user_home_t:s1
   Relabeled /home/staff/.bash_profile from staff_u:object_r:user_home_t:s0 to staff_u:object_r:user_home_t:s1
   Relabeled /home/staff/.bashrc from staff_u:object_r:user_home_t:s0 to staff_u:object_r:user_home_t:s1

   Copy to Clipboard Toggle word wrap

5. ユーザーにクリアランスレベルを割り当てます。

   # semanage login -m -r s1 example_user

   Copy to Clipboard Toggle word wrap

   ここで、s1 は、ユーザーに割り当てられたクリアランスレベルに置き換えます。

6. ユーザーのホームディレクトリーのラベルをユーザーのクリアランスレベルに付け直します。

   # chcon -R -l s1 /home/example_user

   Copy to Clipboard Toggle word wrap

7. 必要に応じて、SELinux モードを Permissive に切り替えた場合は、すべてが想定通りに動作することを確認したら、SELinux モードを Enforcing モードに戻します。

   # setenforce 1

   Copy to Clipboard Toggle word wrap

検証

1. ユーザーが正しい SELinux ユーザーにマッピングされ、クリアランスレベルが正しく割り当てられていることを確認します。

   # semanage login -l
   Login Name      SELinux User         MLS/MCS Range        Service
   __default__     user_u               s0-s0                *
   example_user    user_u               s1                   *
   …

   Copy to Clipboard Toggle word wrap
2. MLS 内のユーザーとしてログインします。

3. ユーザーのセキュリティーレベルが正しく機能していることを確認します。

   警告

   検証に使用するファイルには、設定が間違っており、ユーザーが実際に認証なしにファイルにアクセスできてしまう場合に備え、機密情報を含めないようにしてください。

   1. ユーザーが機密レベルの高いファイルを読み取れないことを確認します。
   2. ユーザーが同じ機密レベルのファイルに書き込めることを確認します。
   3. ユーザーが機密レベルの低いファイルを読み取れることを確認します。

手順

1. セキュアな端末からユーザーとしてログインします。

   セキュアな端末は、、/etc/selinux/mls/contexts/securetty_types ファイルで定義されています。デフォルトでは、コンソールはセキュアな端末ですが、SSH はセキュアではありません。

2. 現在のユーザーのセキュリティーコンテキストを確認します。

   $ id -Z
   user_u:user_r:user_t:s0-s2

   Copy to Clipboard Toggle word wrap

   この例では、ユーザーは user_u SELinux ユーザー、user_r ロール、user_t タイプ、s0-s2 の MLS セキュリティーファイルに割り当てられます。

3. 現在のユーザーのセキュリティーコンテキストを確認します。

   $ id -Z
   user_u:user_r:user_t:s1-s2

   Copy to Clipboard Toggle word wrap

4. ユーザーのクリアランス範囲内で別のセキュリティークリアランス範囲に切り替えます。

   $ newrole -l s1

   Copy to Clipboard Toggle word wrap

   最大が割り当てられた範囲以下の範囲に切り替えることができます。単一レベルの範囲を入力すると、割り当てられた範囲の下限が変更されます。たとえば、範囲が s0-s2 のユーザーとして newrole -l s1 を入力することは、newrole -l s1-s2 を入力することに相当します。

検証

1. 現在のユーザーのセキュリティーコンテキストを確認します。

   $ id -Z
   user_u:user_r:user_t:s1-s2

   Copy to Clipboard Toggle word wrap

2. 現在のシェルを終了し、元の範囲で前のシェルに戻ります。

   $ exit

   Copy to Clipboard Toggle word wrap

手順

1. オプション: 現在のユーザーのセキュリティーコンテキストを表示します。

   $ id -Z
   user_u:user_r:user_t:s0-s2

   Copy to Clipboard Toggle word wrap

2. ユーザーの MLS クリアランス範囲の下位レベルを、ファイルに割り当てるレベルに変更します。

   $ newrole -l s1-s2

   Copy to Clipboard Toggle word wrap

3. オプション: 現在のユーザーのセキュリティーコンテキストを表示します。

   $ id -Z
   user_u:user_r:user_t:s1-s2

   Copy to Clipboard Toggle word wrap

4. オプション: ファイルのセキュリティーコンテキストを表示します。

   $ ls -Z /path/to/file
   user_u:object_r:user_home_t:s0 /path/to/file

   Copy to Clipboard Toggle word wrap

5. ファイルを変更して、ファイルの機密レベルをユーザーのクリアランス範囲の下位レベルに変更します。

   $ touch /path/to/file

   Copy to Clipboard Toggle word wrap
   重要

   システムで restorecon コマンドを使用すると、分類レベルはデフォルト値に戻ります。

6. オプション: シェルを終了して、ユーザーの以前のセキュリティー範囲に戻ります。

   $ exit

   Copy to Clipboard Toggle word wrap

手順

1. ファイルの区分レベルを確認します。

   # ls -lZ /path/to/file
   -rw-r-----. 1 User1 User1 user_u:object_r:user_home_t:s1 0 12. Feb 10:43 /path/to/file

   Copy to Clipboard Toggle word wrap

2. ファイルのデフォルトの区分レベルを変更します。

   # semanage fcontext -a -r s2 /path/to/file

   Copy to Clipboard Toggle word wrap

3. ファイルの SELinux コンテキストのラベルを強制的につけ直します。

   # restorecon -F -v /path/to/file
   Relabeled /path/to/file from user_u:object_r:user_home_t:s1 to user_u:object_r:user_home_t:s2

   Copy to Clipboard Toggle word wrap

検証

1. ファイルの区分レベルを確認します。

   # ls -lZ /path/to/file
   -rw-r-----. 1 User1 User1 user_u:object_r:user_home_t:s2 0 12. Feb 10:53 /path/to/file

   Copy to Clipboard Toggle word wrap

2. オプション: クリアランスが低いユーザーがファイルを読み込めないことを確認します。

   $ cat /path/to/file
   cat: file: Permission denied

   Copy to Clipboard Toggle word wrap

手順

1. ユーザー向けに、新しい sudoers ファイルを /etc/sudoers.d ディレクトリーに作成します。

   # visudo -f /etc/sudoers.d/<sec_adm_user>

   Copy to Clipboard Toggle word wrap

   sudoers ファイルを整理しておくには、<sec_adm_user> を secadm ロールに割り当てられる Linux ユーザーに置き換えます。

2. /etc/sudoers.d/<sec_adm_user> ファイルに、以下の内容を追加します。

   <sec_adm_user> ALL=(ALL) TYPE=secadm_t ROLE=secadm_r ALL

   Copy to Clipboard Toggle word wrap

   この行は、すべてのホスト上の <secadmuser> が、すべてのコマンドを実行することを許可し、デフォルトでユーザーを secadm SELinux タイプとロールにマップします。

3. <sec_adm_user> ユーザーでログインします。

   SELinux コンテキスト (SELinux のユーザー、ロール、タイプで構成) が変更されていることを確認するために、ssh、コンソール、または xdm を使用してログイン します。su および sudo などの他の方法では、SELinux コンテキスト全体を変更することはできません。

4. ユーザーのセキュリティーコンテキストを確認します。

   $ id
   uid=1000(<sec_adm_user>) gid=1000(<sec_adm_user>) groups=1000(<sec_adm_user>) context=staff_u:staff_r:staff_t:s0-s15:c0.c1023

   Copy to Clipboard Toggle word wrap

5. root ユーザーの対話型シェルを実行します。

   $ sudo -i
   [sudo] password for <sec_adm_user>:

   Copy to Clipboard Toggle word wrap

6. 現在のユーザーのセキュリティーコンテキストを確認します。

   # id
   uid=0(root) gid=0(root) groups=0(root) context=staff_u:secadm_r:secadm_t:s0-s15:c0.c1023

   Copy to Clipboard Toggle word wrap

7. ポリシーから sysadm_secadm モジュールを無効にします。

   # semodule -d sysadm_secadm

   Copy to Clipboard Toggle word wrap
   重要

   semodule -r コマンドを使用してシステムポリシーモジュールを削除する代わりに、semodule -d コマンドを使用します。semodule -r コマンドは、システムのストレージからモジュールを削除します。これは、selinux-policy-mls パッケージを再インストールしないと、モジュールを再び読み込むことができないことを意味します。