8.6. SELinux
8.6.1. SELinux パッケージが Python 3 に移行
-
policycoreutils-pythonは、policycoreutils-python-utilsパッケージおよびpython3-policycoreutilsパッケージに置き換えられました。 -
libselinux-pythonパッケージの機能は、python3-libselinuxパッケージで提供されるようになりました。 -
setools-libsパッケージの機能は、python3-setoolsパッケージで提供されるようになりました。 -
libsemanage-pythonパッケージの機能は、python3-libsemanageパッケージで提供されるようになりました。
8.6.2. SELinux サブパッケージの変更点
-
libselinux-static、libsemanage-static、libsepol-static、およびsetools-libs-tclが削除されました。 -
RHEL 8.0 および 8.1 では、
setools-guiおよびsetools-console-analysesは利用できません。RHEL 8.2 は、このサブパッケージを含む RHEL 8 の最初のマイナーバージョンです。
8.6.3. SELinux ポリシーの変更
init_t ドメインタイプは、RHEL 8 で無制限ではなくなりました。これにより、別の SELinux ラベル付けアプローチを使用するサードパーティーアプリケーションで問題が発生する可能性があります。
標準以外の場所における SELinux のラベル付けの問題を解決するために、このような場所に対して同等のファイルのコンテキストを設定できます。
/my/appsおよび/ディレクトリーに対して、同等のファイルのコンテキストを設定します。# semanage fcontext -a -e / /my/appsSELinux ポリシーのローカルカスタマイズを表示して、ファイルのコンテキストが同じであることを確認します。
# semanage fcontext -l -C SELinux Local fcontext Equivalence /my/apps = //my/appsのコンテキストをデフォルトに戻すと、/のコンテキストと同等になります。# restorecon -Rv /my/apps restorecon reset /my/apps context unconfined_u:object_r:default_t:s0->unconfined_u:object_r:root_t:s0 restorecon reset /my/apps/bin context unconfined_u:object_r:default_t:s0->unconfined_u:object_r:bin_t:s0 restorecon reset /my/apps/bin/executable context unconfined_u:object_r:default_t:s0->unconfined_u:object_r:bin_t:s0
この方法では、標準以外の場所にインストールされた大部分のファイルとディレクトリーに正しいラベルが割り当てられます。これにより、正しくラベル付けされたプロセスが一部の実行可能ファイルによって開始されるようになります。
ファイルコンテキストの等価性を削除するには、次のコマンドを使用します。
# semanage fcontext -d -e / /my/apps-
詳細は、
semanage-fcontextman ページを参照してください。
8.6.4. SELinux ブール値の変更点
8.6.4.1. 新しい SELinux ブール値
今回の SELinux システムポリシーの更新により、以下のブール値が追加されました。
-
colord_use_nfs -
deny_bluetooth -
httpd_use_opencryptoki -
logrotate_use_fusefs -
mysql_connect_http -
pdns_can_network_connect_db -
ssh_use_tcpd -
sslh_can_bind_any_port -
sslh_can_connect_any_port -
tor_can_onion_services -
unconfined_dyntrans_all -
use_virtualbox -
virt_sandbox_share_apache_content -
virt_use_pcscd
8.6.4.2. 削除された SELinux ブール値
RHEL 8 SELinux ポリシーは、以前のリリースで使用できた以下のブール値を提供しません。
-
container_can_connect_any -
ganesha_use_fusefs
8.6.4.3. デフォルト値の変更
RHEL 8 では、以下の SELinux ブール値が、以前のリリースとは異なるデフォルト値に設定されます。
-
domain_can_mmap_filesはデフォルトでoffになりました。 -
httpd_graceful_shutdownはデフォルトでoffになりました。 -
Mozilla_plugin_can_network_connectはデフォルトでonになりました。 -
named_write_master_zonesはデフォルトでonになりました。
さらに、antivirus_use_jit および ssh_chroot_rw_homedirs のブール値の説明が変更になりました。
ブール値のリストとその意味を取得し、有効かどうかを調べるには、selinux-policy-devel パッケージをインストールして、以下のコマンドを実行します。
# semanage boolean -l
8.6.5. SELinux ポートタイプの変更点
RHEL 8 SELinux ポリシーは、以下の追加ポートタイプを提供します。
-
appswitch_emp_port_t -
babel_port_t -
bfd_control_port_t -
conntrackd_port_t -
firepower_port_t -
nmea_port_t -
nsca_port_t -
openqa_port_t -
openqa_websockets_port_t -
priority_e_com_port_t -
qpasa_agent_port_t -
rkt_port_t -
smntubootstrap_port_t -
statsd_port_t -
versa_tek_port_t
ポートタイプ dns_port_t および ephemeral_port_t の定義が変更され、gluster_port_t ポートタイプが削除されました。
8.6.6. sesearch の使用方法の変更点
-
sesearchコマンドは、-Cオプションを使用しなくなり、条件式を含める必要があります。 -T-、-typeオプションが以下のように変更になりました。-
-T、--type_trans- type_transition ルールを検索します。 -
--type_member- type_member ルールを検索します。 -
--type_change- type_change ルールを検索します。
-
