3.4. SELinux における制限のある管理者ロール
SELinux では、制限のある管理者ロールは、特定のタスクを実行するための特定の権限とアクセス権のセットを、そのロールに割り当てられた Linux ユーザーに付与します。個別の制限のある管理者ロールを割り当てることにより、システム管理のさまざまなドメインに対する権限を個々のユーザーに分割できます。これは、複数の管理者がそれぞれ別のドメインを持つシナリオで役立ちます。
このロールは、semanage user コマンドを使用して SELinux ユーザーに割り当てることができます。
SELinux には、次の制限のある管理者ロールがあります。
auditadm_r監査管理者のロールでは、監査サブシステムに関連するプロセスを管理できます。
関連するブール値:
SELinux boolean State Default Description auditadm_exec_content (on , on) Allow auditadm to exec content
dbadm_rデータベース管理者ロールでは、MariaDB および PostgreSQL データベースを管理できます。
関連するブール値:
SELinux boolean State Default Description dbadm_exec_content (on , on) Allow dbadm to exec content dbadm_manage_user_files (off , off) Determine whether dbadm can manage generic user files. dbadm_read_user_files (off , off) Determine whether dbadm can read generic user files.
logadm_rログ管理者ロールでは、ログ、特に Rsyslog ログサービスと監査サブシステムに関連する SELinux タイプを管理できます。
関連するブール値:
SELinux boolean State Default Description logadm_exec_content (on , on) Allow logadm to exec content
webadm_rWeb 管理者は、Apache HTTP サーバーの管理を許可します。
関連するブール値:
SELinux boolean State Default Description webadm_manage_user_files (off , off) Determine whether webadm can manage generic user files. webadm_read_user_files (off , off) Determine whether webadm can read generic user files.
secadm_rセキュリティー管理者ロールでは、SELinux データベースを管理できます。
関連するブール値:
SELinux boolean State Default Description secadm_exec_content (on , on) Allow secadm to exec content
sysadm_rシステム管理者のロールでは、前述のロールのすべてを行うことができ、追加の特権があります。デフォルト以外の設定では、SELinux ポリシーで
sysadm_secadmモジュールを無効にして、セキュリティー管理をシステム管理から切り離すことができます。詳細な手順については、MLS でのシステム管理とセキュリティー管理の分離 を参照してください。sysadm_uユーザーは、SSH を使用して直接ログインできません。sysadm_uの SSH ログインを有効にするには、ssh_sysadm_loginブール値をonに設定します。# setsebool -P ssh_sysadm_login on関連するブール値:
SELinux boolean State Default Description ssh_sysadm_login (on , on) Allow ssh logins as sysadm_r:sysadm_t sysadm_exec_content (on , on) Allow sysadm to exec content xdm_sysadm_login (on , on) Allow the graphical login program to login directly as sysadm_r:sysadm_t
関連情報
- Linux ユーザーを制限のある管理者ロールに割り当てるには、sysadm_u へのマッピングによる管理者の制限 を参照してください。
各ロールと関連するタイプの詳細は、次の関連する man ページを参照してください。これらのページは、
selinux-policy-docパッケージとともにインストールされます。auditadm_selinux(8)、dbadm_selinux (8)、logadm_selinux(8)、webadm_selinux(8)、secadm_selinux(8)、およびsysadm_selinux(8)
