3.8. sysadm_u へのマッピングによる管理者の制限

手順

1. 必要に応じて、sysadm_u ユーザーが SSH を使用してシステムに接続できるようにするには、次のコマンドを実行します。

   # setsebool -P ssh_sysadm_login on

2. 新しいユーザーまたは既存のユーザーを sysadm_u SELinux ユーザーにマッピングします。

   • 新規ユーザーをマッピングするには、新規ユーザーを wheel ユーザーグループに追加し、そのユーザーを SELinux ユーザー sysadm_u にマッピングします。

     # adduser -G wheel -Z sysadm_u <example_user>

   • 既存のユーザーをマッピングするには、ユーザーを wheel ユーザーグループに追加し、そのユーザーを SELinux ユーザー sysadm_u にマッピングします。

     # usermod -G wheel -Z sysadm_u <example_user>

3. ユーザーのホームディレクトリーのコンテキストを復元します。

   # restorecon -R -F -v /home/<example_user>

検証

1. <example_user> が、SELinux ユーザー sysadm_u にマッピングされていることを確認します。

   # semanage login -l | grep <example_user>
   <example_user>     sysadm_u    s0-s0:c0.c1023   *

2. SSH などを使用して <example_user> としてログインし、ユーザーのセキュリティーコンテキストを表示します。

   [<example_user>@localhost ~]$ id -Z
   sysadm_u:sysadm_r:sysadm_t:s0-s0:c0.c1023

3. root ユーザーに切り替えます。

   $ sudo -i
   [sudo] password for <example_user>:

4. セキュリティーコンテキストが変更されていないことを確認します。

   # id -Z
   sysadm_u:sysadm_r:sysadm_t:s0-s0:c0.c1023

5. sshd サービスを再起動するなど、管理タスクを実行します。

   # systemctl restart sshd

   出力がない場合は、コマンドが正常に完了します。

   コマンドが正常に完了しない場合は、以下のメッセージが表示されます。

   Failed to restart sshd.service: Access denied
   See system logs and 'systemctl status sshd.service' for details.