3.9. sudo および sysadm_r ロールを使用した管理者の制限
管理者権限を持つ特定のユーザーを SELinux ユーザー staff_u にマッピングし、ユーザーが SELinux 管理者ロール sysadm_r を取得できるように sudo を設定できます。このロールにより、SELinux 拒否なしで管理タスクを実行できます。ユーザーがログインすると、セッションは SELinux コンテキスト staff_u:staff_r:staff_t で実行されますが、ユーザーが sudo を使用してコマンドを入力すると、セッションは staff_u:sysadm_r:sysadm_t コンテキストに変更されます。
デフォルトでは、管理者権限を持つユーザーを含め、Red Hat Enterprise Linux のすべての Linux ユーザーは、制限のない SELinux ユーザー unconfined_u にマッピングされます。SELinux の制限のあるユーザーにユーザーを割り当てることで、システムのセキュリティーを強化できます。これは、V-71971 Security Technical Implementation Guide に準拠するのに役立ちます。
前提条件
-
rootユーザーは制限なしで実行します。これは、Red Hat Enterprise Linux のデフォルトです。
手順
新規または既存のユーザーを
staff_uSELinux ユーザーにマッピングします。新規ユーザーをマッピングするには、新規ユーザーを
wheelユーザーグループに追加し、そのユーザーを SELinux ユーザーstaff_uにマッピングします。# adduser -G wheel -Z staff_u <example_user>既存のユーザーをマッピングするには、ユーザーを
Wheelユーザーグループに追加し、そのユーザーを SELinux ユーザーstaff_uにマッピングします。# usermod -G wheel -Z staff_u <example_user>
ユーザーのホームディレクトリーのコンテキストを復元します。
# restorecon -R -F -v /home/<example_user><example_user>が SELinux 管理者ロールを取得できるようにするには、/etc/sudoers.d/ディレクトリーに新規ファイルを作成します。以下に例を示します。# visudo -f /etc/sudoers.d/<example_user>以下の行を新規ファイルに追加します。
<example_user> ALL=(ALL) TYPE=sysadm_t ROLE=sysadm_r ALL
検証
<example_user>が SELinux ユーザーstaff_uにマッピングされていることを確認します。# semanage login -l | grep <example_user> <example_user> staff_u s0-s0:c0.c1023 *
SSH などを使用して
<example_user>としてログインし、rootユーザーに切り替えます。[<example_user>@localhost ~]$ sudo -i [sudo] password for <example_user>:
rootセキュリティーコンテキストを表示します。# id -Z staff_u:sysadm_r:sysadm_t:s0-s0:c0.c1023sshdサービスを再起動するなど、管理タスクを実行します。# systemctl restart sshd出力がない場合は、コマンドが正常に完了します。
コマンドが正常に完了しない場合は、以下のメッセージが表示されます。
Failed to restart sshd.service: Access denied See system logs and 'systemctl status sshd.service' for details.
