19.6. 仮想化用の SELinux ブール値
RHEL 9 は、SELinux が Enforcing モードのホストで自動的に有効になる特殊な SELinux ブール値のセットである sVirt 機能を提供します。
RHEL 9 システムにおける仮想マシンのセキュリティーの詳細な設定には、ハイパーバイザーが特定の方法で機能するように、ホストで SELinux のブール値を設定できます。
仮想化関連のブール値とそのステータスのリストを表示するには、getsebool -a | grep virt コマンドを実行します。
$ getsebool -a | grep virt
[...]
virt_sandbox_use_netlink --> off
virt_sandbox_use_sys_admin --> off
virt_transition_userdomain --> off
virt_use_comm --> off
virt_use_execmem --> off
virt_use_fusefs --> off
[...]
特定のブール値を有効にするには、root で setsebool -P boolean_name on コマンドを実行します。ブール値を無効にするには、setsebool -P boolean_name off を使用します。
以下の表は、RHEL 9 で利用可能な仮想化関連のブール値と、その値が有効な場合の動作を示しています。
| SELinux のブール値 | 説明 |
|---|---|
| staff_use_svirt | 非 root ユーザーが仮想マシンを作成して、sVirt に移行できるようになります。 |
| unprivuser_use_svirt | 非特権ユーザーが仮想マシンを作成して、sVirt に移行できるようになります。 |
| virt_sandbox_use_audit | サンドボックスコンテナーが監査メッセージを送信できるようになります。 |
| virt_sandbox_use_netlink | サンドボックスコンテナーでネットリンクシステム呼び出しが使用できるようになります。 |
| virt_sandbox_use_sys_admin | サンドボックスコンテナーで sys_admin システム呼び出し (mount 等) が使用できるようになります。 |
| virt_transition_userdomain | 仮想プロセスをユーザードメインとして実行できるようになります。 |
| virt_use_comm | virt でシリアルおよびパラレルの通信ポートが使用できるようになります。 |
| virt_use_execmem | 制限された仮想ゲストが実行可能メモリーおよび実行可能スタックを使用できるようになります。 |
| virt_use_fusefs | FUSE がマウントしたファイルを virt が読み取りできるようになります。 |
| virt_use_nfs | NFS がマウントしたファイルを virt が管理できるようになります。 |
| virt_use_rawip | virt で rawip ソケットとの通信ができるようになります。 |
| virt_use_samba | CIFS がマウントしたファイルを virt が管理できるようになります。 |
| virt_use_sanlock | 制限された仮想ゲストが sanlock と相互作用できるようになります。 |
| virt_use_usb | virt で USB デバイスが使用できるようになります。 |
| virt_use_xserver | 仮想マシンで X Window System と相互作用できるようになります。 |
