2.8. JBoss Web Server の SELinux ポリシー
Security-Enhanced Linux (SELinux) ポリシーを使用して、JBoss Web Server のアクセス制御を定義できます。これらのポリシーは、製品へのアクセス権を決定する一連のルールです。
2.8.1. jws6-tomcat の SELinux ポリシー情報 リンクのコピーリンクがクリップボードにコピーされました!
SELinux セキュリティーモデルはカーネルにより適用され、ファイルシステムの場所やポートなどのリソースへのアプリケーションのアクセスが限定されるようにします。SELinux ポリシーは、危険にさらされているか、不適切な設定である誤ったプロセスを制限したり、実行できないようにしたりします。
JBoss Web Server インストールの jws6-tomcat-selinux パッケージは、jws6_tomcat ポリシーを提供します。次の表には、提供されている SELinux ポリシーに関する情報が含まれています。
| 名前 | ポート情報 | ポリシー情報 |
|---|---|---|
|
|
|
|
2.8.2. JBoss Web Server アーカイブインストール用の SELinux ポリシーのインストール リンクのコピーリンクがクリップボードにコピーされました!
このリリースでは、アーカイブパッケージが SELinux ポリシーを提供します。jws-6.0.0-application-server-<platform>-<architecture>.zip アーカイブの tomcat フォルダーには、.postinstall.selinux ファイルが含まれています。必要に応じて、.postinstall.selinux スクリプトを実行できます。
手順
selinux-policy-develパッケージをインストールします。dnf install -y selinux-policy-devel
dnf install -y selinux-policy-develCopy to Clipboard Copied! Toggle word wrap Toggle overflow .postinstall.selinuxスクリプトを実行します。cd <JWS_home>/tomcat/ sh .postinstall.selinux
cd <JWS_home>/tomcat/ sh .postinstall.selinuxCopy to Clipboard Copied! Toggle word wrap Toggle overflow JBoss Web Server の必要なポートにアクセスパーミッションを追加します。
semanage port -a -t http_port_t -p tcp <port>
semanage port -a -t http_port_t -p tcp <port>Copy to Clipboard Copied! Toggle word wrap Toggle overflow 注記JBoss Web Server は Red Hat Enterprise Linux システムのポート
8080、8009、8443、8005にアクセスできます。JBoss Web Server に追加のポートが必要な場合は、前述の
semanageコマンドを使用して必要な権限を提供し、<port>を必要なポートに置き換えます。Tomcat を起動します。
<JWS_home>/tomcat/bin/startup.sh
<JWS_home>/tomcat/bin/startup.shCopy to Clipboard Copied! Toggle word wrap Toggle overflow jws6_tomcatを想定している実行中のプロセスのコンテキストを確認します。ps -eo pid,user,label,args | grep jws6_tomcat | head -n1
ps -eo pid,user,label,args | grep jws6_tomcat | head -n1Copy to Clipboard Copied! Toggle word wrap Toggle overflow Tomcat ディレクトリーのコンテキストを確認します。以下に例を示します。
ls -lZ <JWS_home>/tomcat/logs/
ls -lZ <JWS_home>/tomcat/logs/Copy to Clipboard Copied! Toggle word wrap Toggle overflow
デフォルトでは、JBoss Web Server が提供する SElinux ポリシーはアクティブではなく、Tomcat プロセスは unconfined_java_t ドメインで実行されます。このドメインは、プロセスを限定するものではありません。
提供されている SELinux ポリシーを有効にしないことを選択した場合は、次のセキュリティー対策を講じることができます。
-
tomcatユーザーのファイルアクセスを制限して、Tomcatユーザーが JBoss Web Server ランタイムに必要なファイルとディレクトリーのみにアクセスできるようにします。 - root ユーザーで Tomcat を実行しないでください。
JBoss Web Server がアーカイブファイルからインストールされた場合、Red Hat はネットワークファイル共有 (NFS) の使用を正式にサポートしません。JBoss Web Server インストールで NFS マウントのファイルシステムを使用する場合には、このタイプのデプロイメントに対応するために SELinux ポリシーが正しく変更されていることを確認する必要があります。