6.4. MLS에서 사용자 명확한 설정

프로세스

1. 선택 사항: SELinux 정책에 오류를 추가하지 않으려면 허용 SELinux 모드로 전환하여 문제 해결을 용이하게 합니다.

   # setenforce 0

   Copy to Clipboard Toggle word wrap

   허용 모드에서 SELinux는 활성 정책을 적용하지 않지만 문제 해결 및 디버깅에 사용할 수 있는 AVC(Access Vector Cache) 메시지만 기록합니다.

2. staff_u SELinux 사용자의 명확한 범위를 정의합니다. 예를 들어 이 명령은 s1 에서 s15 로 명확한 범위를 설정하고 s1 은 기본 명확한 수준입니다.

   # semanage user -m -L s1 -r s1-s15 staff_u

   Copy to Clipboard Toggle word wrap

3. 사용자 홈 디렉터리에 대한 SELinux 파일 컨텍스트 구성 항목을 생성합니다.

   # genhomedircon

   Copy to Clipboard Toggle word wrap

4. 파일 보안 컨텍스트를 기본값으로 복원합니다.

   # restorecon -R -F -v /home/
   Relabeled /home/staff from staff_u:object_r:user_home_dir_t:s0 to staff_u:object_r:user_home_dir_t:s1
   Relabeled /home/staff/.bash_logout from staff_u:object_r:user_home_t:s0 to staff_u:object_r:user_home_t:s1
   Relabeled /home/staff/.bash_profile from staff_u:object_r:user_home_t:s0 to staff_u:object_r:user_home_t:s1
   Relabeled /home/staff/.bashrc from staff_u:object_r:user_home_t:s0 to staff_u:object_r:user_home_t:s1

   Copy to Clipboard Toggle word wrap

5. 사용자에게 명확한 수준을 할당합니다.

   # semanage login -m -r s1 example_user

   Copy to Clipboard Toggle word wrap

   여기서 s1 은 사용자에게 할당된 명확한 수준입니다.

6. 사용자의 홈 디렉터리의 레이블을 사용자의 명확한 수준으로 다시 지정합니다.

   # chcon -R -l s1 /home/example_user

   Copy to Clipboard Toggle word wrap

7. 선택 사항: 이전에 허용 SELinux 모드로 전환했으며 모든 항목이 예상대로 작동하는지 확인한 후 강제 SELinux 모드로 다시 전환합니다.

   # setenforce 1

   Copy to Clipboard Toggle word wrap

검증

1. 사용자가 올바른 SELinux 사용자에게 매핑되고 올바른 명확한 수준이 할당되어 있는지 확인합니다.

   # semanage login -l
   Login Name      SELinux User         MLS/MCS Range        Service
   __default__     user_u               s0-s0                *
   example_user    user_u               s1                   *
   …

   Copy to Clipboard Toggle word wrap
2. MLS 내에서 사용자로 로그인합니다.

3. 사용자의 보안 수준이 올바르게 작동하는지 확인합니다.

   주의

   확인에 사용하는 파일에는 구성이 올바르지 않고 사용자가 실제로 권한 없이 파일에 액세스할 수 있는 경우 중요한 정보가 포함되어 있지 않아야 합니다.

   1. 사용자가 더 높은 수준의 민감도를 가진 파일을 읽을 수 없는지 확인합니다.
   2. 사용자가 민감도가 동일한 파일에 쓸 수 있는지 확인합니다.
   3. 사용자가 낮은 수준의 민감도를 사용하여 파일을 읽을 수 있는지 확인합니다.