3장. 대상 지정 정책

절차 3.1. SELinux 상태를 확인하는 방법

1. SELinux가 활성화되어 있고 강제 모드로 실행 중이며 타겟 정책이 사용 중인지 확인합니다. 올바른 출력은 아래 출력과 유사해야 합니다.

   ~]$ sestatus
   SELinux status:                 enabled
   SELinuxfs mount:                /sys/fs/selinux
   SELinux root directory:         /etc/selinux
   Loaded policy name:             targeted
   Current mode:                   enforcing
   Mode from config file:          enforcing
   Policy MLS status:              enabled
   Policy deny_unknown status:     allowed
   Max kernel policy version:      30

   Copy to Clipboard Toggle word wrap
   SELinux 모드 변경에 대한 자세한 내용은 4.4절. “SELinux 상태 및 모드의 영구 변경” 을 참조하십시오.
2. root 로서 /var/www/html/ 디렉터리에 파일을 생성합니다.

   ~]# touch /var/www/html/testfile

   Copy to Clipboard Toggle word wrap
3. 새로 생성된 파일의 SELinux 컨텍스트를 보려면 다음 명령을 입력합니다.

   ~]$ ls -Z /var/www/html/testfile
   -rw-r--r--  root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/testfile
   

   Copy to Clipboard Toggle word wrap
   기본적으로 Linux 사용자는 Red Hat Enterprise Linux에서 제한되지 않습니다. 따라서 testfile 파일은 SELinux unconfined_u 사용자로 레이블이 지정됩니다. RBAC는 파일이 아닌 프로세스에 사용됩니다. 역할에는 파일에 대한 의미가 없습니다. object_r 역할은 파일(영구 스토리지 및 네트워크 파일 시스템에서)에 사용되는 일반 역할입니다. /proc 디렉터리에서 프로세스와 관련된 파일은 system_r 역할을 사용할 수 있습니다. httpd_sys_content_t 유형을 사용하면 httpd 프로세스가 이 파일에 액세스할 수 있습니다.

절차 3.2. 제한된 프로세스의 예

1. root 로 httpd 데몬을 시작합니다.

   ~]# systemctl start httpd.service

   Copy to Clipboard Toggle word wrap
   서비스가 실행 중인지 확인합니다. 출력에는 아래 정보가 포함되어야 합니다(시간 스탬프만 다릅니다).

   ~]$ systemctl status httpd.service
   httpd.service - The Apache HTTP Server
   	  Loaded: loaded (/usr/lib/systemd/system/httpd.service; disabled)
   	  Active: active (running) since Mon 2013-08-05 14:00:55 CEST; 8s ago
   

   Copy to Clipboard Toggle word wrap
2. Linux 사용자가 에 대한 쓰기 액세스 권한이 있는 디렉터리로 변경하고 다음 명령을 입력합니다. 기본 구성을 변경하지 않는 한 이 명령은 성공합니다.

   ~]$ wget http://localhost/testfile
   --2009-11-06 17:43:01--  http://localhost/testfile
   Resolving localhost... 127.0.0.1
   Connecting to localhost|127.0.0.1|:80... connected.
   HTTP request sent, awaiting response... 200 OK
   Length: 0 [text/plain]
   Saving to: `testfile'
   
   [ <=>                              ] 0     --.-K/s   in 0s
   
   2009-11-06 17:43:01 (0.00 B/s) - `testfile' saved [0/0]
   

   Copy to Clipboard Toggle word wrap
3. chcon 명령은 파일의 레이블을 다시 지정하지만 파일 시스템의 레이블을 다시 지정할 때 이러한 레이블 변경 사항은 유지되지 않습니다. 파일 시스템 재레이블 후에도 유지되는 영구 변경 사항은 나중에 설명하는 semanage 유틸리티를 사용합니다. root로 다음 명령을 입력하여 유형을 Samba에서 사용하는 유형으로 변경합니다.

   ~]# chcon -t samba_share_t /var/www/html/testfile

   Copy to Clipboard Toggle word wrap
   변경 사항을 보려면 다음 명령을 입력합니다.

   ~]$ ls -Z /var/www/html/testfile
   -rw-r--r--  root root unconfined_u:object_r:samba_share_t:s0 /var/www/html/testfile
   

   Copy to Clipboard Toggle word wrap
4. 현재 DAC 권한을 사용하면 httpd 프로세스에서 testfile 에 액세스할 수 있습니다. 사용자가 쓰기 액세스 권한이 있는 디렉터리로 변경하고 다음 명령을 입력합니다. 기본 구성을 변경하지 않는 한 이 명령은 실패합니다.

   ~]$ wget http://localhost/testfile
   --2009-11-06 14:11:23--  http://localhost/testfile
   Resolving localhost... 127.0.0.1
   Connecting to localhost|127.0.0.1|:80... connected.
   HTTP request sent, awaiting response... 403 Forbidden
   2009-11-06 14:11:23 ERROR 403: Forbidden.
   

   Copy to Clipboard Toggle word wrap
5. root 로서 testfile 제거 :

   ~]# rm -i /var/www/html/testfile

   Copy to Clipboard Toggle word wrap
6. httpd 를 실행할 필요가 없는 경우 root로 다음 명령을 입력하여 중지합니다.

   ~]# systemctl stop httpd.service

   Copy to Clipboard Toggle word wrap