6.10. MLS 사용자가 더 낮은 수준에서 파일을 편집 가능

절차

1. 선택 사항: 문제 해결을 위해 허용 모드로 전환합니다.

   # setenforce 0

2. 텍스트 편집기로 새 .cil 파일(예: ~/local_mlsfilewrite.cil )을 열고 다음 사용자 지정 규칙을 삽입합니다.

   (typeattributeset mlsfilewrite (_staff_t_))

   staff_t 를 다른 SELinux 유형으로 교체할 수 있습니다. SELinux 유형을 지정하면 하위 수준 파일을 편집할 수 있는 SELinux 역할을 제어할 수 있습니다.

   로컬 모듈을 더 잘 정리하려면 로컬 SELinux 정책 모듈의 이름에 local_ 접두사를 사용합니다.

3. policy 모듈을 설치합니다.

   # semodule -i ~/local_mlsfilewrite.cil

   참고

   로컬 정책 모듈을 제거하려면 semodule -r ~/local_mlsfilewrite 를 사용합니다. .cil 접미사 없이 모듈 이름을 참조해야 합니다.

4. 선택 사항: 이전에 허용 모드로 다시 전환한 경우 강제 모드로 돌아갑니다.

   # setenforce 1

검증

1. 설치된 SELinux 모듈 목록에서 로컬 모듈을 찾습니다.

   # semodule -lfull | grep "local_mls"
   400 local_mlsfilewrite  cil

   로컬 모듈에는 우선 순위가 400 이므로 semodule -lfull | grep -v ^100 명령을 사용하여 나열할 수도 있습니다.

2. 사용자 지정 규칙에 정의된 유형에 할당된 사용자로 로그인합니다(예: staff_t ).

3. 민감도 수준이 낮은 파일에 쓰기를 시도합니다. 이렇게 하면 파일의 분류 수준이 사용자의 명확한 수준으로 증가합니다.

   중요

   확인에 사용하는 파일에는 구성이 올바르지 않은 경우 중요한 정보가 포함되어 있지 않아야 하며 사용자가 실제로 권한 부여 없이 파일에 액세스할 수 있습니다.