6.7. MLS에서 파일 민감성 변경
MLS SELinux 정책에서 사용자는 자신의 민감도 수준에서만 파일을 수정할 수 있습니다. 이는 매우 민감한 정보가 더 낮은 수준에서 사용자에게 노출되지 않도록 하고, 낮은 수준의 사용자도 방지하기 위한 것입니다. 그러나 관리자는 파일의 분류를 수동으로 늘릴 수 있습니다(예: 상위 수준에서 처리할 파일 분류).
사전 요구 사항
-
SELinux 정책은
mls로 설정됩니다. - SELinux 모드는 enforcing으로 설정됩니다.
보안 관리 권한이 있습니다. 즉, 다음 중 하나에 할당됨을 의미합니다.
-
head
adm_r역할입니다. -
tekton
_secadm모듈이 활성화된 경우, to thetekton_r 역할로설정합니다. RuntimeClass_secadm모듈은 기본적으로 활성화되어 있습니다.
-
head
-
policycoreutils-python-utils패키지가 설치됩니다. 모든 명확한 수준에 할당된 사용자입니다. 자세한 내용은 MLS의 사용자 삭제 수준을 참조하십시오.
이 예에서 user
1에는 명확한수준s1이 있습니다.분류 수준이 할당되고 액세스 권한이 있는 파일입니다.
이 예에서
/path/to/file에는 분류 수준s1이 있습니다.
절차
파일의 분류 수준을 확인합니다.
# ls -lZ /path/to/file -rw-r-----. 1 User1 User1 user_u:object_r:user_home_t:s1 0 12. Feb 10:43 /path/to/file
파일의 기본 분류 수준을 변경합니다.
# semanage fcontext -a -r s2 /path/to/file파일의 SELinux 컨텍스트 레이블을 강제로 다시 지정합니다.
# restorecon -F -v /path/to/file Relabeled /path/to/file from user_u:object_r:user_home_t:s1 to user_u:object_r:user_home_t:s2
검증
파일의 분류 수준을 확인합니다.
# ls -lZ /path/to/file -rw-r-----. 1 User1 User1 user_u:object_r:user_home_t:s2 0 12. Feb 10:53 /path/to/file
선택 사항: lower-clearance 사용자가 파일을 읽을 수 없는지 확인합니다.
$ cat /path/to/file cat: file: Permission denied
추가 리소스
