Usando SELinux

Procedimento

1. Abra o arquivo /etc/selinux/config em um editor de texto de sua escolha, por exemplo:

   # vi /etc/selinux/config

   Copy to Clipboard Toggle word wrap

2. Configure a opção SELINUX=permissive:

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=permissive
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

   Copy to Clipboard Toggle word wrap

3. Reinicie o sistema:

   # reboot

   Copy to Clipboard Toggle word wrap

Etapas de verificação

1. Após o reinício do sistema, confirme que o comando getenforce retorna Permissive:

   $ getenforce
   Permissive

   Copy to Clipboard Toggle word wrap

Procedimento

1. Abra o arquivo /etc/selinux/config em um editor de texto de sua escolha, por exemplo:

   # vi /etc/selinux/config

   Copy to Clipboard Toggle word wrap

2. Configure a opção SELINUX=enforcing:

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=enforcing
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

   Copy to Clipboard Toggle word wrap

3. Salve a mudança, e reinicie o sistema:

   # reboot

   Copy to Clipboard Toggle word wrap

   Na próxima inicialização, o SELinux reetiqueta todos os arquivos e diretórios dentro do sistema e adiciona o contexto SELinux para arquivos e diretórios que foram criados quando o SELinux foi desativado.

Etapas de verificação

1. Após o reinício do sistema, confirme que o comando getenforce retorna Enforcing:

   $ getenforce
   Enforcing

   Copy to Clipboard Toggle word wrap

Procedimento

1. Habilitar o SELinux em modo permissivo. Para mais informações, consulte Mudando para o modo permissivo.

2. Reinicie seu sistema:

   # reboot

   Copy to Clipboard Toggle word wrap
3. Para mais informações, consulte Identificando as recusas da SELinux.
4. Se não houver negações, mude para o modo de aplicação. Para mais informações, consulte Mudando os modos SELinux no momento da inicialização.

Etapas de verificação

1. Após o reinício do sistema, confirme que o comando getenforce retorna Enforcing:

   $ getenforce
   Enforcing

   Copy to Clipboard Toggle word wrap

Procedimento

1. Abra o arquivo /etc/selinux/config em um editor de texto de sua escolha, por exemplo:

   # vi /etc/selinux/config

   Copy to Clipboard Toggle word wrap

2. Configure a opção SELINUX=disabled:

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=disabled
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

   Copy to Clipboard Toggle word wrap

3. Salve a mudança, e reinicie seu sistema:

   # reboot

   Copy to Clipboard Toggle word wrap

Etapas de verificação

1. Após reiniciar, confirme que o comando getenforce retorna Disabled:

   $ getenforce
   Disabled

   Copy to Clipboard Toggle word wrap

Procedimento

1. Digite o seguinte comando para criar um novo usuário Linux chamado example.user:

   # useradd example.user

   Copy to Clipboard Toggle word wrap

2. Para atribuir uma senha para o usuário do Linux example.user:

   # passwd example.user
   Changing password for user example.user.
   New password:
   Retype new password:
   passwd: all authentication tokens updated successfully.

   Copy to Clipboard Toggle word wrap
3. Saia de sua sessão atual.
4. Faça o login como usuário do Linux example.user. Quando você faz o login, o módulo pam_selinux PAM mapeia automaticamente o usuário Linux para um usuário SELinux (neste caso, unconfined_u), e configura o contexto SELinux resultante. O shell do usuário Linux é então lançado com este contexto.

Etapas de verificação

1. Quando conectado como usuário do example.user, verifique o contexto de um usuário Linux:

   $ id -Z
   unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

Procedimento

1. Digite o seguinte comando para criar um novo usuário Linux chamado example.user e mapeá-lo para o usuário do SELinux staff_u:

   # useradd -Z staff_u example.user

   Copy to Clipboard Toggle word wrap

2. Para atribuir uma senha para o usuário do Linux example.user:

   # passwd example.user
   Changing password for user example.user.
   New password:
   Retype new password:
   passwd: all authentication tokens updated successfully.

   Copy to Clipboard Toggle word wrap
3. Saia de sua sessão atual.
4. Faça o login como usuário do Linux example.user. O shell do usuário lança com o contexto staff_u.

Etapas de verificação

1. Quando conectado como usuário do example.user, verifique o contexto de um usuário Linux:

   $ id -Z
   uid=1000(example.user) gid=1000(example.user) groups=1000(example.user) context=staff_u:staff_r:staff_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

Procedimento

1. Inicie o serviço httpd e verifique o status:

   # systemctl start httpd
   # systemctl status httpd
   ...
   httpd[14523]: (13)Permission denied: AH00072: make_sock: could not bind to address [::]:3131
   ...
   systemd[1]: Failed to start The Apache HTTP Server.
   ...

   Copy to Clipboard Toggle word wrap

2. A política da SELinux assume que httpd funciona na porta 80:

   # semanage port -l | grep http
   http_cache_port_t              tcp      8080, 8118, 8123, 10001-10010
   http_cache_port_t              udp      3130
   http_port_t                    tcp      80, 81, 443, 488, 8008, 8009, 8443, 9000
   pegasus_http_port_t            tcp      5988
   pegasus_https_port_t           tcp      5989

   Copy to Clipboard Toggle word wrap

3. Mude o tipo SELinux da porta 3131 para corresponder à porta 80:

   # semanage port -a -t http_port_t -p tcp 3131

   Copy to Clipboard Toggle word wrap

4. Comece httpd novamente:

   # systemctl start httpd

   Copy to Clipboard Toggle word wrap

5. No entanto, o conteúdo permanece inacessível:

   # wget localhost:3131/index.html
   ...
   HTTP request sent, awaiting response... 403 Forbidden
   ...

   Copy to Clipboard Toggle word wrap

   Encontre o motivo com a ferramenta sealert:

   # sealert -l "*"
   ...
   SELinux is preventing httpd from getattr access on the file /var/test_www/html/index.html.
   ...

   Copy to Clipboard Toggle word wrap

6. Compare os tipos de SELinux para o padrão e o novo caminho usando a ferramenta matchpathcon:

   # matchpathcon /var/www/html /var/test_www/html
   /var/www/html       system_u:object_r:httpd_sys_content_t:s0
   /var/test_www/html  system_u:object_r:var_t:s0

   Copy to Clipboard Toggle word wrap

7. Mude o tipo SELinux do novo diretório de conteúdo /var/test_www/html/ para o tipo do diretório padrão /var/www/html:

   # semanage fcontext -a -e /var/www /var/test_www

   Copy to Clipboard Toggle word wrap

8. Reenquadre o diretório /var recursivamente:

   # restorecon -Rv /var/
   ...
   Relabeled /var/test_www/html from unconfined_u:object_r:var_t:s0 to unconfined_u:object_r:httpd_sys_content_t:s0
   Relabeled /var/test_www/html/index.html from unconfined_u:object_r:var_t:s0 to unconfined_u:object_r:httpd_sys_content_t:s0

   Copy to Clipboard Toggle word wrap

Etapas de verificação

1. Verifique se o serviço httpd está funcionando:

   # systemctl status httpd
   ...
   Active: active (running)
   ...
   systemd[1]: Started The Apache HTTP Server.
   httpd[14888]: Server configured, listening on: port 3131
   ...

   Copy to Clipboard Toggle word wrap

2. Verificar se o conteúdo fornecido pelo servidor HTTP Apache está acessível:

   # wget localhost:3131/index.html
   ...
   HTTP request sent, awaiting response... 200 OK
   Length: 0 [text/html]
   Saving to: ‘index.html’
   ...

   Copy to Clipboard Toggle word wrap

Procedimento

1. Identificar as booleanas SELinux relevantes para NFS, CIFS, e Apache:

   # semanage boolean -l | grep 'nfs\|cifs' | grep httpd
   httpd_use_cifs                 (off  ,  off)  Allow httpd to access cifs file systems
   httpd_use_nfs                  (off  ,  off)  Allow httpd to access nfs file systems

   Copy to Clipboard Toggle word wrap

2. Liste o estado atual das booleanas:

   $ getsebool -a | grep 'nfs\|cifs' | grep httpd
   httpd_use_cifs --> off
   httpd_use_nfs --> off

   Copy to Clipboard Toggle word wrap

3. Habilitar as booleanas identificadas:

   # setsebool httpd_use_nfs on
   # setsebool httpd_use_cifs on

   Copy to Clipboard Toggle word wrap
   Nota

   Use setsebool com a opção -P para fazer com que as mudanças sejam persistentes em todas as reinicializações. Um comando setsebool -P requer uma reconstrução de toda a política, e pode levar algum tempo, dependendo de sua configuração.

Etapas de verificação

1. Verifique se as booleans estão em on:

   $ getsebool -a | grep 'nfs\|cifs' | grep httpd
   httpd_use_cifs --> on
   httpd_use_nfs --> on

   Copy to Clipboard Toggle word wrap

Procedimento

1. Quando seu cenário é bloqueado pela SELinux, o arquivo /var/log/audit/audit.log é o primeiro lugar para verificar mais informações sobre uma negação. Para consultar os logs de Auditoria, use a ferramenta ausearch. Como as decisões do SELinux, tais como permitir ou não o acesso, estão em cache e este cache é conhecido como Access Vector Cache (AVC), utilize os valores AVC e USER_AVC para o parâmetro de tipo de mensagem, por exemplo:

   # ausearch -m AVC,USER_AVC,SELINUX_ERR,USER_SELINUX_ERR -ts recent

   Copy to Clipboard Toggle word wrap

   Se não houver correspondências, verifique se o daemon de Auditoria está funcionando. Se não houver, repita o cenário negado depois de iniciar auditd e verifique novamente o log de Auditoria.

2. No caso de auditd estar funcionando, mas não há correspondências na saída de ausearch, verifique as mensagens fornecidas pelo Jornal systemd:

   # journalctl -t setroubleshoot

   Copy to Clipboard Toggle word wrap

3. Se o SELinux estiver ativo e o daemon de Auditoria não estiver rodando em seu sistema, então procure por certas mensagens SELinux na saída do comando dmesg:

   # dmesg | grep -i -e type=1300 -e type=1400

   Copy to Clipboard Toggle word wrap

4. Mesmo após as três verificações anteriores, ainda é possível que você não tenha encontrado nada. Neste caso, as negações do AVC podem ser silenciadas por causa das regras do dontaudit.

   Para desativar temporariamente as regras do dontaudit, permitindo que todas as negações sejam registradas:

   # semodule -DB

   Copy to Clipboard Toggle word wrap

   Depois de executar novamente seu cenário negado e encontrar mensagens de negação usando os passos anteriores, o seguinte comando habilita novamente as regras da política dontaudit:

   # semodule -B

   Copy to Clipboard Toggle word wrap

5. Se você aplicar todas as quatro etapas anteriores, e o problema ainda permanecer não identificado, considere se a SELinux realmente bloqueia seu cenário:

   • Mudar para o modo permissivo:

     # setenforce 0
     $ getenforce
     Permissive

     Copy to Clipboard Toggle word wrap
   • Repita seu cenário.

   Se o problema ainda ocorrer, algo diferente da SELinux está bloqueando seu cenário.

Procedimento

1. Liste mais detalhes sobre uma negação registrada usando o comando sealert, por exemplo:

   $ sealert -l "*"
   SELinux is preventing /usr/bin/passwd from write access on the file
   /root/test.
   
   *****  Plugin leaks (86.2 confidence) suggests *****************************
   
   If you want to ignore passwd trying to write access the test file,
   because you believe it should not need this access.
   Then you should report this as a bug.
   You can generate a local policy module to dontaudit this access.
   Do
   # ausearch -x /usr/bin/passwd --raw | audit2allow -D -M my-passwd
   # semodule -X 300 -i my-passwd.pp
   
   *****  Plugin catchall (14.7 confidence) suggests **************************
   
   ...
   
   Raw Audit Messages
   type=AVC msg=audit(1553609555.619:127): avc:  denied  { write } for
   pid=4097 comm="passwd" path="/root/test" dev="dm-0" ino=17142697
   scontext=unconfined_u:unconfined_r:passwd_t:s0-s0:c0.c1023
   tcontext=unconfined_u:object_r:admin_home_t:s0 tclass=file permissive=0
   
   ...
   
   Hash: passwd,passwd_t,admin_home_t,file,write

   Copy to Clipboard Toggle word wrap

2. Se a saída obtida na etapa anterior não contiver sugestões claras:

   • Habilitar a auditoria de percurso completo para ver os caminhos completos dos objetos acessados e tornar visíveis os campos adicionais de eventos de Auditoria Linux:

     # auditctl -w /etc/shadow -p w -k shadow-write

     Copy to Clipboard Toggle word wrap

   • Limpar o cache setroubleshoot:

     # rm -f /var/lib/setroubleshoot/setroubleshoot.xml

     Copy to Clipboard Toggle word wrap
   • Reproduzir o problema.

   • Repita o passo 1.

     Após terminar o processo, desabilite a auditoria de percurso completo:

     # auditctl -W /etc/shadow -p w -k shadow-write

     Copy to Clipboard Toggle word wrap
3. Se sealert retornar apenas catchall sugestões ou sugerir a adição de uma nova regra usando a ferramenta audit2allow, combine seu problema com os exemplos listados e explicados no SELinux negados no log de Auditoria.

Procedimento

1. Instale o pacote selinux-policy-mls:

   # yum install selinux-policy-mls

   Copy to Clipboard Toggle word wrap

2. Abra o arquivo /etc/selinux/config em um editor de texto de sua escolha, por exemplo:

   # vi /etc/selinux/config

   Copy to Clipboard Toggle word wrap

3. Mudar o modo SELinux de aplicação para permissivo e mudar da política de destino para MLS:

   SELINUX=permissive
   SELINUXTYPE=mls

   Copy to Clipboard Toggle word wrap

   Salve as mudanças, e deixe o editor.

4. Antes de ativar a política MLS, você deve reetique cada arquivo no sistema de arquivos com uma etiqueta MLS:

   # fixfiles -F onboot
   System will relabel on next boot

   Copy to Clipboard Toggle word wrap

5. Reinicie o sistema:

   # reboot

   Copy to Clipboard Toggle word wrap

6. Verifique se a SELinux negou:

   # ausearch -m AVC,USER_AVC,SELINUX_ERR,USER_SELINUX_ERR -ts recent -i

   Copy to Clipboard Toggle word wrap

   Como o comando anterior não cobre todos os cenários, veja Solução de problemas relacionados ao SELinux para orientação na identificação, análise e correção de recusas do SELinux.

7. Depois de garantir que não haja problemas relacionados ao SELinux em seu sistema, mude o SELinux de volta para o modo de aplicação, alterando a opção correspondente em /etc/selinux/config:

   SELINUX=forçando

   Copy to Clipboard Toggle word wrap

8. Reinicie o sistema:

   # reboot

   Copy to Clipboard Toggle word wrap

Etapas de verificação

1. Verificar se a SELinux funciona em modo de aplicação:

   # getenforce
   Enforcing

   Copy to Clipboard Toggle word wrap

2. Verifique se o status da SELinux retorna o valor mls:

   # sestatus | grep mls
   Loaded policy name:             mls

   Copy to Clipboard Toggle word wrap

Procedimento

1. Para este procedimento de exemplo, prepare um daemon simples que abra o arquivo /var/log/messages para escrita:

   1. Crie um novo arquivo e abra-o em um editor de texto de sua escolha:

      $ vi mydaemon.c

      Copy to Clipboard Toggle word wrap

   2. Insira o seguinte código:

      #include <unistd.h>
      #include <stdio.h>
      
      FILE *f;
      
      int main(void)
      {
      while(1) {
      f = fopen("/var/log/messages","w");
              sleep(5);
              fclose(f);
          }
      }

      Copy to Clipboard Toggle word wrap

   3. Compilar o arquivo:

      $ gcc -o mydaemon mydaemon.c

      Copy to Clipboard Toggle word wrap

   4. Crie um arquivo de unidade systemd para seu daemon:

      $ vi mydaemon.service
      [Unit]
      Description=Simple testing daemon
      
      [Service]
      Type=simple
      ExecStart=/usr/local/bin/mydaemon
      
      [Install]
      WantedBy=multi-user.target

      Copy to Clipboard Toggle word wrap

   5. Instale e inicie o daemon:

      # cp mydaemon /usr/local/bin/
      # cp mydaemon.service /usr/lib/systemd/system
      # systemctl start mydaemon
      # systemctl status mydaemon
      ● mydaemon.service - Simple testing daemon
         Loaded: loaded (/usr/lib/systemd/system/mydaemon.service; disabled; vendor preset: disabled)
         Active: active (running) since Sat 2020-05-23 16:56:01 CEST; 19s ago
       Main PID: 4117 (mydaemon)
          Tasks: 1
         Memory: 148.0K
         CGroup: /system.slice/mydaemon.service
                 └─4117 /usr/local/bin/mydaemon
      
      May 23 16:56:01 localhost.localdomain systemd[1]: Started Simple testing daemon.

      Copy to Clipboard Toggle word wrap

   6. Verifique se o novo daemon não está confinado pela SELinux:

      $ ps -efZ | grep mydaemon
      system_u:system_r:unconfined_service_t:s0 root 4117    1  0 16:56 ?        00:00:00 /usr/local/bin/mydaemon

      Copy to Clipboard Toggle word wrap

2. Gerar uma política personalizada para o daemon:

   $ sepolicy generate --init /usr/local/bin/mydaemon
   Created the following files:
   /home/example.user/mysepol/mydaemon.te # Type Enforcement file
   /home/example.user/mysepol/mydaemon.if # Interface file
   /home/example.user/mysepol/mydaemon.fc # File Contexts file
   /home/example.user/mysepol/mydaemon_selinux.spec # Spec file
   /home/example.user/mysepol/mydaemon.sh # Setup Script

   Copy to Clipboard Toggle word wrap

3. Reconstruir a política do sistema com o novo módulo de política usando o script de configuração criado pelo comando anterior:

   # ./mydaemon.sh
   Building and Loading Policy
   + make -f /usr/share/selinux/devel/Makefile mydaemon.pp
   Compiling targeted mydaemon module
   Creating targeted mydaemon.pp policy package
   rm tmp/mydaemon.mod.fc tmp/mydaemon.mod
   + /usr/sbin/semodule -i mydaemon.pp
   ...

   Copy to Clipboard Toggle word wrap

   Observe que o script de configuração reescreve a parte correspondente do sistema de arquivos usando o comando restorecon:

   restorecon -v /usr/local/bin/mydaemon /usr/lib/systemd/systemd

   Copy to Clipboard Toggle word wrap

4. Reinicie o daemon, e verifique se ele agora funciona confinado pela SELinux:

   # systemctl restart mydaemon
   $ ps -efZ | grep mydaemon
   system_u:system_r:mydaemon_t:s0 root        8150       1  0 17:18 ?        00:00:00 /usr/local/bin/mydaemon

   Copy to Clipboard Toggle word wrap

5. Como o daemon agora está confinado pela SELinux, a SELinux também o impede de acessar /var/log/messages. Exibir a mensagem de negação correspondente:

   # ausearch -m AVC -ts recent
   ...
   type=AVC msg=audit(1590247112.719:5935): avc:  denied  { open } for  pid=8150 comm="mydaemon" path="/var/log/messages" dev="dm-0" ino=2430831 scontext=system_u:system_r:mydaemon_t:s0 tcontext=unconfined_u:object_r:var_log_t:s0 tclass=file permissive=1
   ...

   Copy to Clipboard Toggle word wrap

6. Você pode obter informações adicionais também usando a ferramenta sealert:

   $ sealert
   SELinux is preventing mydaemon from open access on the file /var/log/messages.
   
    Plugin catchall (100. confidence) suggests *
   
   If you believe that mydaemon should be allowed open access on the messages file by default.
   Then you should report this as a bug.
   You can generate a local policy module to allow this access.
   Do
   allow this access for now by executing:
   # ausearch -c 'mydaemon' --raw | audit2allow -M my-mydaemon
   # semodule -X 300 -i my-mydaemon.pp
   
   Additional Information:
   Source Context                system_u:system_r:mydaemon_t:s0
   Target Context                unconfined_u:object_r:var_log_t:s0
   Target Objects                /var/log/messages [ file ]
   Source                        mydaemon
   
   ...

   Copy to Clipboard Toggle word wrap

7. Use a ferramenta audit2allow para sugerir mudanças:

   $ ausearch -m AVC -ts recent | audit2allow -R
   
   require {
   	type mydaemon_t;
   }
   
   #============= mydaemon_t ==============
   logging_write_generic_logs(mydaemon_t)

   Copy to Clipboard Toggle word wrap

8. Como as regras sugeridas por audit2allow podem ser incorretas para certos casos, use apenas uma parte de sua produção para encontrar a interface política correspondente:

   $ grep -r "logging_write_generic_logs" /usr/share/selinux/devel/include/ | grep .if
   /usr/share/selinux/devel/include/system/logging.if:interface(logging_write_generic_logs',

   Copy to Clipboard Toggle word wrap

9. Verifique a definição da interface:

   $ cat /usr/share/selinux/devel/include/system/logging.if
   ...
   interface(logging_write_generic_logs',
           gen_require(`
                   type var_log_t;
           ')
   
           files_search_var($1)
           allow $1 var_log_t:dir list_dir_perms;
           write_files_pattern($1, var_log_t, var_log_t)
   ')
   ...

   Copy to Clipboard Toggle word wrap

10. Neste caso, você pode usar a interface sugerida. Adicione a regra correspondente ao seu tipo de arquivo de aplicação da lei:

    $ echo "logging_write_generic_logs(mydaemon_t)" >> mydaemon.te

    Copy to Clipboard Toggle word wrap

    Alternativamente, você pode adicionar esta regra em vez de usar a interface:

    $ echo "allow mydaemon_t var_log_t:file { open write getattr };" >> mydaemon.te

    Copy to Clipboard Toggle word wrap

11. Reinstalar a política:

    # ./mydaemon.sh
    Building and Loading Policy
    + make -f /usr/share/selinux/devel/Makefile mydaemon.pp
    Compiling targeted mydaemon module
    Creating targeted mydaemon.pp policy package
    rm tmp/mydaemon.mod.fc tmp/mydaemon.mod
    + /usr/sbin/semodule -i mydaemon.pp
    ...

    Copy to Clipboard Toggle word wrap

Etapas de verificação

1. Verifique se sua aplicação funciona confinada pela SELinux, por exemplo:

   $ ps -efZ | grep mydaemon
   system_u:system_r:mydaemon_t:s0 root        8150       1  0 17:18 ?        00:00:00 /usr/local/bin/mydaemon

   Copy to Clipboard Toggle word wrap

2. Verifique se sua aplicação personalizada não causa nenhuma negação da SELinux:

   # ausearch -m AVC -ts recent
   <no matches>

   Copy to Clipboard Toggle word wrap

1. Analisando o arquivo de especificação do recipiente no formato JSON
2. Encontrar regras de permissão adequadas com base nos resultados da primeira parte
3. Gerando a política final da SELinux

Procedimento

1. Instale o pacote udica:

   # yum install -y udica

   Copy to Clipboard Toggle word wrap

   Alternativamente, instale o módulo container-tools, que fornece um conjunto de pacotes de software de contêineres, incluindo udica:

   # yum module install -y container-tools

   Copy to Clipboard Toggle word wrap

2. Inicie o recipiente ubi8 que monta o diretório /home com permissões de leitura e o diretório /var/spool com permissões de leitura e escrita. O contêiner expõe o porto 21.

   # podman run --env container=podman -v /home:/home:ro -v /var/spool:/var/spool:rw -p 21:21 -it ubi8 bash

   Copy to Clipboard Toggle word wrap

   Note que agora o contêiner funciona com o tipo container_t SELinux. Este tipo é um domínio genérico para todos os contêineres da política SELinux e pode ser muito rígido ou muito frouxo para seu cenário.

3. Digite o comando podman ps para obter a identificação do recipiente:

   # podman ps
   CONTAINER ID   IMAGE                                   COMMAND   CREATED          STATUS              PORTS   NAMES
   37a3635afb8f   registry.access.redhat.com/ubi8:latest  bash      15 minutes ago   Up 15 minutes ago           heuristic_lewin

   Copy to Clipboard Toggle word wrap

4. Criar um arquivo JSON de contêineres e usar udica para criar um módulo de política com base nas informações do arquivo JSON:

   # podman inspect 37a3635afb8f > container.json
   # udica -j container.json my_container
   Policy my_container with container id 37a3635afb8f created!
   [...]

   Copy to Clipboard Toggle word wrap

   Alternativamente:

   # podman inspect 37a3635afb8f | udica my_container
   Policy my_container with container id 37a3635afb8f created!
   
   Please load these modules using:
   # semodule -i my_container.cil /usr/share/udica/templates/{base_container.cil,net_container.cil,home_container.cil}
   
   Restart the container with: "--security-opt label=type:my_container.process" parameter

   Copy to Clipboard Toggle word wrap

5. Como sugerido pela saída de udica no passo anterior, carregue o módulo de política:

   # semodule -i my_container.cil /usr/share/udica/templates/{base_container.cil,net_container.cil,home_container.cil}

   Copy to Clipboard Toggle word wrap

6. Pare o recipiente e inicie-o novamente com a opção --security-opt label=type:my_container.process:

   # podman stop 37a3635afb8f
   # podman run --security-opt label=type:my_container.process -v /home:/home:ro -v /var/spool:/var/spool:rw -p 21:21 -it ubi8 bash

   Copy to Clipboard Toggle word wrap

Etapas de verificação

1. Verifique se o contêiner funciona com o tipo my_container.process:

   # ps -efZ | grep my_container.process
   unconfined_u:system_r:container_runtime_t:s0-s0:c0.c1023 root 2275 434  1 13:49 pts/1 00:00:00 podman run --security-opt label=type:my_container.process -v /home:/home:ro -v /var/spool:/var/spool:rw -p 21:21 -it ubi8 bash
   system_u:system_r:my_container.process:s0:c270,c963 root 2317 2305  0 13:49 pts/0 00:00:00 bash

   Copy to Clipboard Toggle word wrap

2. Verifique se a SELinux agora permite o acesso aos pontos de montagem /home e /var/spool:

   [root@37a3635afb8f /]# cd /home
   [root@37a3635afb8f home]# ls
   username
   [root@37a3635afb8f ~]# cd /var/spool/
   [root@37a3635afb8f spool]# touch test
   [root@37a3635afb8f spool]#

   Copy to Clipboard Toggle word wrap

3. Verifique se a SELinux permite a ligação somente à porta 21:

   [root@37a3635afb8f /]# yum install nmap-ncat
   [root@37a3635afb8f /]# nc -lvp 21
   Ncat: Version 7.60 ( https://nmap.org/ncat )
   Ncat: Generating a temporary 1024-bit RSA key. Use --ssl-key and --ssl-cert to use a permanent one.
   Ncat: SHA-1 fingerprint: 6EEC 102E 6666 5F96 CC4F E5FA A1BE 4A5E 6C76 B6DC
   Ncat: Listening on :::21
   Ncat: Listening on 0.0.0.0:21
   
   [root@37a3635afb8f /]# nc -lvp 80
   Ncat: Version 7.60 ( https://nmap.org/ncat )
   Ncat: Generating a temporary 1024-bit RSA key. Use --ssl-key and --ssl-cert to use a permanent one.
   Ncat: SHA-1 fingerprint: 6EEC 102E 6666 5F96 CC4F E5FA A1BE 4A5E 6C76 B6DC
   Ncat: bind to :::80: Permission denied. QUITTING.

   Copy to Clipboard Toggle word wrap

Procedimento

1. Habilite o repositório RHEL Ansible, por exemplo:

   # subscription-manager repos --enable ansible-2-for-rhel-8-x86_64-rpms

   Copy to Clipboard Toggle word wrap

2. Instalar Motor Possível:

   # yum install ansible

   Copy to Clipboard Toggle word wrap

3. Instalar as funções do sistema RHEL:

   # yum install rhel-system-roles

   Copy to Clipboard Toggle word wrap

4. Aplique seu playbook com um papel no sistema SELinux.

   O seguinte comando aplica um exemplo de playbook, que faz parte do pacote rhel-system-roles. Você pode usar este playbook como um modelo:

   # ansible-playbook -i host1,host2,host3 /usr/share/doc/rhel-system-roles/selinux/example-selinux-playbook.yml

   Copy to Clipboard Toggle word wrap

Procedimento

1. Exporte suas configurações SELinux verificadas:

   # semanage export -f ./my-selinux-settings.mod

   Copy to Clipboard Toggle word wrap

2. Copie o arquivo com as configurações para o novo sistema:

   # scp ./my-selinux-settings.mod new-system-hostname:

   Copy to Clipboard Toggle word wrap

3. Faça o login no novo sistema:

   $ ssh root@new-system-hostname

   Copy to Clipboard Toggle word wrap

4. Importar as configurações no novo sistema:

   new-system-hostname# semanage import -f ./my-selinux-settings.mod

   Copy to Clipboard Toggle word wrap