3.9. 使用 sudo 和 sysadm_r 角色约束管理员

步骤

1. 将新用户或现有用户映射到 staff_u SELinux 用户：

   1. 要映射新用户，请将新用户添到 wheel 用户组，并将用户映射到 staff_u SELinux 用户：

      # adduser -G wheel -Z staff_u <example_user>

      Copy to Clipboard Toggle word wrap

   2. 要映射现有用户，请将用户添加到 wheel 用户组，并将用户映射到 staff_u SELinux 用户：

      # usermod -G wheel -Z staff_u <example_user>

      Copy to Clipboard Toggle word wrap

2. 恢复用户主目录的上下文：

   # restorecon -R -F -v /home/<example_user>

   Copy to Clipboard Toggle word wrap

3. 要允许 <example_user> 获得 SELinux 管理员角色，请在 /etc/sudoers.d/ 目录中创建一个新文件，例如：

   # visudo -f /etc/sudoers.d/<example_user>

   Copy to Clipboard Toggle word wrap

4. 在新文件中添加以下行：

   <example_user> ALL=(ALL) TYPE=sysadm_t ROLE=sysadm_r ALL

   Copy to Clipboard Toggle word wrap

验证

1. 检查 <example_user> 是否已映射到 staff_u SELinux 用户：

   # semanage login -l | grep <example_user>
   <example_user>     staff_u    s0-s0:c0.c1023   *

   Copy to Clipboard Toggle word wrap

2. 以 <example_user> 身份登录，例如使用 SSH，并切换到 root 用户：

   [<example_user>@localhost ~]$ sudo -i
   [sudo] password for <example_user>:

   Copy to Clipboard Toggle word wrap

3. 显示 root 安全上下文：

   # id -Z
   staff_u:sysadm_r:sysadm_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

4. 尝试管理任务，例如重启 sshd 服务：

   # systemctl restart sshd

   Copy to Clipboard Toggle word wrap

   如果没有输出结果，则代表命令可以成功完成。

   如果该命令没有成功完成，它会输出以下信息：

   Failed to restart sshd.service: Access denied
   See system logs and 'systemctl status sshd.service' for details.

   Copy to Clipboard Toggle word wrap