红帽全球峰会第 10 章 SELinux systemd 访问控制
在 Red Hat Enterprise Linux 7 中，系统服务由
systemd 守护进程控制。在之前的 Red Hat Enterprise Linux 版本中，可以通过两种方式启动守护进程：
- 引导时，System V
init守护进程启动了init.rc脚本，然后启动该脚本，启动所需的守护进程。例如，在启动时启动的 Apache 服务器具有以下 SELinux 标签：system_u:system_r:httpd_t:s0 - 管理员手动启动
init.rc脚本，从而导致守护进程运行。例如，当 Apache 服务器上调用 service httpd restart 命令时，生成的 SELinux 标签如下：unconfined_u:system_r:httpd_t:s0
手动启动时，进程采用启动它的 SELinux 标签的用户部分，使得以上两个情况下的标记不一致。使用
systemd 守护进程时，转换会有所不同。当 systemd 使用 init_t 类型处理系统上启动和停止守护进程的所有调用时，它可以在守护进程手动重启时覆盖标签的用户部分。因此，上述两个场景中的标签都如预期是 system_u:system_r:httpd_t:s0，SELinux 策略可以改进以管理哪些域能够控制哪些单元。
10.1. 服务的 SELinux 访问权限
复制链接链接已复制到粘贴板!
在以前的 Red Hat Enterprise Linux 版本中，管理员可以控制哪些用户或应用程序可以根据 System V Init 脚本标签启动或停止服务。现在，
systemd 会启动并停止所有服务，用户和进程使用 systemctl 工具与 systemd 通信。systemd 守护进程可以参考 SELinux 策略，并检查调用进程的标签以及调用者试图管理的单元文件标签，然后询问 SELinux 是否允许调用者的访问。这个方法可控制对关键系统功能的访问控制，其中包括启动和停止系统服务。
例如，管理员必须允许 NetworkManager 执行
systemctl 向 systemd 发送 D-Bus 消息，这将反过启动或停止任何 NetworkManager 请求的服务。实际上，NetworkManager 允许执行所有 systemctl 可以执行的操作。也无法设置受限管理员，以便他们仅启动或停止特定的服务。
要修复这些问题，
systemd 也作为 SELinux 访问管理器使用。它可以检索运行 systemctl 或向 systemd 发送 D-Bus 消息的进程标签。然后守护进程会查找进程要配置的单元文件标签。最后，如果 SELinux 策略允许进程标签和单元文件标签之间的特定访问，systemd 就可以从内核中检索信息。这意味着，需要与特定服务交互的 systemd 进行交互的应用程序现在可以受 SELinux 限制。策略作者也可以使用这些精细的控制来限制管理员。策略更改涉及一个名为 service 的新类，其具有以下权限：
class service
{
start
stop
status
reload
kill
load
enable
disable
}
例如，策略作者现在可以允许域获取服务状态或启动和停止服务，但不能启用或禁用服务。SELinux 中的访问控制操作和
systemd 在所有情况下都不匹配。定义映射来行使用 SELinux 访问检查的 systemd 方法调用。表 10.1 “在 SELinux 访问检查中映射 systemd 单元文件方法调用” 映射对单元文件的访问检查，表 10.2 “在 SELinux 访问检查中映射 systemd 常规系统调用” 通常涵盖了系统的访问检查。如果在任一表中都未找到匹配项，则将调用 未定义的 系统检查。
systemd 单元文件方法 | SELinux 访问检查 |
|---|---|
| DisableUnitFiles | disable |
| EnableUnitFiles | 启用 |
| GetUnit | status |
| GetUnitByPID | status |
| GetUnitFileState | status |
| kill | stop |
| KillUnit | stop |
| LinkUnitFiles | 启用 |
| ListUnits | status |
| LoadUnit | status |
| MaskUnitFiles | disable |
| PresetUnitFiles | 启用 |
| ReenableUnitFiles | 启用 |
| Reexecute | start |
| reload | reload |
| ReloadOrRestart | start |
| ReloadOrRestartUnit | start |
| ReloadOrTryRestart | start |
| ReloadOrTryRestartUnit | start |
| ReloadUnit | reload |
| ResetFailed | stop |
| ResetFailedUnit | stop |
| Restart | start |
| RestartUnit | start |
| Start | start |
| StartUnit | start |
| StartUnitReplace | start |
| stop | stop |
| StopUnit | stop |
| TryRestart | start |
| TryRestartUnit | start |
| UnmaskUnitFiles | 启用 |
systemd 常规系统调用 | SELinux 访问检查 |
|---|---|
| ClearJobs | reboot |
| FlushDevices | halt |
| Get | status |
| GetAll | status |
| GetJob | status |
| GetSeat | status |
| GetSession | status |
| GetSessionByPID | status |
| GetUser | status |
| halt | halt |
| introspect | status |
| KExec | reboot |
| KillSession | halt |
| KillUser | halt |
| ListJobs | status |
| ListSeats | status |
| ListSessions | status |
| ListUsers | status |
| LockSession | halt |
| PowerOff | halt |
| 重启 | reboot |
| SetUserLinger | halt |
| TerminateSeat | halt |
| TerminateSession | halt |
| TerminateUser | halt |
例 10.1. 系统服务的 SELinux 策略
通过使用
sesearch 工具，您可以列出系统服务的策略规则。例如，调用 sesearch -A -s NetworkManager_t -c service 命令返回：
allow NetworkManager_t dnsmasq_unit_file_t : service { start stop status reload kill load } ;
allow NetworkManager_t nscd_unit_file_t : service { start stop status reload kill load } ;
allow NetworkManager_t ntpd_unit_file_t : service { start stop status reload kill load } ;
allow NetworkManager_t pppd_unit_file_t : service { start stop status reload kill load } ;
allow NetworkManager_t polipo_unit_file_t : service { start stop status reload kill load } ;
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}