19.3. 故障排除与 SELinux 相关的问题

步骤

1. 当您的情况被 SELinux 阻止时，/var/log/audit/audit.log 文件是第一个检查有关拒绝的更多信息。要查询审计日志，请使用 ausearch 工具。因为 SELinux 决策（如允许或禁止访问）已被缓存，且这个缓存被称为 Access Vector Cache（AVC），所以对消息类型参数使用 AVC 和 USER_AVC 值，例如：

   # ausearch -m AVC,USER_AVC,SELINUX_ERR,USER_SELINUX_ERR -ts recent

   Copy to Clipboard Toggle word wrap

   如果没有匹配项，请检查 audit 守护进程是否正在运行。如果没有，请在启动 auditd 后重复拒绝的场景，然后再次检查审计日志。

2. 如果 auditd 正在运行，但 ausearch 的输出中没有匹配项，请检查 systemd Journal 提供的消息：

   # journalctl -t setroubleshoot

   Copy to Clipboard Toggle word wrap

3. 如果 SELinux 处于活跃状态，且 Audit 守护进程没有在您的系统中运行，在 dmesg 命令的输出中搜索特定的 SELinux 信息：

   # dmesg | grep -i -e type=1300 -e type=1400

   Copy to Clipboard Toggle word wrap

4. 即使进行了前面的三个检查后，您仍可能找不到任何结果。在这种情况下，因为 dontaudit 规则，可以静默 AVC 拒绝。

   要临时禁用 dontaudit 规则，请记录所有拒绝：

   # semodule -DB

   Copy to Clipboard Toggle word wrap

   在重新运行拒绝的场景并使用前面的步骤查找拒绝信息后，以下命令会在策略中再次启用 dontaudit 规则：

   # semodule -B

   Copy to Clipboard Toggle word wrap

5. 如果您应用了前面所有四个步骤，这个问题仍然无法识别，请考虑 SELinux 是否真正阻止了您的场景：

   • 切换到 permissive 模式：

     # setenforce 0
     $ getenforce
     Permissive

     Copy to Clipboard Toggle word wrap
   • 重复您的场景。

   如果问题仍然存在，则代表 SELinux 以外的系统阻断了您的场景。

步骤

1. 使用 sealert 命令列出有关日志拒绝的详情，例如：

   $ sealert -l "*"
   SELinux is preventing /usr/bin/passwd from write access on the file
   /root/test.
   
   *****  Plugin leaks (86.2 confidence) suggests *****************************
   
   If you want to ignore passwd trying to write access the test file,
   because you believe it should not need this access.
   Then you should report this as a bug.
   You can generate a local policy module to dontaudit this access.
   Do
   # ausearch -x /usr/bin/passwd --raw | audit2allow -D -M my-passwd
   # semodule -X 300 -i my-passwd.pp
   
   *****  Plugin catchall (14.7 confidence) suggests **************************
   
   ...
   
   Raw Audit Messages
   type=AVC msg=audit(1553609555.619:127): avc:  denied  { write } for
   pid=4097 comm="passwd" path="/root/test" dev="dm-0" ino=17142697
   scontext=unconfined_u:unconfined_r:passwd_t:s0-s0:c0.c1023
   tcontext=unconfined_u:object_r:admin_home_t:s0 tclass=file permissive=0
   
   ...
   
   Hash: passwd,passwd_t,admin_home_t,file,write

   Copy to Clipboard Toggle word wrap

2. 如果上一步中的输出没有包含清晰的建议：

   • 启用全路径审核查看访问对象的完整路径，并让其他 Linux Audit 事件字段可见：

     # auditctl -w /etc/shadow -p w -k shadow-write

     Copy to Clipboard Toggle word wrap

   • 清除 setroubleshoot 缓存：

     # rm -f /var/lib/setroubleshoot/setroubleshoot.xml

     Copy to Clipboard Toggle word wrap
   • 重现问题。

   • 重复步骤 1。

     完成这个过程后，禁用全路径审核：

     # auditctl -W /etc/shadow -p w -k shadow-write

     Copy to Clipboard Toggle word wrap
3. 如果 sealert 只返回 catchall 建议，或者建议使用 audit2allow 工具添加新规则，请将您的问题与 审计日志中 SELinux 拒绝中列出的 示例匹配。

流程

1. 使用文本编辑器打开新的 .cil 文件，例如：

   # vim <local_module>.cil

   Copy to Clipboard Toggle word wrap

   要让您的本地模块更好地组织，请在本地 SELinux 策略模块的名称中使用 local_ 前缀。

2. 从已知问题或红帽解决方案中插入自定义规则。

   重要

   不要自己编写规则。仅使用特定已知问题或红帽解决方案中提供的规则。

   • 例如，要实现 SELinux 拒绝 cups-lpd 对 RHEL 解决方案中的 cups.sock 的读访问权限，请插入以下规则：

     (allow cupsd_lpd_t cupsd_var_run_t (sock_file (read)))

     Copy to Clipboard Toggle word wrap

     在 RHBA-2021:4420 中为 RHEL 永久修复了示例解决方案。因此，特定于本解决方案的部分对更新的 RHEL 8 和 9 个系统没有影响，且只作为语法示例包括。

     您可以使用两个 SELinux 规则语法之一： Common Intermediate Language (CIL)和 m4。例如，CIL 中的 (allow cupsd_lpd_t cupsd_var_run_t (sock_file (read))) 等同于 m4 中的以下内容：

     module local_cupslpd-read-cupssock 1.0;
     
     require {
         type cupsd_var_run_t;
         type cupsd_lpd_t;
         class sock_file read;
     }
     
     #============= cupsd_lpd_t ==============
     allow cupsd_lpd_t cupsd_var_run_t:sock_file read;

     Copy to Clipboard Toggle word wrap
3. 保存并关闭该文件。

4. 安装策略模块：

   # semodule -i <local_module>.cil

   Copy to Clipboard Toggle word wrap

   如果要删除使用 semodule -i 创建的本地策略模块，请参考不带 .cil 后缀的模块名称。要删除本地策略模块，请使用 semodule -r <local_module>。

5. 重启与规则相关的任何服务：

   # systemctl restart <service-name>

   Copy to Clipboard Toggle word wrap

验证

1. 列出 SELinux 策略中安装的本地模块：

   # semodule -lfull | grep "local_"
   400 local_module  cil

   Copy to Clipboard Toggle word wrap

   由于本地模块具有优先级 400，所以您也可以通过使用该值来从列表中过滤它们，例如使用 semodule -lfull | grep -v ^100 命令。

2. 在 SELinux 策略中搜索相关的允许规则：

   # sesearch -A --source=<SOURCENAME> --target=<TARGETNAME> --class=<CLASSNAME> --perm=<P1>,<P2>

   Copy to Clipboard Toggle word wrap

   其中 <SOURCENAME> 是源 SELinux 类型，<TARGETNAME> 是目标 SELinux 类型，<CLASSNAME> 是安全类或对象类名称，<P1> 和 <P2> 规则的特定权限。

   例如，要简化 SELinux 拒绝 cups-lpd 读取对 RHEL Red Hat Knowledgbase 解决方案中的 cups.sock 的读访问权限：

   # sesearch -A --source=cupsd_lpd_t --target=cupsd_var_run_t --class=sock_file --perm=read
   allow cupsd_lpd_t cupsd_var_run_t:sock_file { append getattr open read write };

   Copy to Clipboard Toggle word wrap

   最后一行现在应包含 read 操作。

3. 验证相关服务受 SELinux 限制：

   1. 确定与相关服务相关的进程：

      $ systemctl status <service-name>

      Copy to Clipboard Toggle word wrap

   2. 检查上一命令输出中列出的进程的 SELinux 上下文：

      $ ps -efZ | grep <process-name>

      Copy to Clipboard Toggle word wrap

4. 验证该服务是否不会导致任何 SELinux 拒绝：

   # ausearch -m AVC -i -ts recent
   <no matches>

   Copy to Clipboard Toggle word wrap

   i 选项将数字值解译为人类可读的文本。