主页
产品
Red Hat Enterprise Linux
9
安全强化
13.6. 故障排除与 fapolicyd 相关的问题

13.6. 故障排除与 fapolicyd 相关的问题

fapolicyd 应用程序框架为故障排除最常见的问题提供了工具，您也可以将 rpm 命令安装的应用程序添加到信任数据库中。

在带有容器的系统中运行 fapolicyd

因为 fapolicyd 框架没有完全支持命名空间和容器，所以您必须在运行容器的系统中使用临时解决方案。要防止因为 fapolicyd 导致容器启动失败，请使用以下内容创建 /etc/fapolicyd/rules.d/25-runc.rules 文件：

allow perm=any pattern=ld_so exe=/usr/bin/runc : all
allow perm=any uid=0 pattern=ld_so exe=/runc : trust=1

保存文件，运行 fagenrules 脚本，并输入 fapolicyd-cli --reload-rules 命令来应用更改。或者，您可以从 /etc/ fapolicyd /fapolicyd.conf 文件中的 watch_fs 选项中删除 tmpfs 值，并使用 systemctl restart fapolicyd 命令重启 fapolicyd 服务，但这会降低系统安全性。

使用 RPM 安装应用程序

如果使用 rpm 命令安装应用程序，您必须执行 fapolicyd RPM 数据库的手动刷新：

安装 < application>:
```
# rpm -i <application>.rpm
```
刷新数据库：
```
# fapolicyd-cli --update
```
如果您跳过这一步，系统可能会被冻结，必须重启。

服务状态

如果 fapolicyd 无法正常工作，请检查服务状态：

# systemctl status fapolicyd

fapolicyd-cli 检查和列表

--check-config、--check-watch_fs 和 --check-trustdb 选项可帮助您查找语法错误、尚未监视的文件系统和文件不匹配，例如：

# fapolicyd-cli --check-config
Daemon config is OK

# fapolicyd-cli --check-trustdb
/etc/selinux/targeted/contexts/files/file_contexts miscompares: size sha256
/etc/selinux/targeted/policy/policy.31 miscompares: size sha256

使用 --list 选项检查规则的当前列表及其顺序：

# fapolicyd-cli --list
…
9. allow perm=execute all : trust=1
10. allow perm=open all : ftype=%languages trust=1
11. deny_audit perm=any all : ftype=%languages
12. allow perm=any all : ftype=text/x-shellscript
13. deny_audit perm=execute all : all
…

Debug 模式

Debug 模式提供关于匹配规则、数据库状态等的详细信息。将 fapolicyd 切换到 debug 模式：

停止 fapolicyd 服务：
```
# systemctl stop fapolicyd
```
使用 debug 模式来识别相应的规则：
```
# fapolicyd --debug
```
因为 fapolicyd --debug 命令的输出非常详细，所以您可以将错误输出重定向到文件中：
```
# fapolicyd --debug 2> fapolicy.output
```
另外，若要在 fapolicyd 拒绝访问时仅将输出限制为条目，请使用 --debug-deny 选项：
```
# fapolicyd --debug-deny
```

删除 fapolicyd 数据库

要解决与 fapolicyd 数据库相关的问题，请尝试删除数据库文件：

# systemctl stop fapolicyd
# fapolicyd-cli --delete-db

警告

不要删除 /var/lib/fapolicyd/ 目录。fapolicyd 框架只自动恢复这个目录下的数据库文件。

转储 fapolicyd 数据库

fapolicyd 包含了所有启用的信任源的条目。您可以在转储数据库后检查条目：

# fapolicyd-cli --dump-db

应用程序管道

在个别情况下，删除 fapolicyd 管道文件可以解决锁定问题：
```
# rm -f /var/run/fapolicyd/fapolicyd.fifo
```

13.6. 故障排除与 fapolicyd 相关的问题

学习

尝试、购买和销售

社区

關於紅帽

让开源更具包容性

关于红帽文档

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links