Fedora13 SELinux

目次

FrontPage
・Windows11
・Chromebook
・Random
・機械学習
・さくらVPS
・Fedora13
・SuSe10
・Docker
・Ansible
・Java
・Scala
・Python
・Ruby
・Lisp
・Computer
・GIS
・HTML
・Culture
・Link

訪問者

total: 10763
today: 2
yesterday: 12
now: 4

更新

最新の10件

人気の10件

MenuBar

→ このページの結論は「よく分からんから permissive で」。SL62 SELinux で再挑戦

SELinux とは？ †

• 従来の DAC によるアクセス制御の他に MAC でもアクセス制御を行う
• DAC 任意アクセス方式
  • 既存のファイルアクセス方式
  • たとえば ls コマンドは、

    # ls -la | grep "ls"
    -rwxr-xr-x.  1 root root    123 2010-01-02 01:51 alsaunmute
    -rwxr-xr-x.  1 root root  23172 2010-04-28 23:51 false
    -rwxr-xr-x.  1 root root 118832 2010-04-28 23:51 ls
    -rwxr-xr-x.  1 root root   8488 2010-06-24 19:45 lscgroup
    -rwxr-xr-x.  1 root root   7080 2010-06-24 19:45 lssubsys

    なので、下表のように owner(root) には、読み・書き・実行を許可。root グループのユーザおよびその他のユーザには、読み・実行のみが許可される。

    	read	write	execute
    owner	r	w	x
    group	r	-	x
    everyone	r	-	x

• MAC 強制アクセス方式
  • プロセスはドメインに属する
  • ファイルはタイプに属する
  • どの ドメイン に、どの タイプ の利用を許可するかは、アクセスベクタ に定義する
  • アクセスベクタは、/etc/selinux/targeted/policy/policy.?? に格納されている

SELinux を停止する †

• seedit が使えないので、とりあえず停止。
  • seedit が使えるようになってからまた考える・・・とはいえ運用中には変えられないよなぁ・・・
• 現在の状態を確認する

  $ sudo getenforce
  Enforcing

• 一時的に SELinux の状態を変える

  $ sudo setenforce 0
  $ sudo getenforce 
  Permissive
  $ sudo setenforce 1
  $ sudo getenforce 
  Enforcing

• 恒久的に SELinux の状態を変える

  $ sudo vi /etc/selinux/config 
       1 
       2 # This file controls the state of SELinux on the system.
       3 # SELINUX= can take one of these three values:
       4 #     enforcing - SELinux security policy is enforced.
       5 #     permissive - SELinux prints warnings instead of enforcing.
       6 #     disabled - No SELinux policy is loaded.
       7 #SELINUX=enforcing
       8 SELINUX=disabled
       9 
      10 # SELINUXTYPE= can take one of these two values:
      11 #     targeted - Targeted processes are protected,
      12 #     mls - Multi Level Security protection.
      13 SELINUXTYPE=targeted
      14 
  
  $ shutdown -r now

(書き途中) アクセスベクタの編集 †

• seedit
  • 日立ソフトウェアエンジニアリングのオープンソース (有償サポートあり)
  • http://seedit.sourceforge.net/ja/download.html
• Fedora 13 では、現時点(2010-07-10) でパッケージ作成のミスから使えない状況になっている
  • http://www.mail-archive.com/fedora-devel-list@redhat.com/msg10632.html

(書き途中) samba の設定例 †

• samba のドメイン

  # ps -eZ | grep smb
  system_u:system_r:smbd_t:s0      4927 ?        00:00:00 smbd
  system_u:system_r:smbd_t:s0      4934 ?        00:00:00 smbd
  system_u:system_r:smbd_t:s0      4979 ?        00:00:00 smbd

  smbd_t というドメインに属している。
• samba のアクセスベクタ
• 共有ディレクトリにタイプを付与する ここで、共有ディレクトリにしようとしている /home/public

  # ls -dZ /home/public/
  drwxr-xr-x. nobody nobody unconfined_u:object_r:home_root_t:s0 /home/public/

Fedora 13 Server