• Quelle est la configuration actuelle de SELinux :

sestatus

• Trouver le mode courant de SELinux

getenforce

Il peut être enforce ou permissif.

• Voir si tout va bien :

grep denied /var/log/audit/audit.log

Si le grep donne des résultats, c'est qu'il y a des actions ont été bloquées.Si vous êtes enmode développement,c'est que c'est probablement des opérations légitimes.

Il faut les corriger en utilisant audit2allow ou bien modifier le boolean en cause.

• Trouver la liste de tous les booléens et leurs valeurs (par exemple, qui comprennent http) :

getsebool -a | grep http

• Trouver un booléen en particulier

getsebool <nomduboolean_sans_erreur>

• Plus de détails sur les booleans :

semanage boolean -l 

Quand on a trop de faux-blocages (denied dans audit.log), il faut passer en mode permissif pour ne pas compromettre la bonne marche des services.

Passer en mode permissif va permettre de logguer les denied, mais de ne pas réellement les exécuter.

• Pour passer en mode permissif

setenforce 0

• Passer en mode enforcing

setenforce 1

• Traduction des denied en langage humain

grep denied /var/log/audit/audit.log
audit2allow -w -a

• Modifier un booléen avec setsebool

getsebool -a | grep <nomduboolean>
setsebool -P httpd_can_network_connect=0 (ou =1)

1 = action équivalente autorisée

0 = action équivalente refusée

• Conversion des denied en module et installation

audit2allow -a -M monmodule : pour générer mon module
semodule -i monmodule.pp  # pour installer mon module

• Une fois qu'on a corrigé tous les problèmes de denied à un instant T donné, on remet les compteurs à 0 avec un echo :

echo > /var/log/audit/audit.log

• Lister le répetoire avec ls

ls -alZ

Ici, il s'agit de l'utilisation de l'option Z qui nous donne le contexte de sécurité des fichiers et répertoires.

Ça nous permettra aussi de détecter si nos fichiers sont dans les bons contextes.

On parle ici de utilisateur:rôle:type:niveau

Exemples :

ls -Z /etc/postfix/main.cf 
  -rw-r--r--. root root system_u:object_r:postfix_etc_t:s0 /etc/postfix/main.cf

ls -Z /home/ryerbanga/.bash_logout 
  -rw-r--r--. ryerbanga ryerbanga unconfined_u:object_r:user_home_t:s0 /home/ryerbanga/.bash_logout

ls -Z /home/ryerbanga/fichierpostfix.test 
  -rw-r--r--. root root system_u:object_r:postfix_etc_t:s0 /home/ryerbanga/fichierpostfix.test
  utilisateur = system_u
  role = object_r
  type = postfix_etc_t
  niveau = s0

• Modifer le contexte avec restorecon

restorecon # Méthode la plus facile qui se base sur le contexte du répertoire dans lequel se trouve le fichier

Avant d'utiliser restorecon, on peut utiliser matchpathcon pour voir quel contexte devrait posséder le fichier

matchpathcon fichierpostfix.test
  fichierpostfix.test	 unconfined_u:object_r:user_home_t:s0

restorecon /home/ryerbanga/fichierpostfix.test
ls -Z /home/ryerbanga/fichierpostfix.test 
  -rw-r--r--. root root system_u:object_r:user_home_t:s0 /home/ryerbanga/fichierpostfix.test

On se rend compte que restorecon ne s'occupe pas du user. De toute façon, selon mon expérience, le plus important c'est le type.

• chcon :

On peut utiliser chcon pour être plus granulaire et modifier manuellement uniquement ce qu'on veut (soit le type, le user, ...).

chcon -u unconfined_u -r object_r -t user_home_t /home/ryerbanga/fichierpostfix.test

Par contre, les modifications de chcon peuvent ne pas survivent au ré-etiquettage du disque (qui va se produire après un restorecon ou un redémarrage).

Ce n'est donc pas la bonne solution pour faire des changements de contexte qui se préoccupent de la pérennité et surtout du temps de débogage quand ça ne va plus marcher.

• semanage :

Pour les raisons évoquées plus haut, on va utiliser semanage.

Démo :

ls -Z /etc/fichier
   -rw-r--r--. root root unconfined_u:object_r:etc_t:s0   /etc/fichier
semanage fcontext -a -t samba_share_t /etc/fichier
ls -Z /etc/fichier 
   -rw-r--r--. root root unconfined_u:object_r:etc_t:s0   /etc/fichier
restorecon -v /etc/fichier 
   restorecon reset /etc/fichier context unconfined_u:object_r:etc_t:s0->unconfined_u:object_r:samba_share_t:s0
ls -Z /etc/fichier 
   -rw-r--r--. root root unconfined_u:object_r:samba_share_t:s0 /etc/fichier

semanage va nous mettre une entrée dans le fichier /etc/selinux/targeted/contexts/files/file_contexts.local.

Ensuite, restorecon va lire ce fichier et appliquer le changement sur le fichier spécifié en argument.

Autre exemple : Répertoire /data/live/ et ses descendants

semanage fcontext -a -t httpd_sys_content_t '/data/live(/.*)?'
restorecon -R -v /data/live

Beau travail de restorecon.

ps aux -Z

ps aux -Z | grep http
 system_u:system_r:httpd_t:s0    root      2566  0.0  0.0 224080  5048 ?        Ss   jun08   0:16 /usr/sbin/httpd -DFOREGROUND
 system_u:system_r:httpd_t:s0    apache    2567  0.0  0.0 224216  3728 ?        S    jun08   0:00 /usr/sbin/httpd -DFOREGROUND
 system_u:system_r:httpd_t:s0    apache    2568  0.0  0.0 224216  3736 ?        S    jun08   0:00 /usr/sbin/httpd -DFOREGROUND
 system_u:system_r:httpd_t:s0    apache    2569  0.0  0.0 224216  3752 ?        S    jun08   0:00 /usr/sbin/httpd -DFOREGROUND
 system_u:system_r:httpd_t:s0    apache    2570  0.0  0.0 224216  3740 ?        S    jun08   0:00 /usr/sbin/httpd -DFOREGROUND
 system_u:system_r:httpd_t:s0    apache    2571  0.0  0.0 224216  3728 ?        S    jun08   0:00 /usr/sbin/httpd -DFOREGROUND
 system_u:system_r:httpd_t:s0    apache   10158  0.0  0.0 224216  3728 ?        S    jun09   0:00 /usr/sbin/httpd -DFOREGROUND
 system_u:system_r:httpd_t:s0    apache   10187  0.0  0.0 224216  3728 ?        S    jun09   0:00 /usr/sbin/httpd -DFOREGROUND
 system_u:system_r:httpd_t:s0    apache   10189  0.0  0.0 224216  3712 ?        S    jun09   0:00 /usr/sbin/httpd -DFOREGROUND
 system_u:system_r:httpd_t:s0    apache   10190  0.0  0.0 224216  3712 ?        S    jun09   0:00 /usr/sbin/httpd -DFOREGROUND