selinux mls ssh dyntransition reddedildi - giriş hatası


2

SELinux'u öğrenmeye çalışıyorum ve RHEL 7 için Red Hat belgelerine rağmen gidiyorum. Çok Katmanlı Güvenlik (MLS) belgelerine baktım ve denemek istedim, bu yüzden SELINUXTYPE = mls ve SELINUX = izin veren, dokundu /.autorelabel'i ayarladım. (içine bir -F tekrarladı) ve yeniden başlattı.

Giriş yapmayı başardım, ancak zorlama modunu kullanarak giriş yapmamı engelleyen herhangi bir hata veya reddetme olmadığından emin olmak için denetim günlüğünü kontrol etmek istedim. Aşağıdakileri buldum:

type=AVC msg=audit(1457127380.826:208): avc:  denied  { dyntransition } for      pid=2109 comm="sshd" scontext=system_u:system_r:sshd_t:s0-s15:c0.c1023 tcontext=root:sysadm_r:sysadm_t:s0 tclass=process

Bu yüzden endişelenecek bir şey olmadığını düşündüm (Hala öğreniyordum), böylece SELINUX'u zorlamak ve yeniden başlatmak için ayarladım. Kendimi kilitledim!

Bazı hack'lerle içeri girip SELINUX'u izin verilebilir hale getirdim, ama neden işe yaramadığından emin değilim.

Restorecon / usr / sbin / sshd dosyasını denedim ve doğru içeriğe sahip:

ls -Z /usr/sbin/sshd
-rwxr-xr-x. root root system_u:object_r:sshd_exec_t:s0 /usr/sbin/sshd

Fakat hataya itiraz edersek, garip:

 tcontext=root:sysadm_r:sysadm_t:s0 

Her neyse, dediğim gibi, hala öğreniyorum, bu yüzden herhangi bir tavsiye yardımcı olacaktır ... Herhangi bir örnek veya çözümü açıklamak için belgeler çok takdir edilecektir - "Balık tutmayı öğretin ..."

Çok teşekkürler! Joe


Kimse MLS kullanmaz ve sorununuzun yarısı da politikaları gerçekten desteklemiyor. Hiç kimse onu politikalarına yeterince dikkat çekmek için yeterince kullanmıyor. Bell-la-puda'ya dayanan, ancak üretimde ve gerçekte - SELinux'u daha önce hiç kullanılmamış bir yerde kullandığım, ilginç bir güvenlik modeli.
Matthew Ife

@MatthewIfe Anladığım kadarıyla DoD bunu oldukça yaygın kullanıyor, ancak MLS "kutudan çıkan" bir şey değil. Çevrenin güvenlik ihtiyaçları için yoğun şekilde özelleştirilmesi gerekir. Ve bu genellikle bir SELinux uzmanı veya iki gerektirir. IPA alanının bir parçası olmak da idari yükün bir kısmını azaltmaya yardımcı olduğu için iyi bir fikirdir.
Michael Hampton

Merhaba Mathew, evet, konuyu aramaya çalışırken yaygın bir şekilde kullanıldığı hissine kapılmadım, ancak güçlü görünüyor ve Michael'ın belirttiği gibi, DOD ve DOE her şeyi kullanıyor gibi görünüyor. bunun hakkında daha fazla bilgi edinmek istiyorum.
Joeg1484

Yanıtlar:


2

rootBir MLS sisteminde doğrudan ssh ile giriş yapmanıza izin verilmiyor gibi görünüyor .

Bir staff_tkullanıcı olarak ssh yapmanız ve ardından sudoroot kullanmanız gerekecektir.


Merhaba Michael, Ah, tamam. Bunu deneyeyim ve ne olacağını göreyim. Bu kök giriş yapmasına izin verilmeyeceğinden, başka bir kullanıcı ve sudo oluşturma işleminin çalışması gerekir. Bununla oynayacağım ve nasıl çalıştığını göreceğim.
Joeg1484
Sitemizi kullandığınızda şunları okuyup anladığınızı kabul etmiş olursunuz: Çerez Politikası ve Gizlilik Politikası.
Licensed under cc by-sa 3.0 with attribution required.