1 Oracle LinuxでのSELinuxの管理について
この章では、SELinuxについて説明し、Oracle LinuxのSELinuxの管理に関するガイダンスを提供します。
ノート:
このドキュメントは、Oracle Linux 8以降のリリースに適用されます。
従来のLinuxセキュリティは、任意アクセス制御(DAC)ポリシーに基づいています。 システム・セキュリティのDACモデルでは、ファイルやプロセスなどのリソースへのアクセスは、ユーザー・アイデンティティと所有権のみに基づきます。 マルウェアまたは破損したソフトウェアがシステムに存在する場合、プロセスを開始したユーザーに許可があるファイルやリソースで何でも実行できます。 ユーザーがrootであるか、アプリケーションが昇格された権限(setuidまたはsetgidからroot)で実行されている場合、プロセスはファイル・システム全体に対するrootアクセス制御を持ちます。
この問題に対処するために、国家安全保障局は、Linux OSのファイル、プロセス、ユーザーおよびアプリケーションをより詳細に制御するために、Security Enhanced Linux (SELinux)を作成しました。 LinuxカーネルのSELinux拡張には、必須アクセス制御(MAC)ポリシーが実装されています。これにより、すべてのユーザー、プログラム、プロセス、ファイルおよびデバイスに対するきめ細かな権限を構成するセキュリティ・ポリシーを定義できます。 カーネルのアクセス制御のディシジョンは、認証されたユーザー・アイデンティティのみではなく、セキュリティのパースペクティブからリソースがどの程度機密であるかに基づきます。
プロセスがファイルを開くなど、セキュリティ関連アクセスが発生すると、SELinuxはカーネルの操作をインターセプトします。 MACポリシー・ルールで操作が許可されている場合、操作は続行されます。 それ以外の場合、SELinuxは操作をブロックし、プロセスにエラーを返します。 カーネルは、MACルールの前にDACポリシー・ルールを確認して実施するため、DACルールでリソースへのアクセスが拒否された場合、SELinuxポリシー・ルールは確認されません。