Oracle Cloud Infrastructure - Dokumentation

SELinux durchsetzen

Setzen Sie SELinux auf "Durchsetzen".

Bevor Sie beginnen:

Stellen Sie sicher, dass die folgenden Packages auf Oracle Linux installiert sind:

rpm -q selinux-policy-targeted policycoreutils libselinux-utils libselinux-python libselinux

Hinweis

Wenn Sie den Modus SELinux von "Berechtigt" oder "Deaktiviert" in "Durchsetzen" ändern, müssen Sie den Neustart ausführen.
Erstellen Sie eine Policy, und stellen Sie sicher, dass PAM funktioniert, wenn SELinux Folgendes durchsetzt:
  1. Falls erforderlich installieren Sie diese Packages auf Oracle Linux: 
    rpm -q selinux-policy-targeted policycoreutils libselinux-utils libselinux-python libselinux
  2. Ausgehende Kommunikation auf 443 zulassen: 
    $ sudo setsebool -P nis_enabled 1
++
  3. Erstellen Sie eine lokale Policy, damit sssd_t das opc-Verzeichnis erstellen und in die Datei pam_nss.log lesen und schreiben kann (die in /etc/opc.conf erwähnt wird). Sie muss sich nicht an einem bestimmten Speicherort befinden, weil sie von den SELinux-Utilitys kompiliert wird.
    1. Erstellen Sie die Policy-Datei, und speichern Sie sie mit dem Dateinamen idcs-pam.te. Dies ist der Inhalt: 
      module idcs-pam 1.0;

require {
	type sssd_var_log_t;
        type var_log_t;
        type sshd_t;
        type sssd_t;
        type cert_t;
	type http_port_t;
	type user_home_dir_t;
        class file { open read write };
        class dir { create write};
        class tcp_socket { name_connect };
}

#============= sssd_t ==============
allow sssd_t cert_t:file write;
allow sssd_t user_home_dir_t:dir write;
allow sssd_t var_log_t:dir create;
allow sssd_t var_log_t:file { open read };
allow sshd_t sssd_var_log_t:file { open read };
allow sshd_t http_port_t:tcp_socket { name_connect };
  4. Erstellen Sie das Policy-Modul SELinux. Ausführen: 
    $ checkmodule -M -m -o idcs-pam.mod idcs-pam.te 
$ semodule_package -m idcs-pam.mod -o idcs-pam.pp
  5. Installieren Sie das SELinux-Modul. Ausführen:
    $ semodule -i idcs-pam.pp
  6. Laden Sie SELinux erneut. Ausführen:
    $ semodule -R
  7. Schließlich authentifizieren Sie den PAM-Benutzer erneut.
    Das Verzeichnis /opc und die Datei /opc/pam_nss.log werden erstellt.