Documentation Oracle Cloud Infrastructure

Application de SELinux

Définissez SELinux sur Application.

Avant de commencer :

Vérifiez que les packages suivants sont installés sur Oracle Linux :

rpm -q selinux-policy-targeted policycoreutils libselinux-utils libselinux-python libselinux

Remarque

Lorsque vous remplacez le mode SELinux Permissif ou Désactivé par Enforcement, vous devez réinitialiser.
Créez une stratégie et assurez-vous que PAM fonctionne lorsque SELinux est défini pour appliquer :
  1. Si nécessaire, installez les packages suivants sur Oracle Linux : 
    rpm -q selinux-policy-targeted policycoreutils libselinux-utils libselinux-python libselinux
  2. Autoriser la communication sortante le 443 : 
    $ sudo setsebool -P nis_enabled 1
++
  3. Créez une stratégie locale de sorte que sssd_t puisse créer un répertoire opc à créer, et lire et écrire dans le fichier pam_nss.log (mentionné dans /etc/opc.conf). Il n'a pas besoin d'être situé à un emplacement spécifique car il est compilé par les utilitaires SELinux.
    1. Créez le fichier de stratégie et enregistrez-le sous le nom de fichier idcs-pam.te. Voici le contenu : 
      module idcs-pam 1.0;

require {
	type sssd_var_log_t;
        type var_log_t;
        type sshd_t;
        type sssd_t;
        type cert_t;
	type http_port_t;
	type user_home_dir_t;
        class file { open read write };
        class dir { create write};
        class tcp_socket { name_connect };
}

#============= sssd_t ==============
allow sssd_t cert_t:file write;
allow sssd_t user_home_dir_t:dir write;
allow sssd_t var_log_t:dir create;
allow sssd_t var_log_t:file { open read };
allow sshd_t sssd_var_log_t:file { open read };
allow sshd_t http_port_t:tcp_socket { name_connect };
  4. Créez le module de stratégie SELinux. Exécution : 
    $ checkmodule -M -m -o idcs-pam.mod idcs-pam.te 
$ semodule_package -m idcs-pam.mod -o idcs-pam.pp
  5. Installez le module SELinux. Exécution :
    $ semodule -i idcs-pam.pp
  6. Rechargez SELinux. Exécution :
    $ semodule -R
  7. Enfin, authentifiez à nouveau l'utilisateur PAM.
    Le répertoire /opc et le fichier /opc/pam_nss.log sont créés.