Documentazione dell'infrastruttura Oracle Cloud

Applicazione di SELinux

Impostare SELinux per l'applicazione.

Prima di iniziare:

Verificare che i seguenti pacchetti siano installati su Oracle Linux:

rpm -q selinux-policy-targeted policycoreutils libselinux-utils libselinux-python libselinux

Nota

Quando si passa dalla modalità SELinux Permissiva o Disabilitata all'applicazione, è necessario eseguire il reboot del sistema.
Creare un criterio e assicurarsi che PAM funzioni quando SELinux è impostato per applicare:
  1. Se necessario, installare questi pacchetti su Oracle Linux: 
    rpm -q selinux-policy-targeted policycoreutils libselinux-utils libselinux-python libselinux
  2. Consenti comunicazione in uscita su 443: 
    $ sudo setsebool -P nis_enabled 1
++
  3. Creare un criterio locale in modo che sssd_t possa creare una directory opc da creare, leggere e scrivere nel file pam_nss.log (indicato in /etc/opc.conf). Non è necessario trovarlo in una posizione specifica perché è compilato dalle utility SELinux.
    1. Creare il file dei criteri e salvarlo con il nome file idcs-pam.te. Questo è il contenuto: 
      module idcs-pam 1.0;

require {
	type sssd_var_log_t;
        type var_log_t;
        type sshd_t;
        type sssd_t;
        type cert_t;
	type http_port_t;
	type user_home_dir_t;
        class file { open read write };
        class dir { create write};
        class tcp_socket { name_connect };
}

#============= sssd_t ==============
allow sssd_t cert_t:file write;
allow sssd_t user_home_dir_t:dir write;
allow sssd_t var_log_t:dir create;
allow sssd_t var_log_t:file { open read };
allow sshd_t sssd_var_log_t:file { open read };
allow sshd_t http_port_t:tcp_socket { name_connect };
  4. Creare il modulo dei criteri SELinux. Esegui: 
    $ checkmodule -M -m -o idcs-pam.mod idcs-pam.te 
$ semodule_package -m idcs-pam.mod -o idcs-pam.pp
  5. Installare il modulo SELinux. Esegui:
    $ semodule -i idcs-pam.pp
  6. Ricaricare SELinux. Esegui:
    $ semodule -R
  7. Infine, autenticare di nuovo l'utente PAM.
    Vengono creati la directory /opc e il file /opc/pam_nss.log.