Dotaz: Problém se SELinuxem

[filbar]

Podle tohoto návodu jsem se pokoušel si udělat v SELinuxu v CentOSu omezení uživatele, tak aby mohl přes ssh přístupovat jenom ke svému adresáři v /srv/www/hosts/domena.tld a nikam jinam. Problém je v tom, že uživatel po přihlášení je stále user_u:system_r:unconfined_t:s0 i když ve výpisu semanage login je správně přiřazen:

 semanage login -l

Login Name                SELinux User              MLS/MCS Range            

__default__               user_u                    s0                       
filbar.name               webuser_u                 s0                       
root                      root                      s0-s0:c0.c1023  

Stejně tak se mi ani nepřiřadí správný kontext souborů:

 cat webuser.fc 
/srv/www/hosts(/.*)?  gen_context(system_u:object_r:webuser_web_t,s0)

 cat webuser.te 
policy_module(webuser,1.0.1)
userdom_restricted_user_template(webuser)

type webuser_web_t;
files_type(webuser_web_t);

manage_dirs_pattern(webuser_t,webuser_web_t,webuser_web_t)
manage_files_pattern(webuser_t,webuser_web_t,webuser_web_t)

 cat webuser.if 
interface(`webuser_role_change',`
        gen_require(`
                role webuser_r;
        ')

        allow $1 webuser_r;
')

Nevíte někdo, kde bych mohl mít chybu.

Za rady předem děkuji

---

---

Odpovědi

[VSi]

Máte tu politiku přeloženou a zavedenou? Ve výpisu semodule byste měl vidět webuser a ve výpisu semanage user (ne login) taky. Kontexty na souborech by se měly změnit když uděláte restorecon -R adresář.

[filbar]

Právě, že politika je jak přeložená, tak zavedená, přesto to vypadá jako by tam nebyla. I v semodule -l se zobrazuje.

[pht]

A na těch souborech se to po restorecon nějak projeví?

[michich]

Přihlášení testuješ místním loginem nebo přes ssh?

Zkusil jsem si to a pro sshd jsem musel přidat:

allow sshd_t webuser_t:process { transition };

[Nicky726]

AFAIK musíš někde zavolat rozhraní webuser_role_change aby se přiřadila role.

[pht]

IMHO ne a svým způsobem je tam teď to rozhraní zbytečně.