Dépannage de SELinux

Note : fichier /var/log/audit/audit.log vide

Si le journal /var/log/audit/audit.log est vide, cela signifie généralement que le service auditd n'est pas en cours d'exécution. Dans ce cas, procédez comme suit :

1. Démarrez le service auditd :

               > 
               sudo
               systemctl start auditd

   Copy

2. Activez le service dans les cibles de votre système à l'aide de la commande

               > 
               sudo
               systemctl enable auditd

   Copy

Le fichier journal /var/log/audit/audit.log consigne les messages de refus d'accès, les événements de service, etc.

L'Exemple 1: « Exemples de lignes du journal /etc/audit/audit.log » affiche une partie du contenu du journal /var/log/audit/audit.log.

type=DAEMON_START msg=audit(1348173810.874:6248): auditd start, ver=1.7.7 format=raw kernel=3.0.13-0.27-default auid=0 pid=4235 subj=system_u:system_r:auditd_t res=success
type=AVC msg=audit(1348173901.081:292): avc:  denied  { write } for  pid=3426 comm="smartd" name="smartmontools" dev=sda6 ino=581743 scontext=system_u:system_r:fsdaemon_t tcontext=system_u:object_r:var_lib_t tclass=dir
type=AVC msg=audit(1348173901.081:293): avc:  denied  { remove_name } for  pid=3426 comm="smartd" name="smartd.WDC_WD2500BEKT_75PVMT0-WD_WXC1A21E0454.ata.state~" dev=sda6 ino=582390 scontext=system_u:system_r:fsdaemon_t tcontext=system_u:object_r:var_lib_t tclass=dir
type=AVC msg=audit(1348173901.081:294): avc:  denied  { unlink } for  pid=3426 comm="smartd" name="smartd.WDC_WD2500BEKT_75PVMT0-WD_WXC1A21E0454.ata.state~" dev=sda6 ino=582390 scontext=system_u:system_r:fsdaemon_t tcontext=system_u:object_r:var_lib_t tclass=file
type=AVC msg=audit(1348173901.081:295): avc:  denied  { rename } for  pid=3426 comm="smartd" name="smartd.WDC_WD2500BEKT_75PVMT0-WD_WXC1A21E0454.ata.state" dev=sda6 ino=582373 scontext=system_u:system_r:fsdaemon_t tcontext=system_u:object_r:var_lib_t tclass=file
type=AVC msg=audit(1348173901.081:296): avc:  denied  { add_name } for  pid=3426 comm="smartd" name="smartd.WDC_WD2500BEKT_75PVMT0-WD_WXC1A21E0454.ata.state~" scontext=system_u:system_r:fsdaemon_t tcontext=system_u:object_r:var_lib_t tclass=dir
type=AVC msg=audit(1348173901.081:297): avc:  denied  { create } for  pid=3426 comm="smartd" name="smartd.WDC_WD2500BEKT_75PVMT0-WD_WXC1A21E0454.ata.state" scontext=system_u:system_r:fsdaemon_t tcontext=system_u:object_r:var_lib_t tclass=file
type=AVC msg=audit(1348173901.081:298): avc:  denied  { write open } for  pid=3426 comm="smartd" name="smartd.WDC_WD2500BEKT_75PVMT0-WD_WXC1A21E0454.ata.state" dev=sda6 ino=582390 scontext=system_u:system_r:fsdaemon_t tcontext=system_u:object_r:var_lib_t tclass=file
type=AVC msg=audit(1348173901.081:299): avc:  denied  { getattr } for  pid=3426 comm="smartd" path="/var/lib/smartmontools/smartd.WDC_WD2500BEKT_75PVMT0-WD_WXC1A21E0454.ata.state" dev=sda6 ino=582390 scontext=system_u:system_r:fsdaemon_t tcontext=system_u:object_r:var_lib_t tclass=file
type=AVC msg=audit(1348173901.309:300): avc:  denied  { append } for  pid=1316

Un message unique se présente comme suit :

  type=AVC msg=audit(1348173901.081:299): avc:  denied  { getattr } for  pid=3426 comm="smartd" path="/var/lib/smartmontools/smartd.WDC_WD2500BEKT_75PVMT0-WD_WXC1A21E0454.ata.state" dev=sda6 ino=582390 scontext=system_u:system_r:fsdaemon_t tcontext=system_u:object_r:var_lib_t tclass=file

Chaque ligne du message peut être divisée en sections. Par exemple, les sections de la dernière ligne sont les suivantes :

La commande facilite l'analyse des messages consignés dans le journal /var/log/audit/audit.log. Une session de dépannage audit2allow est toujours composée de trois commandes différentes. Vous allez commencer par utiliser audit2allow -w -a pour obtenir une présentation plus lisible des informations d'audit. La commande audit2allow -w -a par défaut fonctionne sur le fichier audit.log. Si vous souhaitez analyser un message spécifique du fichier audit.log, copiez-le dans un fichier temporaire et analysez le fichier avec la commande :

      > 
      sudo
      audit2allow -w -i FILENAME

> sudoaudit2allow -w -i testfile
type=AVC msg=audit(1348173901.309:300): avc:  denied  { append } for  pid=1316
comm="rsyslogd" name="acpid" dev=sda6 ino=582296
scontext=system_u:system_r:syslogd_t tcontext=system_u:object_r:apmd_log_t tclass=file

Pour savoir quelle règle spécifique a refusé l'accès, vous pouvez utiliser audit2allow -a pour afficher les règles d'application de tous les événements qui ont été consignés dans le fichier audit.log ou audit2allow -i FILENAME pour afficher les messages que vous avez enregistrés dans un fichier spécifique :

> sudoaudit2allow -i testfile
#============= syslogd_t ==============
allow syslogd_t apmd_log_t:file append;

Pour créer un module SELinux nommé mymodule que vous pouvez charger pour autoriser l'accès précédemment refusé, exécutez :

      > 
      sudo
      audit2allow -a -R -M mymodule

Si vous souhaitez effectuer cette opération pour tous les événements qui ont été consignés dans le fichier audit.log, utilisez les arguments de commande -a -M. Pour le faire uniquement pour certains messages d'un fichier spécifique, utilisez -i -M comme dans l'exemple ci-dessous :

> sudoaudit2allow -i testfile -M example
******************** IMPORTANT ***********************
To make this policy package active, execute:

semodule -i example.pp

Comme l'indique la commande audit2allow, vous pouvez maintenant exécuter ce module à l'aide de la commande semodule -i, suivie du nom du module qu'audit2allow a créé pour vous (example.pp dans l'exemple ci-dessus).

Copyright © 2006–2025 SUSE LLC et contributeurs. Tous droits réservés.

Il est autorisé de copier, distribuer et/ou modifier ce document conformément aux conditions de la licence de documentation libre GNU version 1.2 ou (à votre discrétion) 1.3, avec la section permanente qu'est cette mention de copyright et la licence. Une copie de la version de licence 1.2 est incluse dans la section intitulée « Licence de documentation libre GNU ».

Pour les marques commerciales SUSE, consultez le site Web https://www.suse.com/company/legal/. Toutes les autres marques de fabricants tiers sont la propriété de leur détenteur respectif. Les symboles de marque (®, ™, etc.) désignent des marques commerciales de SUSE et de ses sociétés affiliées. Des astérisques (*) désignent des marques commerciales de fabricants tiers.

Toutes les informations de cet ouvrage ont été regroupées avec le plus grand soin. Cela ne garantit cependant pas sa complète exactitude. Ni SUSE LLC, ni les sociétés affiliées, ni les auteurs, ni les traducteurs ne peuvent être tenus responsables des erreurs possibles ou des conséquences qu'elles peuvent entraîner.