SELinux

SELinuxは、そのセキュリティフレームワークをLinuxカーネルで使用する追加のLinuxセキュリティソリューションとして開発されました。その目的は、標準の任意アクセス制御(DAC)や、所有者/グループ/ワールド、読み込み/書き込み/実行という従来のファイル許可を超えた、よりきめ細かいセキュリティポリシーを実現することにありました。

SELinuxでは、オブジェクト(たとえば、ファイルやネットワークソケット)に付けられたラベルを用い、そのラベルを使用してアクセスを決定します。

SELinuxのデフォルトの動作は、あらゆるアクセスを拒否することです。SELinuxでは、SELinuxポリシーで特別に許可されたアクションのみが許可されます。SELinuxのもう1つのセキュリティ強化機能として、SELinuxでは、プロセスが同じシステムの他のプロセスのファイルにアクセスできなくなるまで、プロセスを厳密に制限できます。

SELinuxは、既存のセキュリティソリューションを置き換えるのではなく強化するために設計されました。たとえば、システムでSELinuxを使用していても、任意アクセス制御(DAC)は引き続き適用されます。アクセスが先にDACで拒否された場合、SELinuxは使用されません。そのアクセスはすでに別のメカニズムによってブロックされているからです。

SELinuxは、SLE Microのインストール時にYaSTによってデフォルトでインストールされるか、または事前構築のイメージに含まれています。

SELinuxがシステムにセットアップされていない場合は、次のコマンドを実行します。

# transactional-update setup-selinux

コマンドが完了したら、システムを再起動します。このコマンドは、SELinuxポリシーがインストールされていなければインストールし、SELinuxのenforcingモードを設定して、initrdを再構築します。

SELinuxは、disabled、permissive、またはenforcingの3つのモードのいずれかで実行できます。

disabledモードを使用するということは、SELinuxポリシーのルールが一切適用されず、システムが保護されないことを意味します。したがって、disabledモードの使用はお勧めしません。

permissiveモードでは、SELinuxがアクティブになり、セキュリティポリシーがロードされてファイルシステムがラベル付けされ、アクセス拒否エントリがログに記録されます。ただし、ポリシーは強制されないため、アクセスは実際には拒否されません。

enforcedモードでは、セキュリティポリシーが適用されます。ポリシーで明示的に許可されていないアクセスはそれぞれ拒否されます。

SELinuxのモードの切り替えについては、3.1項 「SELinuxモードの変更」を参照してください。

3.1 SELinuxモードの変更 #

  

SELinuxのモードを一時的または永続的に切り替えることができます。

3.1.1 SELinuxモードの一時的な変更 #

  

SELinuxをpermissiveまたはenforcingに一時的に設定するには、setenforceコマンドを使用します。

setenforceコマンドの構文は次のとおりです。

# setenforceMODE_ID

ここで、MODE_IDは、permissiveモードの場合は0、enforcedモードの場合は1です。

setenforceコマンドを使用してSELinuxを無効にすることはできないことに注意してください。

3.1.2 SELinuxモードの永続的な変更 #

  

SELinuxのモードを変更してシステムの再起動後もそのモードを維持するには、/etc/selinux/config設定ファイルを編集します。このファイルで、システムのSELinuxを無効にすることもできます。ただし、この操作はお勧めできません。SELinuxが原因でシステムに問題が発生している可能性がある場合は、代わりにpermissiveモードに切り替えてシステムをデバッグします。

/etc/selinux/configファイルで、SELINUXの値を次のようにdisabled、permissive、またはenforcedに変更します。

SELINUX=disabled

このファイルでの変更は、次回の再起動後に適用されます。

注記: disabledモードから切り替えた後のシステムの再ラベル付け

システムでSELinuxを無効にしてから、後で有効にする場合は、必ずシステムを再ラベル付けしてください。SELinuxが無効になっているときにファイルシステムに変更を加えた場合、その変更はコンテキストに反映されません(たとえば、新しいファイルにはコンテキストがありません)。したがって、システムを再ラベル付けする必要があります。そのためには、restoreconコマンドを使用するか、autorelabelブートパラメータを使用するか、または次回のブート時に再ラベル付けをトリガするファイルを作成します。ファイルを作成するには、次のコマンドを実行します。

# touch /etc/selinux/.autorelabel

再起動後に、/etc/selinux/.autorelabelファイルは別のフラグファイル/etc/selinux/.relabelledに置き換えられ、それ以降の再起動時に再ラベル付けされなくなります。

3.1.3 SELinuxのアクティブなモードの確認 #

  

モードを確認するには、次のコマンドを実行します。

# getenforce

このコマンドは、指定したMODE_IDに応じて、permissiveまたはenforcedを返します。

セキュリティコンテキストは、ファイルまたはプロセスに割り当てられる一連の情報です。セキュリティコンテキストは、SELinuxユーザ、役割、タイプ、レベル、およびカテゴリで構成されます。この情報を使用してアクセス制御が判断されます。

SELinuxのコンテキストの例を次に示します。

allow user_t bin_t:file {read execute gettattr};

このルールの例では、コンテキストタイプuser_tを持つユーザ(このユーザはソースオブジェクトと呼ばれる)に対し、許可read、execute、およびgetattrを使用して、コンテキストタイプbin_tを持つクラスfileのオブジェクト(ターゲット)にアクセスすることを許可するように指定しています。

ポリシーはSELinuxの重要な要素です。SELinuxポリシーは、どのオブジェクトがシステム上のどのファイル、ディレクトリ、ポート、およびプロセスにアクセスできるかを指定するルールを定義します。これを行うため、これらすべてに対してセキュリティコンテキストが定義されます。

SELinuxポリシーには膨大な数のルールが含まれます。管理しやすくするために、ポリシーは多くの場合、モジュールに分割されます。これにより、管理者はシステムの部分ごとに保護のオン/オフを切り替えることができます。

システムのポリシーを編集する場合、モジュール形式のポリシーを使用するか、モノリシックなポリシーを使用するかを選択できます。後者では1つの巨大なポリシーを使用してシステム上のすべてを保護します。モノリシックなポリシーではなく、モジュール形式のポリシーを使用することを強くお勧めします。モジュール形式のポリシーの方がはるかに管理が容易です。

SLE Microには、SELinuxポリシーtargetedが付属します。

        semodule -l

> sudo semodule -d MODULENAME

> sudo semodule -e MODULENAME

SELinuxのブール値を使用することで、ポリシーを柔軟に管理できます。たとえば、ブール値を使用すると、あるサーバで特定のポリシーを無効にし、別のサーバでは同じポリシーをアクティブにしたままにすることができます。つまり、ブール値はポリシールールのスイッチとして理解できます。特定のポリシーを変更するのではなく、オフに切り替えることができます。ポリシーコードでは、ブール値は「チューナブル」と呼ばれます。ブール値はポリシーに含まれているため、ポリシーをロードするとすぐに利用できます。

ブール値は、永続的に変更することも、一時的に変更してセッションが終了するまで継続させることもできます。

SELinuxでは、ブール値の一覧と詳細の表示や、ブール値の状態の変更が可能なツールが提供されています。詳細については、次のセクションを参照してください。

# getsebool -a

abrt_anon_write --> off
abrt_handle_event --> off
abrt_upload_watch_anon_write --> on
...

# semanage boolean -l

SELinux boolean               State   Default     Description

abrt_anon_write               (off  ,  off)       Allow abrt to anon write
abrt_handle_event             (off  ,  off)       Allow abrt to handle event
abrt_upload_watch_anon_write  (on   ,   on)       Allow abrt to upload watch anon write

# getseboolBOOLEAN_NAME

# semanage boolean -l | grepBOOLEAN_NAME

# setseboolBOOLEAN_NAMEBOOLEAN_VALUE

# setsebool -PBOOLEAN_NAMEBOOLEAN_VALUE

# semanage boolean -m --BOOLEAN_VALUEBOOLEAN_NAME

# sedispol /etc/selinux/targeted/policy/policy.32

SLE Microでは、システム上のSELinuxを管理するためのツールが提供されています。以下で説明するツールがシステムにインストールされていない場合は、次のコマンドを実行してインストールします。

# transactional-update pkg install policycoreutils-python-utils

正常にインストールされたら、システムを再起動します。

> ls -Z /etc/shadow

        system_u:object_r:shadow_t:s0 /etc/shadow

7.2 chconコマンド #

  

コマンド名chconは、change context(コンテキストの変更)を表します。このコマンドは、ファイルの完全なセキュリティコンテキストをCLIで指定した値に変更したり、コンテキストの一部を変更したりできます。また、参照として機能するファイルを指定することもできます。

ファイルの完全なセキュリティコンテキストを変更する場合、コマンド構文は次のようになります。

# chconSECURITY_CONTEXTFILENAME

各要素の説明

• SECURITY_CONTEXTの形式は、SELinux_USER:ROLE:TYPE:LEVEL:CATEGORYです。たとえば、system_u:object_r:httpd_config_t:s0のようにコンテキストを指定できます。

• FILENAMEは、変更するコンテキストが含まれるファイルのパスです。

参照として機能する指定ファイルに従ってセキュリティコンテキストを設定するには、chconを次のように実行します。

# chcon --reference=REFERENCE_FILEFILENAME

各要素の説明

• REFERENCE_FILEは、参照として使用するファイルのパスです。

• FILENAMEは、変更するコンテキストが含まれるファイルのパスです。

また、セキュリティコンテキストの一部のみを変更することもできます。chconコマンドの一般的な構文は次のとおりです。

# chconCONTEXT_OPTIONCONTEXT_PARTFILENAME

オプションと引数には次の意味があります。

• コンテキストの部分によって、CONTEXT_OPTIONは次のいずれかになります。

  -u resp --user

  指定したファイルでSELinuxユーザコンテキストを変更するように指定します。

  # chcon -u system_u logind.conf

  -r resp --role

  指定したファイルのコンテキストで役割の部分のみを変更します。

  # chcon -r object_r logind.conf

  -t resp --type

  指定したファイルのコンテキストでタイプの部分のみを変更します。

  # chcon -t etc_t logind.conf

  -l resp --range

  セキュリティコンテキストの範囲の部分のみを変更します。

  # chcon -l s0 logind.conf

• CONTEXT_PARTは、設定するセキュリティコンテキストの特定の値です。

• FILENAMEは、変更するコンテキストが含まれるファイルのパスです。

注記: シンボリックリンクでのchconの使用

デフォルトでは、シンボリックリンクのセキュリティコンテキストを変更した場合、リンクターゲットのコンテキストが変更され、シンボリックリンクのコンテキストは変更「されません」。chconでリンクターゲットではなくシンボリックリンクのコンテキストを強制的に変更するには、次に示すように--no-dereferenceオプションを使用します。

# chcon --no-dereference -u system_u -t etc_t network.conf

再帰オプションを使用すると、ディレクトリ内のすべてのファイルのコンテキストを変更できます。

# chcon --recursive  system_u:object_r:httpd_config_t:s0 conf.d

# getenforce

Permissive

# setenforceMODE_ID

# fixfiles [OPTIONS] ARGUMENT

# semanageARGUMENTOPTIONS [OBJECT_NAME]

semanage boolean [-h] [-n]  [ --extract |
       --deleteall | --list [-C] | --modify ( --on | --off | -1 | -0 ) boolean ]

# semanage boolean -m on authlogin_yubikey

sestatus [OPTION]

# sestatus

SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   enforcing
Mode from config file:          enforcing
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Memory protection checking:     requested (insecure)
Max kernel policy version:      33

Copyright © 2006–2024 SUSE LLC and contributors. All rights reserved.

この文書は、GNUフリー文書ライセンスのバージョン1.2または(オプションとして)バージョン1.3の条項に従って、複製、頒布、および/または改変が許可されています。ただし、この著作権表示およびライセンスは変更せずに記載すること。ライセンスバージョン1.2のコピーは、「GNUフリー文書ライセンス」セクションに含まれています。

SUSEの商標については、https://www.suse.com/company/legal/を参照してください。その他の第三者のすべての商標は、各社の所有に帰属します。商標記号(®、™など)は、SUSEおよび関連会社の商標を示します。アスタリスク(*)は、第三者の商標を示します。

本書のすべての情報は、細心の注意を払って編集されています。しかし、このことは正確性を完全に保証するものではありません。SUSE LLC、その関係者、著者、翻訳者のいずれも誤りまたはその結果に対して一切責任を負いかねます。