Zum Inhalt springen

Linux/SELinux/05 SEPolicy: Unterschied zwischen den Versionen

Aus Foxwiki
Versionsgeschichte interaktiv durchsuchen
← Zum vorherigen Versionsunterschied

Dirkwagner (Diskussion | Beiträge)

3 Benutzergruppen
150.038 Bearbeitungen
VisuellWikitext
Keine Bearbeitungszusammenfassung
K Textersetzung - „ “ durch „ “
 
(34 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
=== The sepolicy Suite ===
'''Linux/SELinux/05 SEPolicy''' - Sepolicy-Suite
The ''sepolicy'' utility provides a suite of features to query the installed SELinux policy. These features are either new or were previously provided by separate utilities, such as ''sepolgen'' or ''setrans''. The suite allows you to generate transition reports, man pages, or even new policy modules, thus giving users easier access and better understanding of the SELinux policy.
{{navigation|Linux/SELinux/04/16 Miniaturansichten|Linux/SELinux/06 Benutzer}}


The policycoreutils-devel package provides ''sepolicy''. Enter the following command as the root user to install ''sepolicy''
== Beschreibung ==
  yum install policycoreutils-devel
'''[[sepolicy]]''' bietet eine Reihe von Funktionen zur Abfrage der installierten SELinux-Richtlinie
* Diese Funktionen sind entweder neu oder wurden zuvor von separaten Dienstprogrammen wie '''[[sepolgen]]''' oder '''[[setrans]]''' bereitgestellt
The ''sepolicy'' suite provides the following features that are invoked as command-line parameters:
* Mit dieser Suite können Sie Übergangsberichte, Manpages oder sogar neue Richtlinienmodule erstellen, wodurch Benutzer einen einfacheren Zugang zur SELinux-Richtlinie erhalten und diese besser verstehen können
 
Das Paket [[policycoreutils-devel]] stellt [[sepolicy]] bereit
 
Geben Sie als Root-Benutzer den folgenden Befehl ein, um [[sepolicy]] zu installieren
  sudo yum install policycoreutils-devel
 
; Funktionen von sepolicy
Die '''sepolicy'''-Suite bietet die folgenden Funktionen, die als Befehlszeilenparameter aufgerufen werden:
{| class="wikitable options big"
{| class="wikitable options big"
|+Table 5.1. The sepolicy Features
!Funktion
!Feature
!Beschreibung
!Description
|-
|-
|booleans
|booleans
|Query the SELinux Policy to see description of Booleans
|Abfrage der SELinux-Richtlinie zur Anzeige der Beschreibung von Booleschen Werten
|-
|-
|communicate
|communicate
|Query the SELinux policy to see if domains can communicate with each other
|Abfrage der SELinux-Richtlinie, um zu prüfen, ob Domänen miteinander kommunizieren können
|-
|-
|generate
|generate
|Generate an SELinux policy module template
|Erstellung einer Vorlage für ein SELinux-Richtlinienmodul
|-
|-
|gui
|gui
|Graphical User Interface for SELinux Policy
|Grafische Benutzeroberfläche für die SELinux-Richtlinie
|-
|-
|interface
|interface
|List SELinux Policy interfaces
|Auflistung der SELinux-Richtlinien-Schnittstellen
|-
|-
|manpage
|manpage
|Generate SELinux man pages
|SELinux-Manpages generieren
|-
|-
|network
|network
|Query SELinux policy network information
|Netzwerkinformationen der SELinux-Richtlinie abfragen
|-
|-
|transition
|transition
|Query SELinux policy and generate a process transition report
|SELinux-Richtlinie abfragen und einen Prozessübergangsbericht generieren
|}
|}


{| class="wikitable options big"
== Python-Bindings ==
|+Table 5.1. The sepolicy Features
; sepolicy-Python-Bindings
!Feature
In früheren Linux-Versionen enthielt das setools-Paket die Dienstprogramme '''sesearch''' und '''seinfo'''
!Description
* Das Dienstprogramm '''sesearch''' dient zum Suchen von Regeln in einer SELinux-Richtlinie, während das Dienstprogramm '''seinfo''' es ermöglicht, verschiedene andere Komponenten der Richtlinie abzufragen
|-
|booleans
|Query the SELinux Policy to see description of Booleans
|-
|communicate
|Query the SELinux policy to see if domains can communicate with each other
|-
|generate
|Generate an SELinux policy module template
|-
|gui
|Graphical User Interface for SELinux Policy
|-
|interface
|List SELinux Policy interfaces
|-
|manpage
|Generate SELinux man pages
|-
|network
|Query SELinux policy network information
|-
|transition
|Query SELinux policy and generate a process transition report
|}


=== The sepolicy Python Bindings ===
In Linux wurden Python-Bindings für '''sesearch''' und '''seinfo''' hinzugefügt, sodass Sie die Funktionalität dieser Dienstprogramme über die '''sepolicy'''-Suite nutzen können
In previous versions of Linux, the setools package included the ''sesearch'' and ''seinfo'' utilities. The ''sesearch'' utility is used for searching rules in a SELinux policy while the ''seinfo'' utility allows you to query various other components in the policy.


In Linux 7, Python bindings for ''sesearch'' and ''seinfo'' have been added so that you can use the functionality of these utilities through the ''sepolicy'' suite. See the example below:
; Beispiel
  ''> python
  > python
  >>> import sepolicy
  >>> import sepolicy
  >>> sepolicy.info(sepolicy.ATTRIBUTE)
  >>> sepolicy.info(sepolicy.ATTRIBUTE)
  Returns a dictionary of all information about SELinux Attributes
  Returns a dictionary of all information about SELinux Attributes
  >>>sepolicy.search([sepolicy.ALLOW])
  >>>sepolicy.search([sepolicy.ALLOW])
  Returns a dictionary of all allow rules in the policy.''
  Returns a dictionary of all allow rules in the policy.


=== Generating SELinux Policy Modules: sepolicy generate ===
== Richtlinienmodule ==
In previous versions of Linux, the ''sepolgen'' or ''selinux-polgengui'' utilities were used for generating a SELinux policy. These tools have been merged to the ''sepolicy'' suite. In Linux 7, the ''sepolicy generate'' command is used to generate an initial SELinux policy module template.
Richtlinienmodule generieren


Unlike ''sepolgen'', it is not necessary to run ''sepolicy generate'' as the root user. This utility also creates an RPM spec file, which can be used to build an RPM package that installs the policy package file (''''NAME''.pp'') and the interface file (''''NAME''.if'') to the correct location, provides installation of the SELinux policy into the kernel, and fixes the labeling. The setup script continues to install SELinux policy and sets up the labeling. In addition, a manual page based on the installed policy is generated using the ''sepolicy manpage'' command. <sup>[7]</sup> Finally, ''sepolicy generate'' builds and compiles the SELinux policy and the manual page into an RPM package, ready to be installed on other systems.
; sepolicy generate
In früheren Linux-Versionen wurden die Dienstprogramme '''sepolgen''' oder '''selinux-polgengui''' zum Generieren einer SELinux-Richtlinie verwendet
* Diese Tools wurden in die '''sepolicy'''-Suite integriert
* Unter Linux wird der Befehl '''sepolicy generate''' verwendet, um eine erste Vorlage für ein SELinux-Richtlinienmodul zu generieren


When ''sepolicy generate'' is executed, the following files are produced:
Im Gegensatz zu '''sepolgen''' ist es nicht erforderlich, '''sepolicy generate''' als Root-Benutzer auszuführen
* Dieses Dienstprogramm erstellt außerdem eine RPM-Spec-Datei, mit der ein RPM-Paket erstellt werden kann, das die Policy-Paketdatei (''NAME''.pp) und die Schnittstellendatei (''NAME''.if) am richtigen Ort installiert, die SELinux-Policy in den Kernel integriert und die Labeling-Einstellungen anpasst
* Das Setup-Skript installiert anschließend die SELinux-Policy und richtet das Labeling ein
* Darüber hinaus wird mit dem Befehl '''sepolicy manpage''' eine Handbuchseite basierend auf der installierten Richtlinie generiert. [7] Schließlich erstellt und kompiliert '''sepolicy generate''' die SELinux-Richtlinie und die Handbuchseite zu einem RPM-Paket, das zur Installation auf anderen Systemen bereit ist


; ''''NAME''.te'' – type enforcing file
; ''sepolicy generate'' erzeugt folgenden Dateien
: This file defines all the types and rules for a particular domain.
{| class="wikitable options big"
; ''''NAME''.if'' – interface file
| ''NAME''.te || Typ-Enforcing-Datei || Diese Datei definiert alle Typen und Regeln für eine bestimmte Domäne
: This file defines the default file context for the system. It takes the file types created in the ''NAME.te'' file and associates file paths to the types. Utilities, such as ''restorecon'' and ''rpm'', use these paths to write labels.
|-
; ''''NAME''_selinux.spec'' – RPM spec file
| ''NAME''.if || Schnittstellendatei || Diese Datei definiert den Standard-Dateikontext für das System
: This file is an RPM spec file that installs SELinux policy and sets up the labeling. This file also installs the interface file and a man page describing the policy. You can use the ''sepolicy manpage -d ''NAME'''' command to generate the man page.
* Sie übernimmt die in der Datei '''NAME.te''' erstellten Dateitypen und ordnet den Typen Dateipfade zu
; ''''NAME''.sh'' – helper shell script
* Dienstprogramme wie '''restorecon''' und '''rpm''' verwenden diese Pfade, um Labels zu schreiben
: This script helps to compile, install, and fix the labeling on the system. It also generates a man page based on the installed policy, compiles, and builds an RPM package suitable to be installed on other systems.
|-
| ''NAME''_selinux.spec || RPM-Spezifikationsdatei || Diese Datei ist eine RPM-Spezifikationsdatei, die die SELinux-Richtlinie installiert und die Labeling-Einstellungen vornimmt
* Diese Datei installiert außerdem die Schnittstellendatei und eine Man-Seite, die die Richtlinie beschreibt
* Sie können den Befehl '''sepolicy manpage -d '''NAME''' verwenden, um die Man-Seite zu generieren
|-
| ''NAME''.sh || Hilfs-Shell-Skript || Dieses Skript hilft beim Kompilieren, Installieren und Korrigieren der Kennzeichnung auf dem System
* Es generiert außerdem eine Man-Seite basierend auf der installierten Richtlinie, kompiliert und erstellt ein RPM-Paket, das für die Installation auf anderen Systemen geeignet ist
|}


If it is possible to generate an SELinux policy module, ''sepolicy generate'' prints out all generated paths from the source domain to the target domain. See the sepolicy-generate(8) manual page for further information about ''sepolicy generate''.
Wenn es möglich ist, ein SELinux-Richtlinienmodul zu generieren, gibt '''sepolicy generate''' alle generierten Pfade von der Quelldomäne zur Zieldomäne aus
* Weitere Informationen zu '''sepolicy generate''' finden Sie auf der Man-Seite sepolicy-generate(8)


=== Understanding Domain Transitions: sepolicy transition ===
== Domänenübergänge ==
Previously, the ''setrans'' utility was used to examine if transition between two domain or process types is possible and printed out all intermediary types that are used to transition between these domains or processes. In Linux 7, ''setrans'' is provided as part of the ''sepolicy'' suite and the ''sepolicy transition'' command is now used instead.
Domänenübergänge verstehen


The ''sepolicy transition'' command queries a SELinux policy and creates a process transition report. The ''sepolicy transition'' command requires two command-line arguments – a source domain (specified by the ''-s'' option) and a target domain (specified by the ''-t'' option). If only the source domain is entered, ''sepolicy transition'' lists all possible domains that the source domain can transition to. The following output does not contain all entries. The “@” character means “execute”:
; sepolicy transition
  ''~]$ sepolicy transition -s httpd_t
Früher wurde das Dienstprogramm '''setrans''' verwendet, um zu prüfen, ob ein Übergang zwischen zwei Domänen- oder Prozesstypen möglich ist, und es gab alle Zwischentypen aus, die für den Übergang zwischen diesen Domänen oder Prozessen verwendet werden
* Unter Linux ist '''setrans''' als Teil der '''sepolicy'''-Suite verfügbar, und stattdessen wird nun der Befehl '''sepolicy transition''' verwendet
 
Der Befehl '''sepolicy transition''' fragt eine SELinux-Richtlinie ab und erstellt einen Prozessübergangsbericht
* Der Befehl '''sepolicy transition''' benötigt zwei Befehlszeilenargumente – eine Quelldomäne (angegeben mit der Option ‚‘-s'‚) und eine Zieldomäne (angegeben mit der Option '''-t''')
* Wenn nur die Quelldomäne angegeben wird, listet '''sepolicy transition''' alle möglichen Domänen auf, zu denen die Quelldomäne wechseln kann
* Die folgende Ausgabe enthält nicht alle Einträge
 
Das Zeichen '''@''' bedeutet '''ausführen''':
  sepolicy transition -s httpd_t
  httpd_t @ httpd_suexec_exec_t --> httpd_suexec_t
  httpd_t @ httpd_suexec_exec_t --> httpd_suexec_t
  httpd_t @ mailman_cgi_exec_t --> mailman_cgi_t
  httpd_t @ mailman_cgi_exec_t --> mailman_cgi_t
  httpd_t @ abrt_retrace_worker_exec_t --> abrt_retrace_worker_t
  httpd_t @ abrt_retrace_worker_exec_t --> abrt_retrace_worker_t
  httpd_t @ dirsrvadmin_unconfined_script_exec_t --> dirsrvadmin_unconfined_script_t
  httpd_t @ dirsrvadmin_unconfined_script_exec_t --> dirsrvadmin_unconfined_script_t
  httpd_t @ httpd_unconfined_script_exec_t --> httpd_unconfined_script_t''
  httpd_t @ httpd_unconfined_script_exec_t --> httpd_unconfined_script_t
If the target domain is specified, ''sepolicy transition'' examines SELinux policy for all transition paths from the source domain to the target domain and lists these paths. The output below is not complete:
 
  ''~]$ sepolicy transition -s httpd_t -t system_mail_t
Wenn die Zieldomäne angegeben ist, untersucht '''sepolicy transition''' die SELinux-Richtlinie auf alle Übergangspfade von der Quelldomäne zur Zieldomäne und listet diese Pfade auf
 
Die folgende Ausgabe ist unvollständig:  
  sepolicy transition -s httpd_t -t system_mail_t
  httpd_t @ exim_exec_t --> system_mail_t
  httpd_t @ exim_exec_t --> system_mail_t
  httpd_t @ courier_exec_t --> system_mail_t
  httpd_t @ courier_exec_t --> system_mail_t
Zeile 113: Zeile 120:
  httpd_t ... httpd_suexec_t @ exim_exec_t --> system_mail_t
  httpd_t ... httpd_suexec_t @ exim_exec_t --> system_mail_t
  httpd_t ... httpd_suexec_t @ courier_exec_t --> system_mail_t
  httpd_t ... httpd_suexec_t @ courier_exec_t --> system_mail_t
  httpd_t ... httpd_suexec_t ... httpd_mojomojo_script_t @ sendmail_exec_t --> system_mail_t''
  httpd_t ... httpd_suexec_t ... httpd_mojomojo_script_t @ sendmail_exec_t --> system_mail_t
See the sepolicy-transition(8) manual page for further information about ''sepolicy transition''.
 
Weitere Informationen zum '''sepolicy-transition''' finden Sie in der sepolicy-transition(8)-Handbuchseite
 
== Manpage erstellen ==
; Erstellen von Handbuchseiten: sepolicy manpage
Der Befehl '''sepolicy manpage''' generiert Handbuchseiten auf Basis der SELinux-Richtlinie, die Prozessdomänen dokumentieren
* Dadurch ist diese Dokumentation stets auf dem neuesten Stand
* Jeder Name der automatisch generierten Handbuchseiten besteht aus dem Namen der Prozessdomäne und dem Suffix '''_selinux''', zum Beispiel '''httpd_selinux'''
 
Die Handbuchseiten enthalten mehrere Abschnitte, die Informationen zu verschiedenen Teilen der SELinux-Richtlinie für eingeschränkte Domänen bereitstellen:
{| class="wikitable options big"
| Entrypoints || enthält alle ausführbaren Dateien, die während eines Domänenübergangs ausgeführt werden müssen
|-
| Process Types || listet alle Prozesstypen auf, die mit demselben Präfix wie die Zieldomäne beginnen
|-
| Booleans || listet die mit der Domäne verbundenen Booleschen Werte auf
|-
| Port Types || enthält die Porttypen, die mit demselben Präfix wie die Domäne übereinstimmen, und beschreibt die diesen Porttypen zugewiesenen Standardportnummern
|-
| Managed Files || beschreibt die Typen, in die die Domäne schreiben darf, sowie die diesen Typen zugeordneten Standardpfade
|-
| File Contexts || enthält alle mit der Domäne verbundenen Dateitypen und beschreibt, wie diese Dateitypen zusammen mit der Standard-Pfadkennzeichnung auf einem System verwendet werden
|-
| Sharing Files || erläutert die Verwendung der Domänen-Freigabetypen, wie '''public_content_t'''
|}
 
Weitere Informationen zu '''sepolicy manpage''' finden Sie auf der sepolicy-manpage(8)-Handbuchseite
 
[7] Weitere Informationen zu '''sepolicy manpage''' finden Sie in Abschnitt '''[[Erstellen von Handbuchseiten]]: '''sepolicy manpage'''
 
== Arbeit mit Modulen ==
Um eine maximale Performance auf Ebene der Systemaufrufe (Syscalls) zu gewährleisten, verwendet SELinux eine ''kompilierte binäre Zugriffsmatrix''.
 
Der Quellcode der Policy (Type Enforcement-Dateien — ''.te'') muss eine spezielle Kompilierungs- und Build-Pipeline durchlaufen, bevor er in den Kernel geladen werden kann.
 
Diese Pipeline besteht aus drei wesentlichen Werkzeugen:
 
=== checkmodule ===
Dieses Tool nimmt eine Textdatei (''.te''), prüft deren Syntax und kompiliert sie in ein binäres Zwischenformat — ein Modul (''.mod''). In diesem Schritt stellt das Programm sicher, dass alle deklarierten Typen und Klassen tatsächlich existieren.
 
; Wichtige Optionen:
* ''-M'': Aktiviert die Unterstützung für MLS/MCS. Bei modernen Distributionen ist diese Option '''zwingend erforderlich''', da deren Basis-Policies Kategorien verwenden.
* ''-m'': Gibt an, dass ein ladbares Modul für eine bereits existierende Policy kompiliert wird.
* ''-o <FILE.mod>'': Legt den Namen der ausgegebenen kompilierten Datei fest.
 
; Beispiel
<syntaxhighlight lang="bash" highlight="1" copy line>
checkmodule -M -m -o my_rule.mod my_rule.te
</syntaxhighlight>
 
=== semodule_package ===
Der SELinux-Kernel akzeptiert keine ''.mod''-Dateien direkt. Diese müssen in ein spezielles Policy-Paket — Policy Package (''.pp'') — verpackt werden. Der Packager nimmt das kompilierte Modul und fügt (falls erforderlich) Dateikontext-Regeln hinzu.
 
; Wichtige Optionen
* ''-m <FILE.mod>'': Gibt das binäre Eingangsmodul an.
* ''-o <FILE.pp>'': Legt den Namen des resultierenden Policy-Pakets fest.
* ''-fc <FILE.fc>'': ''(Optional)'' Fügt eine Datei mit Regeln zur Markierung des Dateisystems (File Contexts) hinzu.
 
; Beispiel
<syntaxhighlight lang="bash" highlight="1" copy line>
semodule_package -o my_rule.pp -m my_rule.mod
</syntaxhighlight>
 
=== semodule ===
Dies ist das primäre Administrationswerkzeug zur Verwaltung der im System geladenen Module. Es integriert das fertige Paket (''.pp'') in die aktive SELinux-Datenbank und wendet die Regeln im laufenden Betrieb an, ohne dass ein Systemneustart erforderlich ist.


=== Generating Manual Pages: sepolicy manpage ===
; Wichtige Optionen
The ''sepolicy manpage'' command generates manual pages based on the SELinux policy that document process domains. As a result, such documentation is always up-to-date. Each name of automatically generated manual pages consists of the process domain name and the ''_selinux'' suffix, for example ''httpd_selinux''.
* ''-i <FILE.pp>'': Ein neues Modul installieren oder ein bestehendes aktualisieren.
* ''-r <MODULE_NAME>'': Ein installiertes Modul aus dem System entfernen.
* ''-l'': Listet alle aktuell geladenen Module auf.
* ''-X <PRIORITY>'': Legt die Priorität des Moduls fest (standardmäßig werden benutzerdefinierte Module mit der Priorität 400 installiert).


The manual pages include several sections that provide information about various parts of the SELinux policy for confined domains:
; Beispiel
<syntaxhighlight lang="bash" highlight="1" copy line>
semodule -i my_rule.pp
</syntaxhighlight>


* The ''Entrypoints'' section contains all executable files that need to be executed during a domain transition.
----
* The ''Process Types'' section lists all process types that begin with the same prefix as the target domain.
* The ''Booleans'' section lists Booleans associated with the domain.
* The ''Port Types'' section contains the port types matching the same prefix as the domain and describes the default port numbers assigned to these port types.
* The ''Managed Files'' section describes the types that the domain is allowed to write to and the default paths associated with these types.
* The ''File Contexts'' section contains all file types associated with the domain and describes how to use these file types along with the default path labeling on a system.
* The ''Sharing Files'' section explains how to use the domain sharing types, such as ''public_content_t''.


See the sepolicy-manpage(8) manual page for further information about ''sepolicy manpage''.
{{navigation|Linux/SELinux/04/16 Miniaturansichten|Linux/SELinux/06 Benutzer}}
----<sup>[7]</sup> See Section 5.4, “Generating Manual Pages: ''sepolicy manpage''” for more information about ''sepolicy manpage''.


[[Kategorie:SELinux/DOC]]
[[Kategorie:Linux/SELinux]]

Aktuelle Version vom 14. Juni 2026, 00:49 Uhr

Linux/SELinux/05 SEPolicy - Sepolicy-Suite

← Zurück
Weiter →

Beschreibung

sepolicy bietet eine Reihe von Funktionen zur Abfrage der installierten SELinux-Richtlinie

  • Diese Funktionen sind entweder neu oder wurden zuvor von separaten Dienstprogrammen wie sepolgen oder setrans bereitgestellt
  • Mit dieser Suite können Sie Übergangsberichte, Manpages oder sogar neue Richtlinienmodule erstellen, wodurch Benutzer einen einfacheren Zugang zur SELinux-Richtlinie erhalten und diese besser verstehen können

Das Paket policycoreutils-devel stellt sepolicy bereit

Geben Sie als Root-Benutzer den folgenden Befehl ein, um sepolicy zu installieren 

sudo yum install policycoreutils-devel
Funktionen von sepolicy

Die sepolicy-Suite bietet die folgenden Funktionen, die als Befehlszeilenparameter aufgerufen werden:

Funktion Beschreibung
booleans Abfrage der SELinux-Richtlinie zur Anzeige der Beschreibung von Booleschen Werten
communicate Abfrage der SELinux-Richtlinie, um zu prüfen, ob Domänen miteinander kommunizieren können
generate Erstellung einer Vorlage für ein SELinux-Richtlinienmodul
gui Grafische Benutzeroberfläche für die SELinux-Richtlinie
interface Auflistung der SELinux-Richtlinien-Schnittstellen
manpage SELinux-Manpages generieren
network Netzwerkinformationen der SELinux-Richtlinie abfragen
transition SELinux-Richtlinie abfragen und einen Prozessübergangsbericht generieren

Python-Bindings

sepolicy-Python-Bindings

In früheren Linux-Versionen enthielt das setools-Paket die Dienstprogramme sesearch und seinfo

  • Das Dienstprogramm sesearch dient zum Suchen von Regeln in einer SELinux-Richtlinie, während das Dienstprogramm seinfo es ermöglicht, verschiedene andere Komponenten der Richtlinie abzufragen

In Linux wurden Python-Bindings für sesearch und seinfo hinzugefügt, sodass Sie die Funktionalität dieser Dienstprogramme über die sepolicy-Suite nutzen können

Beispiel
> python
>>> import sepolicy
>>> sepolicy.info(sepolicy.ATTRIBUTE)
Returns a dictionary of all information about SELinux Attributes
>>>sepolicy.search([sepolicy.ALLOW])
Returns a dictionary of all allow rules in the policy.

Richtlinienmodule

Richtlinienmodule generieren

sepolicy generate

In früheren Linux-Versionen wurden die Dienstprogramme sepolgen oder selinux-polgengui zum Generieren einer SELinux-Richtlinie verwendet

  • Diese Tools wurden in die sepolicy-Suite integriert
  • Unter Linux wird der Befehl sepolicy generate verwendet, um eine erste Vorlage für ein SELinux-Richtlinienmodul zu generieren

Im Gegensatz zu sepolgen ist es nicht erforderlich, sepolicy generate als Root-Benutzer auszuführen

  • Dieses Dienstprogramm erstellt außerdem eine RPM-Spec-Datei, mit der ein RPM-Paket erstellt werden kann, das die Policy-Paketdatei (NAME.pp) und die Schnittstellendatei (NAME.if) am richtigen Ort installiert, die SELinux-Policy in den Kernel integriert und die Labeling-Einstellungen anpasst
  • Das Setup-Skript installiert anschließend die SELinux-Policy und richtet das Labeling ein
  • Darüber hinaus wird mit dem Befehl sepolicy manpage eine Handbuchseite basierend auf der installierten Richtlinie generiert. [7] Schließlich erstellt und kompiliert sepolicy generate die SELinux-Richtlinie und die Handbuchseite zu einem RPM-Paket, das zur Installation auf anderen Systemen bereit ist
sepolicy generate erzeugt folgenden Dateien
NAME.te Typ-Enforcing-Datei Diese Datei definiert alle Typen und Regeln für eine bestimmte Domäne
NAME.if Schnittstellendatei Diese Datei definiert den Standard-Dateikontext für das System
  • Sie übernimmt die in der Datei NAME.te erstellten Dateitypen und ordnet den Typen Dateipfade zu
  • Dienstprogramme wie restorecon und rpm verwenden diese Pfade, um Labels zu schreiben
NAME_selinux.spec RPM-Spezifikationsdatei Diese Datei ist eine RPM-Spezifikationsdatei, die die SELinux-Richtlinie installiert und die Labeling-Einstellungen vornimmt
  • Diese Datei installiert außerdem die Schnittstellendatei und eine Man-Seite, die die Richtlinie beschreibt
  • Sie können den Befehl sepolicy manpage -d NAME verwenden, um die Man-Seite zu generieren
NAME.sh Hilfs-Shell-Skript Dieses Skript hilft beim Kompilieren, Installieren und Korrigieren der Kennzeichnung auf dem System
  • Es generiert außerdem eine Man-Seite basierend auf der installierten Richtlinie, kompiliert und erstellt ein RPM-Paket, das für die Installation auf anderen Systemen geeignet ist

Wenn es möglich ist, ein SELinux-Richtlinienmodul zu generieren, gibt sepolicy generate alle generierten Pfade von der Quelldomäne zur Zieldomäne aus

  • Weitere Informationen zu sepolicy generate finden Sie auf der Man-Seite sepolicy-generate(8)

Domänenübergänge

Domänenübergänge verstehen

sepolicy transition

Früher wurde das Dienstprogramm setrans verwendet, um zu prüfen, ob ein Übergang zwischen zwei Domänen- oder Prozesstypen möglich ist, und es gab alle Zwischentypen aus, die für den Übergang zwischen diesen Domänen oder Prozessen verwendet werden

  • Unter Linux ist setrans als Teil der sepolicy-Suite verfügbar, und stattdessen wird nun der Befehl sepolicy transition verwendet

Der Befehl sepolicy transition fragt eine SELinux-Richtlinie ab und erstellt einen Prozessübergangsbericht

  • Der Befehl sepolicy transition benötigt zwei Befehlszeilenargumente – eine Quelldomäne (angegeben mit der Option ‚‘-s'‚) und eine Zieldomäne (angegeben mit der Option -t)
  • Wenn nur die Quelldomäne angegeben wird, listet sepolicy transition alle möglichen Domänen auf, zu denen die Quelldomäne wechseln kann
  • Die folgende Ausgabe enthält nicht alle Einträge

Das Zeichen @ bedeutet ausführen: 

sepolicy transition -s httpd_t
httpd_t @ httpd_suexec_exec_t --> httpd_suexec_t
httpd_t @ mailman_cgi_exec_t --> mailman_cgi_t
httpd_t @ abrt_retrace_worker_exec_t --> abrt_retrace_worker_t
httpd_t @ dirsrvadmin_unconfined_script_exec_t --> dirsrvadmin_unconfined_script_t
httpd_t @ httpd_unconfined_script_exec_t --> httpd_unconfined_script_t

Wenn die Zieldomäne angegeben ist, untersucht sepolicy transition die SELinux-Richtlinie auf alle Übergangspfade von der Quelldomäne zur Zieldomäne und listet diese Pfade auf

Die folgende Ausgabe ist unvollständig: 

sepolicy transition -s httpd_t -t system_mail_t
httpd_t @ exim_exec_t --> system_mail_t
httpd_t @ courier_exec_t --> system_mail_t
httpd_t @ sendmail_exec_t --> system_mail_t
httpd_t ... httpd_suexec_t @ sendmail_exec_t --> system_mail_t
httpd_t ... httpd_suexec_t @ exim_exec_t --> system_mail_t
httpd_t ... httpd_suexec_t @ courier_exec_t --> system_mail_t
httpd_t ... httpd_suexec_t ... httpd_mojomojo_script_t @ sendmail_exec_t --> system_mail_t

Weitere Informationen zum sepolicy-transition finden Sie in der sepolicy-transition(8)-Handbuchseite

Manpage erstellen

Erstellen von Handbuchseiten
sepolicy manpage

Der Befehl sepolicy manpage generiert Handbuchseiten auf Basis der SELinux-Richtlinie, die Prozessdomänen dokumentieren

  • Dadurch ist diese Dokumentation stets auf dem neuesten Stand
  • Jeder Name der automatisch generierten Handbuchseiten besteht aus dem Namen der Prozessdomäne und dem Suffix _selinux, zum Beispiel httpd_selinux

Die Handbuchseiten enthalten mehrere Abschnitte, die Informationen zu verschiedenen Teilen der SELinux-Richtlinie für eingeschränkte Domänen bereitstellen:

Entrypoints enthält alle ausführbaren Dateien, die während eines Domänenübergangs ausgeführt werden müssen
Process Types listet alle Prozesstypen auf, die mit demselben Präfix wie die Zieldomäne beginnen
Booleans listet die mit der Domäne verbundenen Booleschen Werte auf
Port Types enthält die Porttypen, die mit demselben Präfix wie die Domäne übereinstimmen, und beschreibt die diesen Porttypen zugewiesenen Standardportnummern
Managed Files beschreibt die Typen, in die die Domäne schreiben darf, sowie die diesen Typen zugeordneten Standardpfade
File Contexts enthält alle mit der Domäne verbundenen Dateitypen und beschreibt, wie diese Dateitypen zusammen mit der Standard-Pfadkennzeichnung auf einem System verwendet werden
Sharing Files erläutert die Verwendung der Domänen-Freigabetypen, wie public_content_t

Weitere Informationen zu sepolicy manpage finden Sie auf der sepolicy-manpage(8)-Handbuchseite

[7] Weitere Informationen zu sepolicy manpage finden Sie in Abschnitt Erstellen von Handbuchseiten: sepolicy manpage

Arbeit mit Modulen

Um eine maximale Performance auf Ebene der Systemaufrufe (Syscalls) zu gewährleisten, verwendet SELinux eine kompilierte binäre Zugriffsmatrix.

Der Quellcode der Policy (Type Enforcement-Dateien — .te) muss eine spezielle Kompilierungs- und Build-Pipeline durchlaufen, bevor er in den Kernel geladen werden kann.

Diese Pipeline besteht aus drei wesentlichen Werkzeugen:

checkmodule

Dieses Tool nimmt eine Textdatei (.te), prüft deren Syntax und kompiliert sie in ein binäres Zwischenformat — ein Modul (.mod). In diesem Schritt stellt das Programm sicher, dass alle deklarierten Typen und Klassen tatsächlich existieren.

Wichtige Optionen
  • -M: Aktiviert die Unterstützung für MLS/MCS. Bei modernen Distributionen ist diese Option zwingend erforderlich, da deren Basis-Policies Kategorien verwenden.
  • -m: Gibt an, dass ein ladbares Modul für eine bereits existierende Policy kompiliert wird.
  • -o <FILE.mod>: Legt den Namen der ausgegebenen kompilierten Datei fest.
Beispiel
checkmodule -M -m -o my_rule.mod my_rule.te

semodule_package

Der SELinux-Kernel akzeptiert keine .mod-Dateien direkt. Diese müssen in ein spezielles Policy-Paket — Policy Package (.pp) — verpackt werden. Der Packager nimmt das kompilierte Modul und fügt (falls erforderlich) Dateikontext-Regeln hinzu.

Wichtige Optionen
  • -m <FILE.mod>: Gibt das binäre Eingangsmodul an.
  • -o <FILE.pp>: Legt den Namen des resultierenden Policy-Pakets fest.
  • -fc <FILE.fc>: (Optional) Fügt eine Datei mit Regeln zur Markierung des Dateisystems (File Contexts) hinzu.
Beispiel
semodule_package -o my_rule.pp -m my_rule.mod

semodule

Dies ist das primäre Administrationswerkzeug zur Verwaltung der im System geladenen Module. Es integriert das fertige Paket (.pp) in die aktive SELinux-Datenbank und wendet die Regeln im laufenden Betrieb an, ohne dass ein Systemneustart erforderlich ist.

Wichtige Optionen
  • -i <FILE.pp>: Ein neues Modul installieren oder ein bestehendes aktualisieren.
  • -r <MODULE_NAME>: Ein installiertes Modul aus dem System entfernen.
  • -l: Listet alle aktuell geladenen Module auf.
  • -X <PRIORITY>: Legt die Priorität des Moduls fest (standardmäßig werden benutzerdefinierte Module mit der Priorität 400 installiert).
Beispiel
semodule -i my_rule.pp
← Zurück
Weiter →
Abgerufen von „https://wiki.foxtom.de/index.php?title=Linux/SELinux/05_SEPolicy&oldid=166434“