Linux/SELinux/04/12 Richtlinienmodule

Priorisierung und Deaktivierung von SELinux-Richtlinienmodulen

Der Speicher für SELinux-Module in /etc/selinux/ ermöglicht die Verwendung einer Priorität für SELinux-Module

Geben Sie den folgenden Befehl als Root ein, um zwei Modulverzeichnisse mit unterschiedlicher Priorität anzuzeigen

sudo ls /etc/selinux/targeted/active/ module
100 400 disabled

Während die Standardpriorität des Dienstprogramms semodule 400 beträgt, liegt die Priorität in selinux-policy-Paketen bei 100, sodass die meisten installierten SELinux-Module die Priorität 100 haben

Sie können ein vorhandenes Modul durch ein modifiziertes Modul mit demselben Namen und einer höheren Priorität überschreiben

Wenn mehrere Module mit demselben Namen und unterschiedlichen Prioritäten vorhanden sind, wird beim Erstellen der Richtlinie nur das Modul mit der höchsten Priorität verwendet

Verwendung von SELinux-Richtlinienmodulen – Priorität

Erstellen Sie ein neues Modul mit geändertem Dateikontext

Installieren Sie das Modul mit dem Befehl semodule -i und setzen Sie die Priorität des Moduls auf 400
Im folgenden Beispiel verwenden wir sandbox.pp

sudo semodule -X 400 -i sandbox.pp
sudo semodule --list-modules=full | grep sandbox
400 sandbox pp
100 sandbox pp

Um zum Standardmodul zurückzukehren, geben Sie als Root den Befehl semodule -r ein

sudo semodule -X 400 -r sandbox

libsemanage.semanage_direct_remove_key Das Sandbox-Modul mit der Priorität 100 ist nun aktiv

Deaktivieren eines System-Policy-Moduls

Um ein System-Policy-Modul zu deaktivieren, geben Sie als Root den folgenden Befehl ein semodule -d ‚'MODULE_NAME‘'

Warnung

Wenn Sie ein System-Policy-Modul mit dem Befehl semodule -r entfernen, wird es vom Speichersystem gelöscht und kann nicht erneut geladen werden

Um unnötige Neuinstallationen des selinux -policy-targeted-Pakets zur Wiederherstellung aller Systemrichtlinien-Module, verwenden Sie stattdessen den Befehl semodule -d