🎹
Утилита audit2allow для SELinux
💬 Что это: audit2allow — утилита, с которой сможем на основе логов SELinux создавать точечные правила для разрешения заблокированных действий.
Всего 5 шагов для настройки1.
Понять проблему: Когда приложение сталкивается с ошибкой в SELinux, в логах появятся сообщения типа:
type=AVC msg=audit(1632217634.863:472): avc: denied { read } for pid=7890 comm="my_app" name="important_file.txt" dev="sda1" ino=1010103
Строки говорят о том, что приложение не может получить доступ к ресурсу из-за ограничений SELinux.2.
Сгенерировать разрешения: Используем audit2allow, чтобы понять, какие разрешения нужно добавить. Команда:
sudo grep "denied" /var/log/audit/audit.log | audit2allow -M myapp_policy
Создаст файл с разрешениями myapp_policy.pp, который будет разрешать доступ только для тех действий, которые были заблокированы.3.
Применим политику: Теперь применяем полученную политику с помощью:
sudo semodule -i myapp_policy.pp
4.
Проверим: После применения политики важно проверить логи:
sudo cat /var/log/audit/audit.log | grep denied
5.
Откат изменений: Если что-то пошло не так или вам нужно откатить изменения, просто выполните:
sudo semodule -d myapp_policy
🌠
Алишер Бейсебай | IT