☰

Was fehlt bei meiner SELinux-Installation?

tag-icon • tag-icon debian selinux
Was fehlt bei meiner SELinux-Installation?

EntsprechendEinführung in SELinux, Abschnitt 14.4.2,

SELinux-Unterstützung ist in die von Debian bereitgestellten Standardkernel integriert. Die zentralen Unix-Tools unterstützen SELinux ohne jegliche Änderungen.

Ich habe die Pakete selinux-basicsund selinux-policy-defaultauf meinemDebian Wheezy(stabil)-System und ich habe gesehen, dass während der Installation einige Richtlinien geladen wurden. Daher bin ich ziemlich sicher, dass die Installation selbst erfolgreich verlaufen ist.

Ich habe /etc/default/grub wie folgt bearbeitet:

GRUB_CMDLINE_LINUX="selinux=1 audit=1 enforcing=0"

(diese Variable war vorher leer) und habe update-grub ausgeführt. /boot/grub/grub.cfg enthält die SELinux-bezogenen Kernelparameter.

Ich habe eine Datei /.autorelabelbasierend auf dem „Enable“-Zweig des Skripts /usr/sbin/selinux-activate erstellt.

Ich habe das System nach den oben genannten Änderungen neu gestartet. Während des Neustarts ist nichts Ungewöhnliches passiert.

dmesg | headAusgänge, unter anderem:

Command line: BOOT_IMAGE=/boot/vmlinuz-3.2.0-4-amd64 root=UUID=c050d662-f94a-447a-9342-0fc69f65a513 ro selinux=1 audit=1 enforcing=0 quiet pci=nomsi

Soweit ich das beurteilen kann, ist alles vorhanden.es scheint nicht zu funktionieren. id -Zkehrt zurück:

$ id -Z
id: --context (-Z) works only on an SELinux-enabled kernel
$

Statusgibt:

# sestatus
SELinux status:                 disabled
#

check-selinux-installationgibt:

# check-selinux-installation
getfilecon:  getfilecon(/proc/1) failed
SELinux is not enabled.
Could not read the domain of PID 1.
/etc/pam.d/login is not SELinux enabled
Postfix init script is syncing the chroots.
Postfix has chrooted service in master.cf
FSCKFIX is not enabled - not serious, but could prevent system from booting...
#

Was fehlt, damit SELinux auf meinem System aktiviert werden kann?

Antwort1

Wie in den Kommentaren erwähnt, müssen Sie security=selinuxden Parameter auch an den Kernel übergeben. Auf Debian-Systemen sollte dies automatisch zur Grub-Konfiguration hinzugefügt werden selinux-activate.

KernelDokumentationerklärt securityden Parameter:

[SICHERHEIT] Wählen Sie ein Sicherheitsmodul, das beim Booten aktiviert werden soll. Wenn dieser Boot-Parameter nicht angegeben ist, wird nur das erste Sicherheitsmodul geladen, das eine Sicherheitsregistrierung anfordert. Ein ungültiger Name des Sicherheitsmoduls wird so behandelt, als ob kein Modul ausgewählt worden wäre.

Unter Debian ist dies relevant, da Debian auch das Sicherheitsmodul AppArmor unterstützt.

verwandte Informationen