Actualmente tengo SELinux habilitado y he podido configurar Apache para permitir el acceso a /home/src/web con un chconcomando que otorga el tipo 'httpd_sys_content_t'. Pero ahora estoy intentando entregar el archivo rsyslogd.conf desde el mismo directorio, pero cada vez que inicio rsyslogd veo una entrada en mi registro de auditoría que dice que se le negó el acceso a rsyslogd. Mi pregunta es, ¿es posible otorgar a dos aplicaciones la capacidad de acceder al mismo directorio y al mismo tiempo mantener SELinux habilitado?
Permisos actuales en /home/src:
drwxr-xr-x. src src unconfined_u:object_r:httpd_sys_content_t:s0 src
Mensaje de registro de auditoría:
type=AVC msg=audit(1349113476.272:1154): avc: denied { search } for pid=9975 comm="rsyslogd" name="/" dev=dm-2 ino=2 scontext=unconfined_u:system_r:syslogd_t:s0 tcontext=system_u:object_r:home_root_t:s0 tclass=dir
type=SYSCALL msg=audit(1349113476.272:1154): arch=c000003e syscall=2 success=no exit=-13 a0=7f9ef0c027f5 a1=0 a2=1b6 a3=0 items=0 ppid=9974 pid=9975 auid=500 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=(none) ses=30 comm="rsyslogd" exe="/sbin/rsyslogd" subj=unconfined_u:system_r:syslogd_t:s0 key=(null)
-- Editar --
Me encontré con estocorreo, que es algo de lo que estoy tratando de lograr. Sin embargo, cuando vi la lista deparámetros de sebool permitidos, el único relacionado con syslog fue: syslogd_disable_trans (Protección de servicio SELinux), parece que puedo mantener el 'tipo' actual de SELinux en el /home/src/directorio, pero configuré el bool en syslogd_disable_trans en falso. Me pregunto si hay un mejor enfoque.
Respuesta1
Como todavía estoy aprendiendo SELinux, intenté no implementar paquetes de políticas personalizadas de SELinux, pero en este caso parecía que no tenía otra opción. Entonces seguí la respuesta original a esto.correoy pude hacer que rsyslog funcionara bien con /home/src/web.
Respuesta2
Type Enforcement ayuda a evitar que los procesos accedan a archivos destinados a ser utilizados por otro proceso. Por ejemplo, de forma predeterminada, Samba no puede leer archivos etiquetados con el tipo httpd_sys_content_t, que están destinados a ser utilizados por el servidor HTTP Apache. Los archivos se pueden compartir entre el servidor HTTP Apache, FTP, rsync y Samba, si los archivos deseados están etiquetados con el tipo public_content_t o public_content_rw_t.