Eu tenho um script systemd no CentOS 7 que não funciona corretamente, a menos que eu desabilite o SELINUX. É possível de alguma forma ter o SELINUX ativado no sistema, mas desativá-lo apenas para este script systemd?
O script do sistema:
[Unit]
Description=Tractor Blade Service
Wants=network.target network-online.target autofs.service
After=network.target network-online.target autofs.service
RequiresMountsFor=/101.102.103.104/pipeline/
[Service]
Type=simple
User=IRUser
ExecStart=/opt/pixar/Tractor-2.1/bin/tractor-blade --debug --log /101.102.103.104/pipeline/logs/tractor/tractor-blade-%H.log --engine=111.222.333.444 --supersede --pidfile=/var/run/tractor-blade.pid
[Install]
WantedBy=multi-user.target
Responder1
Você poderia executar esse processo como não confinado, para que ele tivesse os mesmos direitos como se o SELinux estivesse desabilitado.
# This will setup the executable to be unconfined. Temporarily
chcon -t unconfined_exec_t /opt/pixar/Tractor-2.1/bin/tractor-blade
# This command will make that permanent
semanage fcontext -a -t unconfined_exec_t /opt/pixar/Tractor-2.1/bin/tractor-blade
Você pode ler mais sobre processos não confinados na documentação da Red Hat:https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Security-Enhanced_Linux/sect-Security-Enhanced_Linux-Targeted_Policy-Unconfined_Processes.html
Responder2
Tente usar o comando semanage fcontext
semanage fcontext -a -t <YourLabel> -f f <YourPath>Deveria trabalhar.
-a = adiciona um registro para o tipo de objeto fcontext
-t = tipo SELinux para o objeto
-f = tipo de arquivo
Responder3
Segurança-Enhanced_Linux-Systemd_Access_Control (https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/7/html/SELinux_Users_and_Administrators_Guide/chap-Security-Enhanced_Linux-Systemd_Access_Control.html)
Além disso, você pode atualizar o status do selinux como permissivo
setenforce 0
getenforceousestatus