☰

Чего не хватает в моей установке SELinux?

tag-icon • tag-icon debian selinux
Чего не хватает в моей установке SELinux?

В соответствии сВведение в SELinux, раздел 14.4.2,

Поддержка SELinux встроена в стандартные ядра, предоставляемые Debian. Основные инструменты Unix поддерживают SELinux без каких-либо модификаций.

Я установил selinux-basicsи selinux-policy-defaultпакеты на свойDebian Хриплый(стабильный) системы, и я видел, что она загружает некоторые политики во время установки, поэтому я почти уверен, что сама установка прошла успешно.

Я отредактировал /etc/default/grub следующим образом:

GRUB_CMDLINE_LINUX="selinux=1 audit=1 enforcing=0"

(раньше эта переменная была пустой) и запустил update-grub. /boot/grub/grub.cfg включает в себя параметры ядра, связанные с SELinux.

Я создал файл /.autorelabelна основе ветки «enable» скрипта /usr/sbin/selinux-activate.

Я перезагрузил систему после внесения вышеуказанных изменений. Ничего необычного во время этой перезагрузки не произошло.

dmesg | headрезультаты, среди прочего:

Command line: BOOT_IMAGE=/boot/vmlinuz-3.2.0-4-amd64 root=UUID=c050d662-f94a-447a-9342-0fc69f65a513 ro selinux=1 audit=1 enforcing=0 quiet pci=nomsi

Насколько я могу судить, все на месте. Но, тем не менее,похоже, это не работает. id -Zвозвращает:

$ id -Z
id: --context (-Z) works only on an SELinux-enabled kernel
$

сестатусдает:

# sestatus
SELinux status:                 disabled
#

проверка-selinux-установкидает:

# check-selinux-installation
getfilecon:  getfilecon(/proc/1) failed
SELinux is not enabled.
Could not read the domain of PID 1.
/etc/pam.d/login is not SELinux enabled
Postfix init script is syncing the chroots.
Postfix has chrooted service in master.cf
FSCKFIX is not enabled - not serious, but could prevent system from booting...
#

Чего не хватает для включения SELinux в моей системе?

решение1

Как указано в комментариях, вам security=selinuxтакже необходимо передать параметр ядру. В системах Debian это должно быть автоматически добавлено в конфигурацию grub с помощью selinux-activate.

Ядродокументацияобъясняет securityпараметр:

[БЕЗОПАСНОСТЬ] Выберите модуль безопасности для включения при загрузке. Если этот параметр загрузки не указан, будет загружен только первый модуль безопасности, запрашивающий регистрацию безопасности. Недопустимое имя модуля безопасности будет рассматриваться так, как будто модуль не был выбран.

В Debian это актуально, поскольку Debian также поддерживает модуль безопасности AppArmor.

Связанный контент