Настройка SELINUX для разрешения входа в файл, который находится вне /var /log

Question

У меня есть демон, который использует syslog(3) для входа в файл, который не является потомком /var /log. В настоящее время для этого необходимо отключить SELINUX. Как я могу настроить включенный SELINUX для разрешения этой регистрации?

Я новичок в SELINUX. Любые рекомендации или советы будут оценены.

Answer 1

Вы должны изменить контекст вашего каталога журналов. Например, вы хотите войти в /mnt /extranal /log вместо /var /log.

Поэтому вы должны установить тип SELinux для /mnt /external /log как var_log_t, так как /var /log уже имеет.

Проверьте

ls -Z /var

с результатом

drwxr-xr-x. root root system_u:object_r:var_log_t:s0   log

подготовьте свой каталог журналов

mkdir /mnt/external/log

подготовить правила для маркировки FS от SELinux

semanage fcontext -a -t var_log_t /mnt/external/log

вызвать перемаркировку вашего каталога

restorecon -v /mnt/external/log

если вы сделали, проверьте

ls -Z /mnt/external

с результатом

drwxr-xr-x. root root system_u:object_r:var_log_t:s0   log

Это все, если вы не используете политику MLS/MCS.

Смотрите более подробную информацию о

https://docs.fedoraproject.org/en-US/Fedora/12/html/Security-Enhanced_Linux/sect-Security-Enhanced_Linux-Working_with_SELinux-SELinux_Contexts_Labeling_Files.html

https://docs.fedoraproject.org/en-US/Fedora/11/html/Security-Enhanced_Linux/sect-Security-Enhanced_Linux-SELinux_Contexts_Labeling_Files-Persistent_Changes_semanage_fcontext.html