Задачи

После завершения этого раздела вы сможете:

Переключатели SELinux

Переключатели SELinux — это параметры, которые могут менять поведение политики SELinux. Переключатели SELinux представляют собой правила, которые можно включать и выключать. Администраторы службы безопасности могут использовать их для корректировки политик.

На man-страницах SELinux, поставляемых в пакете selinux-policy-doc, описывается назначение доступных переключателей. Посмотреть список этих man-страниц можно с помощью команды man -k '_selinux'.

Среди полезных команд для управления переключателями SELinux можно отметить getsebool, которая отображает список переключателей и их состояние, и setsebool, которая изменяет переключатели. Команда setsebool -P изменяет политику SELinux, чтобы изменения сохранялись на постоянной основе. Команда semanage boolean -l показывает, является ли текущее значение переключателя постоянным, а также его краткое описание.

Непривилегированные пользователи могут выполнить команду getsebool, но выполнять команды semanage boolean -l и setsebool -P может только привилегированный пользователь.

[user@host ~]$ getsebool -a
abrt_anon_write --> off
abrt_handle_event --> off
abrt_upload_watch_anon_write --> on
antivirus_can_scan_system --> off
antivirus_use_jit --> off
...output omitted...
[user@host ~]$ getsebool httpd_enable_homedirs
httpd_enable_homedirs --> off

[user@host ~]$ setsebool httpd_enable_homedirs on
Could not change active booleans. Please try as root: Permission denied
[user@host ~]$ sudo setsebool httpd_enable_homedirs on
[user@host ~]$ sudo semanage boolean -l | grep httpd_enable_homedirs
httpd_enable_homedirs          (on   ,  off)  Allow httpd to enable homedirs
[user@host ~]$ getsebool httpd_enable_homedirs
httpd_enable_homedirs --> on

Опция -P записывает все ожидающие значения в политику, сохраняя их после перезагрузки системы. В следующем примере обратите внимание на значения в скобках: теперь оба значения ― on.

[user@host ~]$ setsebool -P httpd_enable_homedirs on
[user@host ~]$ sudo semanage boolean -l | grep httpd_enable_homedirs
httpd_enable_homedirs          (on   ,   on)  Allow httpd to enable homedirs 

Для отображения списка переключателей, текущее состояние которых отличается от состояния по умолчанию, используйте команду semanage boolean -l -C.

[user@host ~]$ sudo semanage boolean -l -C
SELinux boolean                State  Default Description

cron_can_relabel               (off   ,   on)  Allow cron to can relabel