YANO's digital garage

Last-modified: 2024-04-17 (水)

[一語一絵/IT系]

続：Fedora Core 2 〜ポリシーの追加 / 2004-10-20 (水)

7月に躓いた「sudo: unable to exec /usr/sbin/sesh: Permission denied」への反撃で、ポリシーの追加を行う。言うまでもなくここがSELinuxの根幹であり、正念場だ。

ひとまず

[root@fedora yano]# setenforce 0

でenforcingモードをpermissiveモードに切り替えて、ポリシーのソース・ファイルをインストール。http://download.fedora.redhat.com/pub/fedora/linux/core/2/i386/os/Fedora/RPMS/から、checkpolicy-1.10-1.i386.rpm と policy-sources-1.11.3-3.noarch.rpm をダウンロードし、

[root@fedora yano]# rpm -ivh checkpolicy* policy-sources*

を叩く。もしmake reloadのとこで

Can't open '/etc/security/selinux/policy.18': そのようなファイルやディレクトリはありません

というエラーが出る場合は、下記教えに従って /etc/security/selinux/src/policy/Makefile を修正。

/etc/security/selinux/src/policy/Makefile を次のようにすれば回避できます。
$(LOADPOLICY) $(INSTALLDIR)/policy.`cat /selinux/policyvers`
という行を
$(LOADPOLICY) $(INSTALLDIR)/policy.17
とします。
http://www.selinux.gr.jp/documents/FC2-SELinuxmemo.html より引用

ここからが設定のメイン。"audit2allow -d -l"の出力から必要そうな行をコピーして、policy/domains に拡張子"te"のテキストファイルを作成し、make reloadが完了すれば終りだ。

[root@fedora yano]# audit2allow -d -l
:
allow user_sudo_t shell_exec_t:file { execute_no_trans };
allow user_sudo_t ls_exec_t:file { execute execute_no_trans read };
allow user_sudo_t var_log_t:dir { getattr search };
allow user_sudo_t var_log_t:file { append getattr lock read };
:
[root@fedora yano]# cd /etc/security/selinux/src/policy/domains
[root@fedora domains]# cat > sudo.te
allow user_sudo_t shell_exec_t:file { execute_no_trans };
allow user_sudo_t ls_exec_t:file { execute execute_no_trans read };
allow user_sudo_t var_log_t:dir { getattr search };
allow user_sudo_t var_log_t:file { append getattr lock read };
[root@fedora domains]# cd ..
[root@fedora policy]# setenforce 1
[root@fedora policy]# make reload