unconfined_u コンテキストで systemd サービスを開始できませんか?

Question

当然、SELinuxは、サービスが認証されたシステムサービスであることを示すコンテキストのないディレクトリでサービスが実行されるのを防ぎます。

実行可能ファイルがあるディレクトリには、次のようなコンテキストが必要になる可能性があります。

system_u:object_r:bin_t

おそらくこれで十分でしょう：

# chcon -u system_u -r object_r -t bin_t /kite_agent

/var/log/audit/audit.logしかし、関連するニュースを投稿することをお勧めします。おそらくそれらを得ることは次のように簡単です。

# grep kite /var/log.audit/audit.log

-または-

# ausearch -m avc | grep kite

これらのコマンドが機能しない場合は、監査サービスの構成および/または状況を調べてください。

# systemctl status auditd
# cat /etc/audit/auditd.conf

auditdサービスの実行が停止した場合は、問題を解決してください。次のように簡単にできます。

# systemctl start auditd

監査ログの関連するAVCメッセージを使用して、audit2allowSELinux独自の観点から問題を解決する方法に関する提案を得ることができますが、時には他の提案があるかもしれません。

https://opensource.com/article/18/7/sysadmin-guide-selinuxSELinuxの使用に関するさまざまな簡潔なヒントを提供します。そのページから、以下はラベルの問題を解決するのに役立ちます（この質問に対する実際の答えを予測するためにいくつかの詳細が変更されましたが）。このスニペットはコンテキストの他の部分を無視するので、man semanage-fcontext役に立ちます。 :

Labeling problem: If your files in /kite_agent are not labeled correctly, access might be denied. Here are some ways to fix this:
    If you know the label:
    # semanage fcontext -a -t bin_t '/kite_agent(/.*)?'
    If you know the file with the equivalent labeling:
    # semanage fcontext -a -e /kite_agent /path/to/dir
    Restore the context (for both cases):
    # restorecon -vR /kite_agent

他のサービスが含まれている場合は/usr/sbinこれが適切かもしれませんが、次の点を確認してください。

# semanage fcontext -a -e /kite_agent /usr/sbin
# restorecon -vR /kite_agent

このページではトラブルシューティングのヒントも提供します。もちろん、特にRedHatまたはCentOSサイトにはより詳細な文書があります。

質問にAVCの詳細を追加すると、より具体的な助けになることがあります。

Answer 1