Red Hat Training
A Red Hat training course is available for Red Hat Directory Server
9.10. SELinux ポリシーの使用
SELinux は、承認されていないアクセスと改ざんを制限するためにシステム全体で実施される、必須のアクセス制御ルールのコレクションです。SELinux は、サーバー上のファイル、ディレクトリー、ポート、プロセス、ユーザー、その他のオブジェクトを分類します。各オブジェクトは適切なセキュリティーコンテキストに配置され、オブジェクトがロール、ユーザー、セキュリティーレベルを使用してサーバー上で動作できるかを定義します。オブジェクトのこれらのロールはドメインにグループ化され、SELinux ルールはあるドメインのオブジェクトが別のドメインのオブジェクトと対話する方法を定義します。
Directory Server には以下のドメインがあります。
- Directory Server 向けの dirsrv_t
- dirsrv_snmp_t for the SNMP
Directory Server は、LDAP ポートに追加のデフォルトドメインも使用します： ldap_port_t
図9.4 Directory Server のファイルラベリングの編集
これらのドメインは、Directory Server のすべてのプロセス、ファイル、ディレクトリー、ポート、ソケット、およびユーザーに対するセキュリティーコンテキストを提供します。
- 各インスタンスのファイルおよびディレクトリーには、特定の SELinux コンテキストでラベルが付けられます。（Directory Server が使用するメインディレクトリーのほとんどは、すべてのローカルインスタンスのサブディレクトリーがあり、数だけあるため、1 つのポリシーが新しいインスタンスに簡単に適用されます。）
- 各インスタンスのポートには、特定の SELinux コンテキストがラベル付けされます。
- すべての Directory Server のプロセスは、適切なドメイン内で制約されます。
- 各ドメインには、ドメインに対して承認されるアクションを定義する特定のルールがあります。
- SELinux ポリシーで指定されていないアクセスはインスタンスに対して拒否されます。
SELinux には、さまざまなレベルの強制レベルがあります： disabled（SELinux なし）、Permissive（ルールが強制されない場所）、および Enforcing（すべてのルールが厳密に強制される）の 3 つのレベルがあります。Red Hat Directory Server では、SELinux ポリシーが定義されており、注意して SELinux の強制モードが厳格な SELinux Enforcing モードで実行できるようになります。Directory Server は、通常の操作用と、インポートなどのデータベース操作用（ldif2db モード）の異なるモードで実行できます。Directory Server の SELinux ポリシーは通常モードにのみ適用されます。
デフォルトでは、Directory Server は SELinux ポリシーによって制限されます。
