Red Hat Training

A Red Hat training course is available for Red Hat Enterprise Linux

32.2. SELinux ユーザーマップの順序とデフォルトの設定

SELinux ユーザーマップは、クライアント上の SELinux ユーザーと IdM ユーザーの関連付けです。
利用可能な SELinux ユーザーマップの順序は、IdM サーバー設定の一部です。SELinux ユーザーマップの順序は、最も制限のある SELinux ユーザーの一覧です。SELinux ユーザーエントリには、以下の形式が使われます。 
SELinux_user:MLS[:MCS]
個々のユーザーエントリーは、ドル記号($)で区切ります。
SELinux マップを持つユーザーエントリーはないため、多くのエントリーをマッピングできない場合があります。IdM サーバー設定は、SELinux マップ一覧すべてのユーザーの 1 つで、マッピングされていない IdM ユーザーエントリーに使用するデフォルトの SELinux ユーザーを設定します。これにより、マッピングされていない IdM ユーザーでも、SELinux コンテキストが機能します。マッピングされていない IdM ユーザーエントリーのデフォルト SELinux ユーザーは unconfined_u で、Red Hat Enterprise Linux のシステムユーザーのデフォルトの SELinux ユーザーです。
この設定は、利用可能なシステム SELinux ユーザーのマップ順序を定義します。これは、IdM ユーザーの SELinux ポリシーを定義しません。IdM ユーザー - SELinux ユーザーマップを定義し、ユーザーはマップに追加されている必要があります。詳細はを参照してください 「SELinux ユーザーおよび IdM ユーザーのマッピング」。

32.2.1. Web UI での設定

  1. トップメニューで IPA Server メインタブをクリックし、Configuration サブタブをクリックします。
  2. SELINUX OPTIONS まで、サーバー設定エリア一覧でスクロールダウンします。
  3. SELinux ユーザー設定、SELinux ユーザーマップの順序 、デフォルトの SELinux ユーザー、またはその両方を編集します。
  4. 変更を保存するには、ページの上部にある Update リンクをクリックします。

32.2.2. コマンドラインでの設定

SELinux ユーザーの一覧を表示するには、マッピングできる IdM サーバー設定に設定します。 
[user1]@server ~]$ ipa config-show
...
SELinux user map order: guest_u:s0$xguest_u:s0$user_u:s0$staff_u:s0-s0:c0.c1023$unconfined_u:s0-s0:c0.c1023
Default SELinux user: unconfined_u:s0-s0:c0.c1023
SELinux ユーザー設定を編集するには、config-mod コマンドを使用します。

例32.1 SELinux ユーザーの一覧

マッピングに使用できる SELinux ユーザーの一覧を編集するには、--ipaselinuxusermaporder オプションを使用します。この一覧では、SELinux ユーザーを最も制限のあるものから順に順序付けます。以下に例を示します。 
[user1@server ~]$ ipa config-mod --ipaselinuxusermaporder="unconfined_u:s0-s0:c0.c1023$guest_u:s0$xguest_u:s0$user_u:s0-s0:c0.c1023$staff_u:s0-s0:c0.c1023"
注記
マッピングされていないエントリーに使用されるデフォルトの SELinux ユーザーは、ユーザーマップ一覧に含めないと、編集操作は失敗します。同様に、デフォルトを編集する際は、SELinux マップ一覧にあるユーザーに変更する必要があり、そうでない場合はマップ一覧を先に更新する必要があります。

例32.2 デフォルトの SELinux ユーザー

IdM ユーザーは特定の SELinux ユーザーをアカウントにマッピングさせる必要はありません。ただし、ローカルシステムは、IdM ユーザーアカウントに使用する SELinux ユーザーの IdM エントリーを確認します。
デフォルトの SELinux ユーザーを変更するには、--ipaselinuxusermapdefault オプションを使用します。以下に例を示します。 
[user1@server ~]$ ipa config-mod --ipaselinuxusermapdefault="guest_u:s0"
このページには機械翻訳が使用されている場合があります (詳細はこちら)。