手順3.1 SELinux ステータスの確認方法

1. SELinux が有効で enforcing モードで稼働しており、ターゲットポリシーが使用されていることを確認します。正常な出力は、以下のようになります。

   ~]$ sestatus
   SELinux status:                 enabled
   SELinuxfs mount:                /sys/fs/selinux
   Current mode:                   enforcing
   Mode from config file:          enforcing
   Policy version:                 24
   Policy from config file:        targeted

   SELinux モードの変更についての詳細は、「SELinux の状態とモードの永続的変更」を参照してください。
2. root で /var/www/html/ ディレクトリーにファイルを作成します。

   ~]# touch /var/www/html/testfile

3. 作成されたファイルの SELinux コンテンツを表示するには、以下のコマンドを実行します。

   ~]$ ls -Z /var/www/html/testfile       
   -rw-r--r--  root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/testfile

   Red Hat Enterprise Linux ではデフォルトで、Linux ユーザーには制限がありません。そのため、testfile ファイルに SELinux unconfined_u ユーザーのラベルが付けられてます。RBAC はファイルでなくプロセスに使用されます。ロールはファイルにとって意味がありません。object_r ロールは、ファイルに使われる一般的なロールです (永続的なストレージおよびネットワークファイルシステム)。/proc ディレクトリー下では、プロセスに関連するファイルは system_r ロールを使用することができます。httpd_sys_content_t タイプは、httpd プロセスがこのファイルにアクセスすることを許可します。

手順3.2 制限のあるプロセスの例

1. root で httpd デーモンを起動します。

   ~]# systemctl start httpd.service

   サービスが稼働していることを確認します。出力は以下のようになり、タイムスタンプのみが異なります。

   ~]$ systemctl status httpd.service
   httpd.service - The Apache HTTP Server
   	  Loaded: loaded (/usr/lib/systemd/system/httpd.service; disabled)
   	  Active: active (running) since Mon 2013-08-05 14:00:55 CEST; 8s ago

2. Linux ユーザーでの書き込みアクセスがあるディレクトリーに切り替え、以下のコマンドを実行します。デフォルト設定に変更がなければ、このコマンドは成功します。

   ~]$ wget http://localhost/testfile
   --2009-11-06 17:43:01--  http://localhost/testfile
   Resolving localhost... 127.0.0.1
   Connecting to localhost|127.0.0.1|:80... connected.
   HTTP request sent, awaiting response... 200 OK
   Length: 0 [text/plain]
   Saving to: `testfile'
   
   [ <=>                              ] 0     --.-K/s   in 0s
   		
   2009-11-06 17:43:01 (0.00 B/s) - `testfile' saved [0/0]

3. chcon コマンドでファイルのラベルを付け換えます。ただし、ファイルシステムのラベルが付け換えられると、この変更は失われます。ファイルシステムのラベルが付け換えられた場合でも、こうした変更を永続的に維持するには、semanage ユーティリティーを使用します。このコマンドについては後で説明します。root で以下のコマンドを実行し、タイプを Samba で使用されるタイプに変更します。

   ~]# chcon -t samba_share_t /var/www/html/testfile

   以下のコマンドを実行して、変更を表示します。

   ~]$ ls -Z /var/www/html/testfile
   -rw-r--r--  root root unconfined_u:object_r:samba_share_t:s0 /var/www/html/testfile

4. 現行の DAC パーミッションは、httpd プロセスが testfile にアクセスすることを許可することに留意してください。ユーザーとしての書き込みアクセスがあるディレクトリーに切り替え、以下のコマンドを実行します。デフォルト設定に変更がなければ、このコマンドは失敗します。

   ~]$ wget http://localhost/testfile
   --2009-11-06 14:11:23--  http://localhost/testfile
   Resolving localhost... 127.0.0.1
   Connecting to localhost|127.0.0.1|:80... connected.
   HTTP request sent, awaiting response... 403 Forbidden
   2009-11-06 14:11:23 ERROR 403: Forbidden.

5. root で testfile を削除します。

   ~]# rm -i /var/www/html/testfile

6. httpd の実行が必要がない場合は、root で以下のコマンドを実行して停止します。

   ~]# systemctl stop httpd.service