Red Hat Training

A Red Hat training course is available for RHEL 8

9.13. ファイアウォールロックダウンの設定

ローカルのアプリケーションやサービスは、root で実行していれば、ファイアウォール設定を変更できます (たとえば libvirt)。管理者は、この機能を使用してファイアウォール設定をロックし、すべてのアプリケーションでファイアウォール変更を要求できなくするか、ロックダウンの許可リストに追加されたアプリケーションのみがファイアウォール変更を要求できるようにすることが可能になります。ロックダウン設定はデフォルトで無効になっています。これを有効にすると、ローカルのアプリケーションやサービスによるファイアウォールへの望ましくない設定変更を確実に防ぐことができます。

9.13.1. CLI を使用したロックダウンの設定

コマンドラインでロックダウン機能を有効または無効にすることができます。

手順

  1. ロックダウンが有効になっているかどうかを確認するには、root で次のコマンドを使用します。 

    # firewall-cmd --query-lockdown

    ロックダウンが有効な場合は、yes と出力され、終了ステータスは 0 になります。無効の場合は no と出力され、終了ステータスは 1 になります。

  2. ロックダウンを有効にするには、root で次のコマンドを実行します。 

    # firewall-cmd --lockdown-on

  3. ロックダウンを無効にするには、root で次のコマンドを実行します。 

    # firewall-cmd --lockdown-off

9.13.2. CLI を使用したロックダウン許可リストオプションの設定

ロックダウンの許可リストには、コマンド、セキュリティーのコンテキスト、ユーザー、およびユーザー ID を追加できます。許可リストのコマンドエントリーがアスタリスク*で終了している場合は、そのコマンドで始まるすべてのコマンドラインが一致することになります。*がなければ、コマンドと引数が完全に一致する必要があります。

  • ここでのコンテキストは、実行中のアプリケーションやサービスのセキュリティー (SELinux) コンテキストです。実行中のアプリケーションのコンテキストを確認するには、次のコマンドを実行します。 

    $ ps -e --context

    このコマンドは、実行中のアプリケーションをすべて返します。grep ツールを使用して、出力から目的のアプリケーションをパイプ処理します。以下に例を示します。 

    $ ps -e --context | grep example_program

  • 許可リストにあるコマンドラインの一覧を表示するには、root で次のコマンドを実行します。 

    # firewall-cmd --list-lockdown-whitelist-commands

  • 許可リストに command コマンドを追加するには、root で次のコマンドを実行します。 

    # firewall-cmd --add-lockdown-whitelist-command='/usr/bin/python3 -Es /usr/bin/command'

  • 許可リストから command コマンドを削除するには、root で次のコマンドを実行します。 

    # firewall-cmd --remove-lockdown-whitelist-command='/usr/bin/python3 -Es /usr/bin/command'

  • command コマンドが許可リストに含まれるかどうかを確認するには、root で次のコマンドを実行します。 

    # firewall-cmd --query-lockdown-whitelist-command='/usr/bin/python3 -Es /usr/bin/command'

    このコマンドでは、含まれる場合は yes が出力され、終了ステータスは 0 になります。無効の場合は no と出力され、終了ステータスは 1 になります。

  • 許可リストにあるセキュリティーコンテキストの一覧を表示するには、root で次のコマンドを実行します。 

    # firewall-cmd --list-lockdown-whitelist-contexts

  • 許可リストに context コンテキストを追加するには、root で次のコマンドを実行します。 

    # firewall-cmd --add-lockdown-whitelist-context=context

  • 許可リストから context コンテキストを削除するには、root で次のコマンドを実行します。 

    # firewall-cmd --remove-lockdown-whitelist-context=context

  • context コンテキストが許可リストに含まれるかどうかを確認するには、root で次のコマンドを実行します。 

    # firewall-cmd --query-lockdown-whitelist-context=context

    含まれる場合は、yes と出力され、終了ステータスは 0 になります。含まれない場合は、no が出力され、終了ステータスは 1 になります。

  • 許可リストにあるユーザー ID すべての一覧を表示するには、root で次のコマンドを実行します。 

    # firewall-cmd --list-lockdown-whitelist-uids

  • 許可リストにユーザー ID (uid) を追加するには、root で次のコマンドを実行します。 

    # firewall-cmd --add-lockdown-whitelist-uid=uid

  • 許可リストからユーザー ID (uid) を削除するには、root で次のコマンドを実行します。 

    # firewall-cmd --remove-lockdown-whitelist-uid=uid

  • 許可リストにユーザー ID (uid) があるかどうかを確認するには、次のコマンドを実行します。 

    $ firewall-cmd --query-lockdown-whitelist-uid=uid

    含まれる場合は、yes と出力され、終了ステータスは 0 になります。含まれない場合は、no が出力され、終了ステータスは 1 になります。

  • 許可リストにある全ユーザー名の一覧を表示するには、root で次のコマンドを実行します。 

    # firewall-cmd --list-lockdown-whitelist-users

  • 許可リストにユーザー名 (user) を追加するには、root で次のコマンドを実行します。 

    # firewall-cmd --add-lockdown-whitelist-user=user

  • 許可リストからユーザー名 (user) を削除するには、root で次のコマンドを実行します。 

    # firewall-cmd --remove-lockdown-whitelist-user=user

  • ユーザー名 (user) が許可リストに含まれるかどうかを確認するには、次のコマンドを実行します。 

    $ firewall-cmd --query-lockdown-whitelist-user=user

    含まれる場合は、yes と出力され、終了ステータスは 0 になります。含まれない場合は、no が出力され、終了ステータスは 1 になります。

9.13.3. 設定ファイルを使用したロックダウンの許可リストオプションの設定

デフォルトの許可リスト設定ファイルには、NetworkManager コンテキストと、libvirt のデフォルトコンテキストが含まれます。リストには、ユーザー ID (0) もあります。

+ 許可リスト設定ファイルは /etc/firewalld/ ディレクトリーに保存されます。 

<?xml version="1.0" encoding="utf-8"?>
	<whitelist>
	  <selinux context="system_u:system_r:NetworkManager_t:s0"/>
	  <selinux context="system_u:system_r:virtd_t:s0-s0:c0.c1023"/>
	  <user id="0"/>
	</whitelist>

以下の許可リスト設定ファイルの例では、firewall-cmd ユーティリティーのコマンドと、ユーザー ID が 815 である user のコマンドをすべて有効にしています。 

<?xml version="1.0" encoding="utf-8"?>
	<whitelist>
	  <command name="/usr/libexec/platform-python -s /bin/firewall-cmd*"/>
	  <selinux context="system_u:system_r:NetworkManager_t:s0"/>
	  <user id="815"/>
	  <user name="user"/>
	</whitelist>

この例では、user id と user name の両方が使用されていますが、実際にはどちらか一方のオプションだけが必要です。Python はインタープリターとしてコマンドラインに追加されています。または、以下のような明確なコマンドも使用できます。 

# /usr/bin/python3 /bin/firewall-cmd --lockdown-on

この例では、--lockdown-on コマンドだけが許可されます。

Red Hat Enterprise Linux では、すべてのユーティリティーが /usr/bin/ ディレクトリーに格納されており、/bin/ ディレクトリーは /usr/bin/ ディレクトリーへのシンボリックリンクとなります。つまり、root で firewall-cmd のパスを実行すると /bin/firewall-cmd に対して解決しますが、/usr/bin/firewall-cmd が使用できるようになっています。新たなスクリプトは、すべて新しい格納場所を使用する必要があります。ただし、root で実行するスクリプトが /bin/firewall-cmd へのパスを使用するようになっているのであれば、これまでは root 以外のユーザーにのみ使用されていた /usr/bin/firewall-cmd パスに加え、このコマンドのパスも許可リストに追加する必要があります。

コマンドの名前属性の最後にある * は、その名前で始まるすべてのコマンドが一致することを意味します。* がなければ、コマンドと引数が完全に一致する必要があります。