Red Hat Training

A Red Hat training course is available for Red Hat Enterprise Linux

32.2. SELinux 사용자 맵 순서 및 기본값 구성

SELinux 사용자 맵은 클라이언트의 SELinux 사용자와 IdM 사용자를 연결하는 것입니다.
사용 가능한 SELinux 사용자 맵 순서는 IdM 서버 구성의 일부입니다. SELinux 사용자 맵 순서는 가장 제한된 순서로 SELinux 사용자 목록입니다. SELinux 사용자 항목 자체에는 다음 형식이 있습니다. 
SELinux_user:MLS[:MCS]
개별 사용자 항목은 달러 기호($)로 구분됩니다.
사용자 항목에 SELinux 맵이 있어야 하는 요구 사항이 없으므로 많은 항목이 매핑되지 않을 수 있습니다. IdM 서버 구성은 매핑되지 않은 IdM 사용자 항목에 사용할 전체 SELinux 맵 목록의 사용자 중 하나인 기본 SELinux 사용자를 설정합니다. 이렇게 하면 매핑되지 않은 IdM 사용자에게도 기능이 있는 SELinux 컨텍스트가 있습니다. 매핑되지 않은 IdM 사용자 항목의 기본 SELinux 사용자는 Red Hat Enterprise Linux의 시스템 사용자의 기본 SELinux 사용자인 unconfined_u 입니다.
이 구성은 사용 가능한 시스템 SELinux 사용자의 맵 순서를 정의합니다. IdM 사용자 SELinux 정책을 정의하지 않습니다. IdM 사용자 - SELinux 사용자 맵을 정의한 다음 사용자를 맵에 추가해야 합니다. 자세한 내용은 32.3절. “SELinux 사용자 및 IdM 사용자 매핑” 의 내용을 참조하십시오.

32.2.1. 웹 UI에서

  1. 상단 메뉴에서 IPA 서버 메인 탭과 Configuration (구성)을 클릭합니다.
  2. 서버 구성 영역 목록의 맨 아래로 스크롤하여 SELINUX OPTIONS 로 스크롤합니다.
  3. SELinux 사용자 구성, SELinux 사용자 맵 순서, 기본 SELinux 사용자 또는 둘 다를 편집합니다.
  4. 페이지 상단에 있는 업데이트 링크를 클릭하여 변경 사항을 저장합니다.

32.2.2. CLI에서

SELinux 사용자 목록을 보려면 매핑할 수 있는 IdM 서버 구성으로 설정합니다. 
[user1]@server ~]$ ipa config-show
...
SELinux user map order: guest_u:s0$xguest_u:s0$user_u:s0$staff_u:s0-s0:c0.c1023$unconfined_u:s0-s0:c0.c1023
Default SELinux user: unconfined_u:s0-s0:c0.c1023
SELinux 사용자 설정을 편집하려면 config-mod 명령을 사용합니다.

예 32.1. SELinux 사용자 목록

매핑에 사용할 수 있는 SELinux 사용자 목록을 편집하려면 --ipaselinuxusermaporder 옵션을 사용합니다. 목록은 SELinux 사용자를 가장 적게 제한된 상태로 주문합니다. 예를 들면 다음과 같습니다. 
[user1@server ~]$ ipa config-mod --ipaselinuxusermaporder="unconfined_u:s0-s0:c0.c1023$guest_u:s0$xguest_u:s0$user_u:s0-s0:c0.c1023$staff_u:s0-s0:c0.c1023"
참고
매핑되지 않은 항목에 사용되는 기본 SELinux 사용자는 사용자 맵 목록에 포함되어 있거나 편집 작업이 실패해야 합니다. 마찬가지로, 기본값을 편집한 경우 SELinux 맵 목록의 사용자로 변경하거나 맵 목록을 먼저 업데이트해야 합니다.

예 32.2. 기본 SELinux 사용자

IdM 사용자는 계정에 매핑된 특정 SELinux 사용자가 필요하지 않습니다. 그러나 로컬 시스템은 여전히 IdM 사용자 계정에 사용할 SELinux 사용자의 IdM 항목을 확인합니다.
기본 SELinux 사용자를 수정하려면 --ipaselinuxusermapdefault 옵션을 사용합니다. 예를 들어 다음과 같습니다. 
[user1@server ~]$ ipa config-mod --ipaselinuxusermapdefault="guest_u:s0"