SELinuxservice - История изменений

Andy в 11:05, 22 января 2018

2018-01-22T11:05:26Z

Andy: /* Манипуляции с контекстом SELinux */

2018-01-22T07:24:15Z

‎Манипуляции с контекстом SELinux

Andy: /* Манипуляции с контекстом SELinux */

2018-01-22T07:23:36Z

‎Манипуляции с контекстом SELinux

Andy: /* Проверка */

2018-01-22T07:17:30Z

‎Проверка

Andy: /* Манипуляции с контекстом SELinux */

2018-01-22T07:16:29Z

‎Манипуляции с контекстом SELinux

Andy: /* Манипуляции с контекстом SELinux */

2018-01-22T07:16:00Z

‎Манипуляции с контекстом SELinux

Andy: /* Установка и настройка вебсервера */

2018-01-19T07:34:58Z

‎Установка и настройка вебсервера

Andy: /* Манипуляции с контекстом SELinux */

2018-01-19T06:27:16Z

‎Манипуляции с контекстом SELinux

Andy: /* Манипуляции с контекстом SELinux */

2018-01-19T06:26:43Z

‎Манипуляции с контекстом SELinux

Andy: /* Установка и настройка вебсервера */

2018-01-19T06:24:39Z

‎Установка и настройка вебсервера

← Предыдущая		Версия 11:05, 22 января 2018
Строка 296:		Строка 296:
	[root@vm-02 ~]#		[root@vm-02 ~]#
	</syntaxhighlight>		</syntaxhighlight>
		+
		+	== Ссылки ==
		+	[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/selinux_users_and_administrators_guide/index SELinux User's and Administrator's Guide]<br />

@@ Строка 279: / Строка 279: @@
 [root@vm-01 ~]#
 </syntaxhighlight>
-Теперь остался один нюанс, включение булевых настроек <code>SELinux</code>, регулирующих некоторые аспекты поведения демонов. Надо разрешить чтение домашних директорий вебсервером <code>Apache</code>, в контексте <code>SELinux</code>(работать не должно, но в реальности правило SELinux сломано, поэтому работать будет без выполнения действий, описанных ниже):
+Теперь остался один нюанс, включение булевых настроек <code>SELinux</code>, регулирующих некоторые аспекты поведения демонов. Надо разрешить чтение домашних директорий вебсервером <code>Apache</code>, в контексте <code>SELinux</code> (работать не должно, но в реальности правило SELinux сломано, поэтому работать будет без выполнения действий, описанных ниже):
 <syntaxhighlight lang="bash">
 [root@vm-01 ~]# getsebool -a | grep httpd_ | grep home

@@ Строка 279: / Строка 279: @@
 [root@vm-01 ~]#
 </syntaxhighlight>
-Теперь остался один нюанс, включение булевых настроек <code>SELinux</code>, регулирующих некоторые аспекты поведения демонов. Надо разрешить чтение домашних директорий вебсервером <code>Apache</code>, в контексте <code>SELinux</code>:
+Теперь остался один нюанс, включение булевых настроек <code>SELinux</code>, регулирующих некоторые аспекты поведения демонов. Надо разрешить чтение домашних директорий вебсервером <code>Apache</code>, в контексте <code>SELinux</code>(работать не должно, но в реальности правило SELinux сломано, поэтому работать будет без выполнения действий, описанных ниже):
 <syntaxhighlight lang="bash">
 [root@vm-01 ~]# getsebool -a | grep httpd_ | grep home

@@ Строка 292: / Строка 292: @@
 С виртуальной машины <code>vm-02</code> обратимся к странице при помощи утилиты <code>curl</code>:
 <syntaxhighlight lang="bash">
-[root@vm-02 ~]# curl 192.168.1.1
+[root@vm-02 ~]# curl "http://192.168.1.1/~andy/index.html"
-This is the test configuration file
+This is the test configuration file!
 [root@vm-02 ~]#
 </syntaxhighlight>

@@ Строка 279: / Строка 279: @@
 [root@vm-01 ~]#
 </syntaxhighlight>
-Теперь остался один нюанс, включение булевых настроек SELinux, регулирующих некоторые аспекты поведения демонов. Надо разрешить чтение домашних директорий вебсервером <code>Apache</code>, в контексте <code>SELinux</code>:
+Теперь остался один нюанс, включение булевых настроек <code>SELinux</code>, регулирующих некоторые аспекты поведения демонов. Надо разрешить чтение домашних директорий вебсервером <code>Apache</code>, в контексте <code>SELinux</code>:
 <syntaxhighlight lang="bash">
 [root@vm-01 ~]# getsebool -a | grep httpd_ | grep home

@@ Строка 210: / Строка 210: @@
      CustomLog "/var/log/httpd/test.example.com-access_log" common
      Options Indexes FollowSymLinks
-<Directory "/content">
+<Directory "/home/andy/content">
      Options Indexes FollowSymLinks
      AllowOverride None
@@ Строка 218: / Строка 218: @@
 </VirtualHost>
 </syntaxhighlight>
-Переключимся в пользователя <code>andy</code>и создадим директорию <code>/content</code> и в нем файл <code>index.html</code> следующего содержания:
+Переключимся в пользователя <code>andy</code>и создадим директорию <code>/home/andy/content</code> и в нем файл <code>index.html</code> следующего содержания:
 <syntaxhighlight lang="bash">
 [andy@vm-01 ~]$ mkdir /home/andy/content
-[andy@vm-01 ~]$ echo "This is the test configuration file" >> /home/andy/content/index.html
+[andy@vm-01 ~]$ echo "This is the test configuration file! New!" >> /home/andy/content/index.html
 [andy@vm-01 ~]$ cat /home/andy/content/index.html
 This is the test configuration file

@@ Строка 228: / Строка 228: @@
 ==== Манипуляции с контекстом SELinux ====
-Теперь, переключившись обратно, в пользователя <code>root</code>необходимо присвоить правильный контекст директории, дабы наша страница отображалась корректно. Следующая последовательность действий описана в
+Теперь, переключившись обратно в пользователя <code>root</code>, необходимо присвоить правильный контекст директории, дабы наша страница отображалась корректно. Следующая последовательность действий описана в <code>man 8 semanage-fcontext</code>. Поскольку наш контент не подразумевает каких-то выполняемых файлов, либо файлов изменяемых пользователем, то вводим следующие команды:
 <syntaxhighlight lang="bash">
 [root@vm-01 andy]# semanage fcontext -at httpd_sys_content_t "/home/andy/content(/.*)?"

@@ Строка 228: / Строка 228: @@
 ==== Манипуляции с контекстом SELinux ====
-Теперь, необходимо присвоить правильный контекст директории, дабы наша страница отображалась корректно. Следующая последовательность действий описана в
+Теперь, переключившись обратно, в пользователя <code>root</code>необходимо присвоить правильный контекст директории, дабы наша страница отображалась корректно. Следующая последовательность действий описана в
 <code>man 8 semanage-fcontext</code>. Поскольку наш контент не подразумевает каких-то выполняемых файлов, либо файлов изменяемых пользователем, то вводим следующие команды:
 <syntaxhighlight lang="bash">
-[root@vm-01 ~]# ls -lahiZ /content/
+[root@vm-01 andy]# semanage fcontext -at httpd_sys_content_t "/home/andy/content(/.*)?"
-drwxr-xr-x. root root unconfined_u:object_r:default_t:s0 .
+[root@vm-01 andy]# restorecon -vR /home/andy/content
-dr-xr-xr-x. root root system_u:object_r:root_t:s0      ..
+restorecon reset /home/andy/content context unconfined_u:object_r:user_home_t:s0->unconfined_u:object_r:httpd_sys_content_t:s0
--rw-r--r--. root root unconfined_u:object_r:default_t:s0 index.html
+[root@vm-01 andy]# ls -lahiZ /home/andy/
-[root@vm-01 ~]# semanage fcontext -a -t httpd_sys_content_t "/content(/.*)?"
+drwx------. andy andy unconfined_u:object_r:user_home_dir_t:s0 .
-[root@vm-01 ~]# restorecon -vR /content
+drwxr-xr-x. root root system_u:object_r:home_root_t:s0 ..
-restorecon reset /content context unconfined_u:object_r:default_t:s0->unconfined_u:object_r:httpd_sys_content_t:s0
+-rw-------. andy andy unconfined_u:object_r:user_home_t:s0 .bash_history
-restorecon reset /content/index.html context unconfined_u:object_r:default_t:s0->unconfined_u:object_r:httpd_sys_content_t:s0
+-rw-r--r--. andy andy unconfined_u:object_r:user_home_t:s0 .bash_logout
-[root@vm-01 ~]# ls -lahiZ /content/
+-rw-r--r--. andy andy unconfined_u:object_r:user_home_t:s0 .bash_profile
-drwxr-xr-x. root root unconfined_u:object_r:httpd_sys_content_t:s0 .
+-rw-r--r--. andy andy unconfined_u:object_r:user_home_t:s0 .bashrc
-dr-xr-xr-x. root root system_u:object_r:root_t:s0      ..
+drwxrwxr-x. andy andy unconfined_u:object_r:httpd_sys_content_t:s0 content
--rw-r--r--. root root unconfined_u:object_r:httpd_sys_content_t:s0 index.html
+[root@vm-01 andy]#
 </syntaxhighlight>
 Полный список типов конткекста, можно получить введя команду <code>semanage fcontext -l</code>:
@@ Строка 271: / Строка 270: @@
 [root@vm-01 ~]#
 </syntaxhighlight>
 ==== Проверка ====
 С виртуальной машины <code>vm-02</code> обратимся к странице при помощи утилиты <code>curl</code>: