sshd[4344]: 错误: ssh_selinux_setup_pty: security_compute_relabel: 参数无效？

Question 1

该/.autorelabel文件只是导致启动脚本restorecon -r -v /在启动时运行，然后再次重新启动。（实际上，它运行一些fixfiles打印大量点的调用，但由于这只是前端，restorecon我并不关心......）

你可以自己运行它而不需要重启，这通常是我的第一的尝试诊断奇怪的 SELinux 问题时，这是步骤之一。请记住，原因重启的原因是更改安全上下文会影响正在运行的服务，因此至少应该重新启动受影响的服务（即重新启动 sshd）。

如果这做解决问题，那么在输出的某个地方，你会看到一个改变的安全上下文，这是问题的原因和解决方案。最有可能的是不是在/home或/etc/selinux。

Answer

该/.autorelabel文件只是导致启动脚本restorecon -r -v /在启动时运行，然后再次重新启动。（实际上，它运行一些fixfiles打印大量点的调用，但由于这只是前端，restorecon我并不关心......）

你可以自己运行它而不需要重启，这通常是我的第一的尝试诊断奇怪的 SELinux 问题时，这是步骤之一。请记住，原因重启的原因是更改安全上下文会影响正在运行的服务，因此至少应该重新启动受影响的服务（即重新启动 sshd）。

如果这做解决问题，那么在输出的某个地方，你会看到一个改变的安全上下文，这是问题的原因和解决方案。最有可能的是不是在/home或/etc/selinux。

Question 2

起初我写了一个相对复杂的答案，它实际上只适用于 EL6，但后来我发现在你的情况下出现了一些非常奇怪的事情。

错误信息：

ssh_selinux_setup_pty: security_compute_relabel: Invalid argument

是很奇怪。我之所以这么说，是因为在 EL5 上，使用最新版本的 SSHD，该错误消息是不可能的。它不在源代码中。任何地方。我搜索了整个源代码树和“ssh_selinux_setup_pty”的 Redhat 补丁。它不在那里。

但它确实出现在 Fedora 18 上。

这让我认为你正在运行的 SSHD 版本不是它应该的版本，并且已被替换。可能是你自己替换的，也可能是别人替换的。

更新 1

不起作用的关键部分的 SSHD 执行类似这样的操作（使用 python）；我相信 sshd 中使用的 selinux 上下文正如您所提到的。

from selinux import *

sec_class = string_to_security_class("chr_file")

print security_compute_relabel("system_u:object_r:unconfined_t", \
             "system_u:object_r:initrc_devpts_t", sec_class)

这应该返回：

[ 0，一些上下文内容 ]

您需要使用与 sshd 相同的上下文来运行它。“initrc_devpts_t”绝对正确。另一个上下文是您提供的引用用户上下文。

sshd 中的代码当前得到 -1，从而产生该错误。如果 sshd 中生成的用户上下文（参数 1）不正确，就会发生这种情况。

如果你可以让这个 python 在元组的第一个元素中不产生 -1，那么我唯一能建议的就是修改 sshd 源，在该函数中添加一个额外的调试行来找出原因真的上下文原来是在 sshds 配置中打开 debug3 日志记录。

在 openbsd-compat/port-linux.c: ssh_selinux_setup_pty

    if (getfilecon(tty, &old_tty_ctx) == -1) {
            error("%s: getfilecon: %s", __func__, strerror(errno));
            goto out;
    }

    +debug3("%s: User context is %s, target tty is %s", __func__, user_ctx, old_tty_ctx);

    if (security_compute_relabel(user_ctx, old_tty_ctx,
        SECCLASS_CHR_FILE, &new_tty_ctx) != 0) {
            error("%s: security_compute_relabel: %s",
                __func__, strerror(errno));
            goto out;
    }

Answer

起初我写了一个相对复杂的答案，它实际上只适用于 EL6，但后来我发现在你的情况下出现了一些非常奇怪的事情。

错误信息：

ssh_selinux_setup_pty: security_compute_relabel: Invalid argument

是很奇怪。我之所以这么说，是因为在 EL5 上，使用最新版本的 SSHD，该错误消息是不可能的。它不在源代码中。任何地方。我搜索了整个源代码树和“ssh_selinux_setup_pty”的 Redhat 补丁。它不在那里。

但它确实出现在 Fedora 18 上。

这让我认为你正在运行的 SSHD 版本不是它应该的版本，并且已被替换。可能是你自己替换的，也可能是别人替换的。

更新 1

不起作用的关键部分的 SSHD 执行类似这样的操作（使用 python）；我相信 sshd 中使用的 selinux 上下文正如您所提到的。

from selinux import *

sec_class = string_to_security_class("chr_file")

print security_compute_relabel("system_u:object_r:unconfined_t", \
             "system_u:object_r:initrc_devpts_t", sec_class)

这应该返回：

[ 0，一些上下文内容 ]

您需要使用与 sshd 相同的上下文来运行它。“initrc_devpts_t”绝对正确。另一个上下文是您提供的引用用户上下文。

sshd 中的代码当前得到 -1，从而产生该错误。如果 sshd 中生成的用户上下文（参数 1）不正确，就会发生这种情况。

如果你可以让这个 python 在元组的第一个元素中不产生 -1，那么我唯一能建议的就是修改 sshd 源，在该函数中添加一个额外的调试行来找出原因真的上下文原来是在 sshds 配置中打开 debug3 日志记录。

在 openbsd-compat/port-linux.c: ssh_selinux_setup_pty

    if (getfilecon(tty, &old_tty_ctx) == -1) {
            error("%s: getfilecon: %s", __func__, strerror(errno));
            goto out;
    }

    +debug3("%s: User context is %s, target tty is %s", __func__, user_ctx, old_tty_ctx);

    if (security_compute_relabel(user_ctx, old_tty_ctx,
        SECCLASS_CHR_FILE, &new_tty_ctx) != 0) {
            error("%s: security_compute_relabel: %s",
                __func__, strerror(errno));
            goto out;
    }

Question 3

在目标策略中运行的 centos 7.2 中也遇到了同样的问题

Nov 14 17:34:41 server sshd[13863]: error: PAM: pam_open_session(): Cannot make/remove an entry for the specified session
Nov 14 17:34:42 server sshd[13863]: error: ssh_selinux_setup_pty: security_compute_relabel: Invalid argument
Nov 14 17:34:43 server sshd[13868]: Received disconnect from x.x.x.x: 11: disconnected by user

但参考自： http://www.unix.com/man-page/centos/8/sysadm_selinux/

semanage user -m -R 'staff_r sysadm_r system_r unconfined_r' sysadm_u

应该这样做。希望有帮助

Answer

在目标策略中运行的 centos 7.2 中也遇到了同样的问题

Nov 14 17:34:41 server sshd[13863]: error: PAM: pam_open_session(): Cannot make/remove an entry for the specified session
Nov 14 17:34:42 server sshd[13863]: error: ssh_selinux_setup_pty: security_compute_relabel: Invalid argument
Nov 14 17:34:43 server sshd[13868]: Received disconnect from x.x.x.x: 11: disconnected by user

但参考自： http://www.unix.com/man-page/centos/8/sysadm_selinux/

semanage user -m -R 'staff_r sysadm_r system_r unconfined_r' sysadm_u

应该这样做。希望有帮助

Question 4

请尝试以下操作：

# setsebool ssh_sysadm_login on

# setsebool -P ssh_sysadm_login on

谢谢https://access.redhat.com/solutions/4359441

Answer

请尝试以下操作：

# setsebool ssh_sysadm_login on

# setsebool -P ssh_sysadm_login on

谢谢https://access.redhat.com/solutions/4359441

sshd[4344]: 错误: ssh_selinux_setup_pty: security_compute_relabel: 参数无效？

答案1

答案2

更新 1

答案3

答案4

相关内容