Gitolite3 通过 http selinux 权限

Question

首先：恭喜你没有禁用 SELinux并尝试去理解它并正确地配置它。

过滤您在问题中发布的 AVC 拒绝信息可以更清楚地了解问题所在：

# cat avc_denials | audit2allow

#============= httpd_sys_script_t ==============
allow httpd_sys_script_t gitosis_var_lib_t:dir { read search open getattr };
allow httpd_sys_script_t gitosis_var_lib_t:file { read getattr open ioctl append };

然而，调试 AVC 拒绝的常用方法是使用以下ausearch(8)命令：

# ausearch -m avc -ts recent | audit2allow

查看手册页以获取有关可以使用的开关的更多信息。

有了这些信息，您现在知道发生了什么：标有的进程httpd_sys_script_t（可能是 CGI 代码gitolite3用来发布其存储库）被拒绝访问标有gitosis_var_lib_t(repos) 的文件和目录以执行不同的操作（read、search、open、...）。

现在您应该确定是否授予此访问权限。假设您想要授予访问权限。您需要创建一个自定义策略模块，描述定义要授予的访问权限的规则。这或多或少简单，取决于流程的复杂性：

# ausearch -m avc -ts 10:40:00 | audit2allow -m my_gitolite3 > my_gitolite3.te

这将产生type enforcement如下描述：

module my_gitolite3 1.0;

require {
        type httpd_sys_script_t;
        type gitosis_var_lib_t;
        class dir { read search open getattr };
        class file { read getattr open ioctl append };
}

#============= httpd_sys_script_t ==============
allow httpd_sys_script_t gitosis_var_lib_t:dir { read search open getattr };
allow httpd_sys_script_t gitosis_var_lib_t:file { read getattr open ioctl append };

您应该继续检查代码以确保其正确性（在本例中，它足够简单）。下一步是将代码编译type enforcement成module：

# checkmodule -M -m -o my_mygitolite3.mod my_gitolite3.te

必须将模块打包成一个，policy package以便您能够随意加载和卸载它：

# semodule_package -o my_gitolite3.pp -m my_gitolite3.mod

现在，您可以使用以下命令加载策略：

# semodule -i my_gitolite3.pp

检查是否正确加载：

# semodule -l | grep my_gitolite3

然后，尝试再次触发拒绝，并查看审计日志中是否有关于同一过程的更多（不同）警报。

代码的后续版本type enforcement需要更新version( )，否则加载包将失败。更新将按以下方式完成：1.0policy package

# semodule -u my_gitolite3.pp

开始使用 SELinux 时有很多东西需要学习。以下是一些有用的参考资料：

命令手册页
还要检查的输出apropos selinux，gitosis_selinux和httpd_selinux都会引起人们的兴趣

来自 RHEL 文档

Dave Quigley 的精彩介绍性演讲：

揭秘 SELinux

Answer 1