☰

RHEL SELinux 阻止 Apache 访问 PostgreSQL

tag-icon • tag-icon apache-2.2 redhat postgresql django selinux
RHEL SELinux 阻止 Apache 访问 PostgreSQL

我正在运行一个使用 PostgreSQL 的 Django 应用程序。服务器运行的是带有 SELinux 的 RHEL 6.5。我遇到了一个问题，Django 应用程序无法连接到数据库，我认为这是因为 SELinux 阻止了它。这是我在 Django 中看到的错误：

could not connect to server: Permission denied Is the server running locally and accepting connections on Unix domain socket "/tmp/.s.PGSQL.5432"?

我该如何解决这个问题？我遇到了这个帖子，但我不确定如何将解决方案（chcon -t postgresql_exec_t /path/to/pgbouncer）应用到我的问题中。

谢谢！

[编辑]当我尝试访问该网站时，看到的
情况如下：/var/log/audit/audit.log

type=AVC msg=audit(1396289984.549:9245): avc:  denied  { write } for  pid=16975 comm="httpd" name=".s.PGSQL.5432" dev=sda1 ino=2359354 scontext=unconfined_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:tmp_t:s0 tclass=sock_file
type=SYSCALL msg=audit(1396289984.549:9245): arch=c000003e syscall=42 success=no exit=-13 a0=10 a1=7fe625273aa0 a2=6e a3=0 items=0 ppid=16943 pid=16975 auid=22383 uid=48 gid=48 euid=48 suid=48 fsuid=48 egid=48 sgid=48 fsgid=48 tty=(none) ses=1213 comm="httpd" exe="/usr/sbin/httpd" subj=unconfined_u:system_r:httpd_t:s0 key=(null)
type=AVC msg=audit(1396289984.756:9246): avc:  denied  { write } for  pid=16975 comm="httpd" name=".s.PGSQL.5432" dev=sda1 ino=2359354 scontext=unconfined_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:tmp_t:s0 tclass=sock_file
type=SYSCALL msg=audit(1396289984.756:9246): arch=c000003e syscall=42 success=no exit=-13 a0=10 a1=7fe624d87890 a2=6e a3=0 items=0 ppid=16943 pid=16975 auid=22383 uid=48 gid=48 euid=48 suid=48 fsuid=48 egid=48 sgid=48 fsgid=48 tty=(none) ses=1213 comm="httpd" exe="/usr/sbin/httpd" subj=unconfined_u:system_r:httpd_t:s0 key=(null)
type=AVC msg=audit(1396289984.757:9247): avc:  denied  { write } for  pid=16975 comm="httpd" name=".s.PGSQL.5432" dev=sda1 ino=2359354 scontext=unconfined_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:tmp_t:s0 tclass=sock_file
type=SYSCALL msg=audit(1396289984.757:9247): arch=c000003e syscall=42 success=no exit=-13 a0=10 a1=7fe625342c20 a2=6e a3=0 items=0 ppid=16943 pid=16975 auid=22383 uid=48 gid=48 euid=48 suid=48 fsuid=48 egid=48 sgid=48 fsgid=48 tty=(none) ses=1213 comm="httpd" exe="/usr/sbin/httpd" subj=unconfined_u:system_r:httpd_t:s0 key=(null)
type=AVC msg=audit(1396289984.758:9248): avc:  denied  { write } for  pid=16975 comm="httpd" name=".s.PGSQL.5432" dev=sda1 ino=2359354 scontext=unconfined_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:tmp_t:s0 tclass=sock_file
type=SYSCALL msg=audit(1396289984.758:9248): arch=c000003e syscall=42 success=no exit=-13 a0=10 a1=7fe625603ac0 a2=6e a3=0 items=0 ppid=16943 pid=16975 auid=22383 uid=48 gid=48 euid=48 suid=48 fsuid=48 egid=48 sgid=48 fsgid=48 tty=(none) ses=1213 comm="httpd" exe="/usr/sbin/httpd" subj=unconfined_u:system_r:httpd_t:s0 key=(null)

[编辑2]

以下是我已启用的一些相关 SELinux 选项。

-bash-4.1$ sudo getsebool -a | grep httpd_can_network_connect_db httpd_can_network_connect_db --> on -bash-4.1$ sudo getsebool -a | grep allow_user_postgresql_connect allow_user_postgresql_connect --> on

答案1

对于未来的读者来说，对我来说，只需设置 bool 以允许 httpd 建立 DB 连接就足够了；即：

setsebool -P httpd_can_network_connect_db 1

您可以通过以下方式检查/验证设置是否已设置：

getsebool httpd_can_network_connect_db

应该返回 '... => on'

此后，如果您 tail -f /var/log/audit/audit.log 并重新尝试操作，它应该可以工作。

答案2

好的，在系统管理员的帮助下，问题现在已经解决。事实证明，分配给 中的二进制文件的 SELinux 上下文/usr/pgsql-9.3/bin是错误的。只需 即可修复此问题chcon -t postgresql_exec_t /usr/pgsql-9.3/bin。要更改符号链接上的上下文，只需添加-h。

相关内容