php-fpm 套接字的 SElinux 标签

Question 1

尝试这个

policy_module(httpd_php_fpm, 1.0)
require {
    type httpd_t;
    type var_run_t;
}

#============= httpd_t ==============

allow httpd_t var_run_t:sock_file write_sock_file_perms;
allow httpd_t var_run_t:unix_stream_socket client_stream_socket_perms;

## not sure what this is for but..
init_stream_connect_script(httpd_t)

编辑

想想看，这php-fpm实际上是在做网络服务器所做的事情。尝试分别将/usr/sbin/php-fpm和设置/etc/rc.d/init.d/php-fpm为httpd_exec_t和httpd_initrc_exec_t，然后看看结果如何。

如果您重写一项政策，则需要考虑以下几点：

您可能应该确保 tmp 文件被贴上一些特殊标签。
让 php-fpm 也为 var_run 套接字和 pid 文件添加特殊标签，然后更改 apache 以便能够连接到它们。
php-fpm在执行 PHP 脚本时可能需要数据库访问。
您可能需要允许php-fpm监听特定的网络端口，并让 apache 以及 unix 套接字连接回它们。
您需要定义一个fc文件来指定文件上下文。
确保 php-fpm 可以执行其他操作，例如 imap、pop3、smtp、http、https 等等。
必须能够将内容写回到允许写入的 httpd 位置，并使用正确的标签。
必须能够读入user_contenthttpd 的类型以及系统类型。

限制实际上的编程语言可能非常棘手，因为策略需要非常强大才能与许多不同的 Web 应用程序配合使用。

Answer

尝试这个

policy_module(httpd_php_fpm, 1.0)
require {
    type httpd_t;
    type var_run_t;
}

#============= httpd_t ==============

allow httpd_t var_run_t:sock_file write_sock_file_perms;
allow httpd_t var_run_t:unix_stream_socket client_stream_socket_perms;

## not sure what this is for but..
init_stream_connect_script(httpd_t)

编辑

想想看，这php-fpm实际上是在做网络服务器所做的事情。尝试分别将/usr/sbin/php-fpm和设置/etc/rc.d/init.d/php-fpm为httpd_exec_t和httpd_initrc_exec_t，然后看看结果如何。

如果您重写一项政策，则需要考虑以下几点：

您可能应该确保 tmp 文件被贴上一些特殊标签。
让 php-fpm 也为 var_run 套接字和 pid 文件添加特殊标签，然后更改 apache 以便能够连接到它们。
php-fpm在执行 PHP 脚本时可能需要数据库访问。
您可能需要允许php-fpm监听特定的网络端口，并让 apache 以及 unix 套接字连接回它们。
您需要定义一个fc文件来指定文件上下文。
确保 php-fpm 可以执行其他操作，例如 imap、pop3、smtp、http、https 等等。
必须能够将内容写回到允许写入的 httpd 位置，并使用正确的标签。
必须能够读入user_contenthttpd 的类型以及系统类型。

限制实际上的编程语言可能非常棘手，因为策略需要非常强大才能与许多不同的 Web 应用程序配合使用。

Question 2

php-fpm 应该属于 httpd，因此无需创建新类型。这是我编写的可行 httpd 策略（在基于 RHEL 的 AMI Linux 上测试），它可与 php-fpm 配合使用，并且还具有授予 httpd 所需的常用权限：

module my-httpd 1.0;

require {
    type httpd_t;
    type httpd_log_t;
    type initrc_t;
    type sysctl_vm_t;
    type var_lib_t;
    type var_run_t;
    class unix_stream_socket connectto;
    class dir { search read };
    class file { write unlink };
    class sock_file write;
}

#============= httpd_t ==============
allow httpd_t initrc_t:unix_stream_socket connectto;
allow httpd_t sysctl_vm_t:dir search;
allow httpd_t var_lib_t:file { write unlink };
allow httpd_t httpd_log_t:dir read;
allow httpd_t var_run_t:sock_file write;

基本上，php-fpm 工作所需的是最后一行（以及它的类型和类声明）

allow httpd_t var_run_t:sock_file write;

Answer

php-fpm 应该属于 httpd，因此无需创建新类型。这是我编写的可行 httpd 策略（在基于 RHEL 的 AMI Linux 上测试），它可与 php-fpm 配合使用，并且还具有授予 httpd 所需的常用权限：

module my-httpd 1.0;

require {
    type httpd_t;
    type httpd_log_t;
    type initrc_t;
    type sysctl_vm_t;
    type var_lib_t;
    type var_run_t;
    class unix_stream_socket connectto;
    class dir { search read };
    class file { write unlink };
    class sock_file write;
}

#============= httpd_t ==============
allow httpd_t initrc_t:unix_stream_socket connectto;
allow httpd_t sysctl_vm_t:dir search;
allow httpd_t var_lib_t:file { write unlink };
allow httpd_t httpd_log_t:dir read;
allow httpd_t var_run_t:sock_file write;

基本上，php-fpm 工作所需的是最后一行（以及它的类型和类声明）

allow httpd_t var_run_t:sock_file write;

php-fpm 套接字的 SElinux 标签

答案1

答案2

相关内容