在 CentOS8 上使用 SELinux 上下文进行 Apache vhost 权限分离

Question

我回答这个问题是因为我找到了解决方案，但是我不太明白我做了什么，所以如果你能发表评论以提供澄清，我相信其他人会像我一样感激它......

为了在翻译中的神秘注释时获得更多帮助audit.log，我安装了两个实用程序：排除故障和设置工具

dnf install setroubleshoot setools

它们到位后，我运行以下命令来分析audit.logAVC 错误...

sealert -a /var/log/audit/audit.log

回应是英语（与胡言乱语相比）并提供了一份有用的修复问题说明列表……

--------------------------------------------------------------------------------

SELinux is preventing /usr/sbin/httpd from using the setcurrent access on a process.

*****  Plugin catchall (100. confidence) suggests   **************************

If you believe that httpd should be allowed setcurrent access on processes labeled httpd_t by default.
Then you should report this as a bug.
You can generate a local policy module to allow this access.
Do
allow this access for now by executing:
# ausearch -c 'httpd' --raw | audit2allow -M my-httpd
# semodule -X 300 -i my-httpd.pp


Additional Information:
Source Context                unconfined_u:system_r:httpd_t:s0
Target Context                unconfined_u:system_r:httpd_t:s0
Target Objects                Unknown [ process ]
Source                        httpd
Source Path                   /usr/sbin/httpd
Port                          <Unknown>
Host                          <Unknown>
Source RPM Packages           httpd-2.4.37-12.module_el8.0.0+185+5908b0db.x86_64
Target RPM Packages
Policy RPM                    selinux-policy-3.14.1-61.el8_0.2.noarch
Selinux Enabled               True
Policy Type                   targeted
Enforcing Mode                Enforcing
Host Name                     ##REMOVEDFORPRIVACY###
Platform                      Linux ##REMOVEDFORPRIVACY###
                              4.18.0-80.11.2.el8_0.x86_64 #1 SMP Tue Sep 24
                              11:32:19 UTC 2019 x86_64 x86_64
Alert Count                   1
First Seen                    2020-01-09 18:02:47 EST
Last Seen                     2020-01-09 18:02:47 EST
Local ID                      22e251b9-72fc-42a1-875b-0db3ab095f9d

Raw Audit Messages
type=AVC msg=audit(1578610967.597:455070): avc:  denied  { setcurrent } for  pid=11650 comm="httpd" scontext=unconfined_u:system_r:httpd_t:s0 tcontext=unconfined_u:system_r:httpd_t:s0 tclass=process permissive=0


type=SYSCALL msg=audit(1578610967.597:455070): arch=x86_64 syscall=write success=no exit=EACCES a0=c a1=56494ec9d5d0 a2=2c a3=0 items=0 ppid=11648 pid=11650 auid=1000 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=(none) ses=959 comm=httpd exe=/usr/sbin/httpd subj=unconfined_u:system_r:httpd_t:s0 key=(null)ARCH=x86_64 SYSCALL=write AUID=ecms UID=root GID=root EUID=root SUID=root FSUID=root EGID=root SGID=root FSGID=root

Hash: httpd,httpd_t,httpd_t,process,setcurrent

--------------------------------------------------------------------------------

解决方案是运行建议的命令......

ausearch -c 'httpd' --raw | audit2allow -M my-httpd
semodule -X 300 -i my-httpd.pp

之后我终于能够重新启动 Apache。

因此，很明显，按照上述步骤，我为 httpd 服务创建了一个自定义策略，但这就是我所了解的全部内容。这些命令未提及setcurrent错误报告中引用的命令/权限，并且这两个命令的输出均没有任何额外信息。我假设ausearch管道中的术语httpd本质audit2allow上使用错误报告来生成自定义策略，但我很想了解究竟发生了什么，以及该自定义策略现在存储在系统中的什么位置。

希望这会有所帮助，如果您能提供任何有用的解释说明原因，谢谢！

Answer 1