如何为单个文件创建 SELinux 例外

Question 1

没有测试过，但是..

使用找到您需要的名称audit2allow -a，然后运行

激活策略包：semodule -i <module_name>.pp
验证已加载的模块：semanage module -l | grep <module_name>
然后返回执行：setenforce 1

Answer

没有测试过，但是..

使用找到您需要的名称audit2allow -a，然后运行

激活策略包：semodule -i <module_name>.pp
验证已加载的模块：semanage module -l | grep <module_name>
然后返回执行：setenforce 1

Question 2

我看到您正在使用 NRPE，Nagios 远程插件执行器。正确的做法是通过 sudo 调用 NRPE，并告诉 SELinux 允许 NRPE 调用 sudo。

确保允许用户nrpe进行 sudo 配置，例如：

» cat /etc/sudoers.d/nrpe
Defaults:nrpe !requiretty
nrpe ALL = (root) NOPASSWD: /sbin/service <whatever> status

定义检查，替换my_service为实际的服务名称：

» cat /etc/nrpe.d/nrpe_custom_checks.cfg
command[check_my_service]=/usr/lib64/nagios/plugins/check_service_status_sudo my_service

这将是您的检查脚本：

0» cat /usr/lib64/nagios/plugins/check_service_status_sudo
#!/usr/bin/env bash

# Don't use -e, since we expect commands to fail
set -uo pipefail

OK=0
WARN=1
CRIT=2
UNKNOWN=3
STATE=${UNKNOWN}
MSG=""

if [[ $# -ne 1 ]]; then
    echo "UNKNOWN - $0 needs one argument. Aborting."
    exit ${UNKNOWN}
fi

SERVICENAME="$1"

OUTPUT=$(/usr/bin/sudo /sbin/service ${SERVICENAME} status 2>&1)
ES=$?

if [[ $ES -eq 0 ]]; then
    STATE=${OK}
    MSG="OK"
elif [[ $ES -eq 1 ]]; then
    # either not running or unrecognized service
    if echo "${OUTPUT}" | grep -q "unrecognized service"; then
        STATE=${WARN}
        MSG="WARNING"
    else
        STATE=${CRIT}
        MSG="CRITICAL"
    fi
fi

echo "${MSG} - ${OUTPUT}";
exit ${STATE}

你可能需要为您的用例设置此 SELinux 布尔值：

» setsebool -P nagios_run_sudo on

Answer