파일 컨텍스트 정책 업데이트 및 경쟁 조건 사용

작업 중 하나가 SELinux 파일 컨텍스트를 추가하고 다음 작업이 해당 새 컨텍스트를 사용하는 Ansible 플레이북이 있습니다. 즉, 필요한 경우 디렉터리의 파일 컨텍스트를 복구합니다.

플레이북을 실행하면 두 번째 작업이 여전히 이전 파일 컨텍스트 정책을 사용하고 있는 것 같습니다. 이는 디렉터리의 컨텍스트가 예상대로 수정되지 않음을 의미합니다. 두 번째로 재생을 실행한 후에야 컨텍스트가 수정되었습니다.

첫 번째 실행의 출력 예:

TASK [web : add file contexts] ****
# Addition to semanage file context mappings
+/srv/fubar(/.*)?      a      system_u:object_r:httpd_sys_content_t:s0
changed: [example.org]

TASK [create webroot] **********
--- before
+++ after
@@ -1,7 +1,7 @@
 {
     "path": "/srv/fubar",
     "secontext": [
-        "unconfined_u",
+        "system_u",
         "object_r",
         "var_t",
         "s0"

changed: [example.org]

그리고 즉시 스크립트를 다시 실행하면 다음이 생성됩니다.

TASK [web : add file contexts] ****
ok: [example.org]

TASK [create webroot] *******
--- before
+++ after
@@ -3,7 +3,7 @@
     "secontext": [
         "system_u",
         "object_r",
-        "var_t",
+        "httpd_sys_content_t",
         "s0"
     ]
 }

changed: [example.org]

예상대로 추가 실행에서는 아무런 변경 사항이 발생하지 않습니다.

Ansible 작업은 다음과 같습니다.

- name: add file contexts
  sefcontext:
      target: '/srv/fubar(/.*)?'
      setype: httpd_sys_content_t
      state: present

- name: create webroot
  file:
      state: directory
      dest: /srv/fubar
      owner: juser
      group: juser
      mode: '0755'
      setype: _default
      seuser: _default

내가 여기서 무엇을 놓치고 있는 걸까요?

일반적으로 SELinux 파일 컨텍스트를 업데이트할 때 경쟁 조건이 있습니까?

로그 파일을 보면 정책이 다시 로드되었지만 다음 작업이 실행되기 직전임을 나타내는 일부 SELinux 메시지가 있습니다. 이것도 일치함sefcontext 모듈 문서SELinux 정책 다시 로드가 기본적으로 활성화되어 있다고 명시되어 있습니다.