단일 파일에 대해 SELinux 예외를 생성하는 방법

Question 1

테스트되지는 않았지만...

다음을 사용하여 필요한 이름을 audit2allow -a찾으세요 .

전략 패키지 활성화:semodule -i <module_name>.pp
로드된 모듈을 확인합니다.semanage module -l | grep <module_name>
그런 다음 실행으로 돌아갑니다.setenforce 1

Answer

테스트되지는 않았지만...

다음을 사용하여 필요한 이름을 audit2allow -a찾으세요 .

전략 패키지 활성화:semodule -i <module_name>.pp
로드된 모듈을 확인합니다.semanage module -l | grep <module_name>
그런 다음 실행으로 돌아갑니다.setenforce 1

Question 2

Nagios 원격 플러그인 실행 프로그램인 NRPE를 사용하고 계시군요. 올바른 접근 방식은 sudo를 통해 NRPE를 호출하고 NRPE가 sudo를 호출할 수 있도록 SELinux에 지시하는 것입니다.

사용자에게 nrpesudo 구성이 허용되는지 확인하세요. 예를 들면 다음과 같습니다.

» cat /etc/sudoers.d/nrpe
Defaults:nrpe !requiretty
nrpe ALL = (root) NOPASSWD: /sbin/service <whatever> status

my_service실제 서비스 이름으로 바꿔 검사를 정의합니다 .

» cat /etc/nrpe.d/nrpe_custom_checks.cfg
command[check_my_service]=/usr/lib64/nagios/plugins/check_service_status_sudo my_service

다음은 확인 스크립트입니다.

0» cat /usr/lib64/nagios/plugins/check_service_status_sudo
#!/usr/bin/env bash

# Don't use -e, since we expect commands to fail
set -uo pipefail

OK=0
WARN=1
CRIT=2
UNKNOWN=3
STATE=${UNKNOWN}
MSG=""

if [[ $# -ne 1 ]]; then
    echo "UNKNOWN - $0 needs one argument. Aborting."
    exit ${UNKNOWN}
fi

SERVICENAME="$1"

OUTPUT=$(/usr/bin/sudo /sbin/service ${SERVICENAME} status 2>&1)
ES=$?

if [[ $ES -eq 0 ]]; then
    STATE=${OK}
    MSG="OK"
elif [[ $ES -eq 1 ]]; then
    # either not running or unrecognized service
    if echo "${OUTPUT}" | grep -q "unrecognized service"; then
        STATE=${WARN}
        MSG="WARNING"
    else
        STATE=${CRIT}
        MSG="CRITICAL"
    fi
fi

echo "${MSG} - ${OUTPUT}";
exit ${STATE}

너가능한이 SELinux 부울은 사용 사례에 맞게 설정되어야 합니다.

» setsebool -P nagios_run_sudo on

Answer