LAMPサーバーの例を使用してSELinux環境をセットアップする

これはシリーズの3番目の記事です。

そして今日、彼女はストリーム「管理」に入りました。 今日は、 モジュールの作成やRBACの構成は行いませんが、必要最小限の設定を含め、既製のポリシーを使用して、最も抵抗の少ない経路をたどり、通常のLAMPサーバーを単純に強化します。



誰かが忘れてしまった場合、 L inux、 A pache、 M ysql、 P HPはLAMPの略語の後ろに隠れています。 これは、個人のブログを保存するために購入するすべてのVDSユーザーの大半です。 これがすべてがより安全になることを願っています:)

仮定

したがって、次のことを前提としています。

1. 配布-CentOS 7 x64、ユーザー-ルート
2. SELinux対応、ターゲットポリシーがロードされました
3. SELinuxモード-強制

準備する

LAMPがすでにインストールおよび設定されている場合は、スキップできます

LAMPの標準ソフトウェアパッケージをインストールします。



[root @ lamp〜 ] ＃yum install -y httpd mariadb-server php-fpm php-mysql



ソフトウェアの最小構成：







必要なすべてのサービスを実行します。



[root @ lamp〜 ] ＃systemctl enable httpd mariadb php-fpm

[root @ lamp〜 ] ＃systemctl start httpd mariadb php-fpm



phpbbなどのユーザーを追加します。



[root @ lamp〜 ] ＃useradd -Z user_u -m -g apache phpbb

[ルート@ランプ〜] ＃chmod 750 / home / phpbb



そして、phpinfo（）を使用して簡単なテストファイルを作成します。



[phpbb @ lamp〜] $ mkdir www

[phpbb @ lamp〜 ] $ echo "<？php phpinfo（）;？>"> www / info.php



リンクをたどる...





...そして、誰もが正確に得るものを取得します:)

エラーに対処します

次のステップが「SELinuxの無効化」である他のマニュアルとは異なり、今度はそれが起こった理由と何ができるかを調べます。



まず、SELinuxポリシーを管理するためのコンソールユーティリティをインストールします。



[root @ lamp〜 ] ＃yum install -y policycoreutils-python policycoreutils-newrole policycoreutils-restorecond setools-console



そして、必要なモジュールを有効にします（ semoduleコマンドを使用）：



[root @ lamp〜 ] ＃semodule -e apache

[root @ lamp〜 ] ＃semodule -e mysql



このページを開くときにApacheがどのような問題に遭遇したかを正確に見てみましょう。





そのとおりです。ユーザーのホームディレクトリ内のwwwフォルダー（およびwebフォルダーとpublic_htmlフォルダー）は、規則に示されているタイプhttpd_user_content_tを自動的に取得します。





治療法はaudit2allowの出力で示され、変数の設定はsetsebool （またはsemanage boolean ） コマンドで行われます。



[root @ lamp httpd] ＃setsebool -P httpd_read_user_content = 1



ページを更新して、以下を取得します。





ログを確認します。





すべてが明確です。httpdはどこにも接続できず、httpdは必要な場所にしか接続できません。 これは論理的です。Webサーバーが突然sshを介して接続すると、明らかに奇妙なことが起こります。

Webサーバーがどこに行くことができるか見てみましょうか？





角括弧は、このルールの操作を担当する変数を示します。

合計：接続が許可されるタイプの1つにポート9009を追加し、 httpd_can_network_relay変数を1に設定する必要があります。



新しいポートは、 semanage portコマンドを使用して追加されます 。



[root @ lamp httpd] ＃semanage port -a -t http_cache_port_t -p tcp 9009

[root @ lamp httpd] ＃setsebool -P httpd_can_network_relay = 1



ページを更新すると、以下が表示されます。

もっと複雑なもの

タスクを複雑にして、このホストにphpbbを配置しましょう。





自分用のベースを作成してみましょう。



[phpbb @ lamp www] $ mysql -uroot

エラー2002（HY000）：ソケット '/var/lib/mysql/mysql.sock'を介してローカルMySQLサーバーに接続できません（13）



ユーザーにデータベースへの接続を許可する方法を見てみましょう。





OK、 selinuxuser_mysql_connect_enabledをオンにして続行します。



[root @ lamp httpd] ＃setsebool -P selinuxuser_mysql_connect_enabled = 1



データベースを作成し、phpbbのインストールを試みます。







なぜそう httpdはユーザーデータを変更できないためです。 彼が何を変えることができるかを調べましょうか？





php-xmlをインストールし、 httpd_builtin_scriptingを有効にして、指定されたファイルとフォルダーにコンテキストhttpd_user_rw_content_tを割り当てます（ chconコマンドを使用 ）：



[root @ lamp httpd] ＃setsebool -P httpd_builtin_scripting = 1

[phpbb @ lamp www] $ chmod 660 config.php

[phpbb @ lamp www] $ chcon -t httpd_user_rw_content_t cache / store / files / config.php images / avatars / upload /



取得するもの：







phpBBをさらにインストールし、インストールを削除して、機能するフォーラムを取得します。







構成コンテキストを元に戻します。



[phpbb @ lamp www] $ chcon -t httpd_user_content_t config.php

安全なフォーラムをお楽しみください:)

あとがきの代わりに

1行のコードを記述することなく、マンファイルと標準のSELinuxデフォルトポリシーの知識のみを使用して、30分で標準サービスの安全な環境を構成できます。 これはLAMPだけではありません。標準ポリシーには403個の既製モジュールが含まれています。 これは、管理者が直面するほとんどのタスクを解決するのに十分です。 SELinuxをオフにしたり、 ダンを泣かせたりしないでください 。