next_inactive up previous


SELinux Policy Editor(seedit)インストールガイド 2.0

中村 雄一1


Contents

このドキュメントは、SELinux Policy Editorのインストール方法を解説してい ます。

1 動作環境

Fedora Core5およびCent OS 4.3での動作を確認しています。 開発は、Fedora Core5ベースで行っています。


2 RPMから導入

RPMパッケージを使うことで簡単にインストールできます

  1. 必要なパッケージ
    checkpolicy,auditパッケージが必要です。以下でインストールしておきます (CentOSではデフォルトで入っています)。
    # yum install checkpolicy audit
    

  2. ファイルを入手
    以下より、seedit-converter,seedit-policy,seedit-doc, seedit-guiパッケー ジを入手します。 X Window Systemが入ってない場合は、seedit-guiはダウンロードしません。
    http://selpe.sourceforge.jp/download_jp.html
    

    ファイル名は、 seedit-converter-2.0.0.(ディストリビューション 名).i386.rpm, seedit-policy-2.0.0-(ディストリビューション 名).i386.rpm, seedit-gui-2.0.0-1.noarch.rpm,seedit-doc-2.0.0-1.noarch.rpmとなってます。

    seedit-converterには、Simplified PolicyをSELinuxのポリシに変換するツールと、Simplified Policy管理ツールが同梱されています。seedit-policyには、 simplified policyが格納されています。seedit-guiは、GUIです。

  3. rpmパッケージをインストール
    入手したrpmパッケージを以下のようにインストールし,リブートします。
    $ su  - 
    # rpm -ivh seedit-*.rpm
    # reboot
    
  4. 初期化
    再起動時、ファイルのラベルが自動的に付与され直しされます。数分かかります。 その後、リブートされます。 Fedora Core 5の場合、さらにもう一度リブートがかかります(途中で画面が青くなっても問題はありません)。 無事ログイン できたら、完了です。
    なお、auditdサービスが起動するようになっています。これは詳細なSELinuxの ログを/var/log/audit/audit.logに取ることができ、ポリシ自動生成機 能をより便利に使うために必要ですので、このサービスは有効にしておくことを強く薦めます。

  5. CentOS 4の注意点
    CentOS 4のSELinuxパッケージに含まれるラベル初期化コマンド(fixfiles)のバ グにより、初期化がうまくいかないことがあります。 具体的には、「今までにstrcitポリシーを使ったことがある」または「RBACを有 効にしたことがある」場合は、以下のコマンドで初期化する必要があり ます。
    # setfiles /etc/selinux/seedit/contexts/files/file_contexts  / -F -vv
    # reboot
    

  6. インストールは終わりです
    インストールされているか確認するには、5章を参照してくだ さい。

  7. アンインストール方法
    アンインストールは簡単です。
    # rpm -e seedit-policy seedit-converter	
    # reboot
    
    再起動時、SELinuxのtargeted policy(Fedora Coreデフォルト)の、permissive モードで起動します。

3 ソースからのインストール方法

  1. ファイル入手
    seedit-converter-2.0.0.tgz and seedit-policy-2.0.0.tgz,seedit-gui-2.0.0.tgzを以下からダウン ロードします。
    http://sourceforge.net/project/showfiles.php?group_id=135756
    
  2. コンパイルとインストール
    # tar czvf seedit-*.tgz
    # cd seedit-converter
    # make install DISTRO=(FC5またはCOS4)
    # cd .. 
    # cd seedit-policy
    # make install DISTRO=(FC5またはCOS4)
    # cd ..
    # cd seedit-gui
    # make install
    # touch /.autorelabel
    # reboot
    

  3. 初期化 ログインしたら、以下のコマンドで初期化作業を行います。
    #restorecon -R /etc
    #seedit-load -v
    #chkconfig auditd on
    #/etc/init.d/auditd start
    #reboot
    
    seedit-loadコマンドは、SPDLで書かれたポリシ(Simplified Policy)を、 SELinuxのポリシに変換し、カーネルに読み込ませたり、ファイルと タイプの関連付けを直したりするコマンドです。このコマンドを入力 することで、自分 のシステムに合わせたポリシを生成してくれます(このコマンドを入 力する前は、rpmパッケージ開発者の環境に適したポリシが生成され てます。)
  4. アンインストール
    次のようにして、Fedora Coreデフォルトの状態に戻ることができます。 /etc/selinux/configを以下のように編集します。
    SELINUXTYPE=seedit
    -->
    SELINUXTYPE=targeted
    
    次のコマンドを入力し、再起動します。
    #touch /.autorelabel
    #reboot
    

4 何が影響されるか?

インストールによって、 /etc/selinux/configが以下のように編集されます。
SELINUX=permissive	
SELINUXTYPE=seedit
それ以外は、既存のシステムに影響を及ぼしません。


5 動作確認

seeditが正しくインストールされているか否かは、GUIおよびコマンドラインか ら確認可能です。

5.1 GUIで動作確認

Gnomeのメニューから、デスクトップ $\rightarrow$ 管理 $\rightarrow$ SELinux Policy Editor、を選択します。rootユーザーのパスワードを入力すると、図 1のような画面が現れます。
Figure 1: SELinux Policy Editor コントロールパネル
Image controlpanel
ここから、 ステータスを選択すると、図 2のような画面が 現れます。seeditがインストールされている? はいと表示されればイ ンストールは成功です。

Figure 2: Status
Image status-selinux

5.2 コマンドラインで動作確認

次のような出力になれば成功です。
# sestatus
SELinux status:                 enabled
Current mode:                   permissive
Mode from config file:          permissive
...
Policy from config file:        seedit
「Policy from config file: seedit」となってます。

5.3 次は何をする?

どうやって設定をしていくかの詳細は「SELinux Policy Editor管理ガイ ド(マニュアル)」を参照してください。 また、インストール直後は、Permissiveモードになっていることに気を付けます。 Permissiveモードでは、SELinuxはシステムを守ってくれません。実運用時はど うするかについても、管理ガイドに載っています(Enforcingモードに切り替えま す)。

About this document ...

SELinux Policy Editor(seedit)インストールガイド 2.0

This document was generated using the LaTeX2HTML translator Version 2002-2-1 (1.70)

Copyright © 1993, 1994, 1995, 1996, Nikos Drakos, Computer Based Learning Unit, University of Leeds.
Copyright © 1997, 1998, 1999, Ross Moore, Mathematics Department, Macquarie University, Sydney.

The command line arguments were:
latex2html -local_icons -show_section_numbers -link 2 -split +0 install.tex

The translation was initiated by on 2006-07-05


Footnotes

...中村 雄一1
himainu-ynakam@miomio.jp

next_inactive up previous
2006-07-05