単一ファイルに対してSELinux例外を生成する方法

Question 1

テストされていませんが...

以下を使用して必要な名前をaudit2allow -a見つけます。

戦略パッケージを有効にする：semodule -i <module_name>.pp
ロードされたモジュールを確認してください。semanage module -l | grep <module_name>
その後、実行に戻ります。setenforce 1

Answer

テストされていませんが...

以下を使用して必要な名前をaudit2allow -a見つけます。

戦略パッケージを有効にする：semodule -i <module_name>.pp
ロードされたモジュールを確認してください。semanage module -l | grep <module_name>
その後、実行に戻ります。setenforce 1

Question 2

NagiosリモートプラグインランチャーであるNRPEを使用しています。正しいアプローチは、sudoを介してNRPEを呼び出し、NRPEがsudoを呼び出すようにSELinuxに指示することです。

ユーザーがnrpesudo設定を許可されていることを確認してください。たとえば、次のようになります。

» cat /etc/sudoers.d/nrpe
Defaults:nrpe !requiretty
nrpe ALL = (root) NOPASSWD: /sbin/service <whatever> status

my_service実際のサービス名に置き換えてスキャンを定義します。

» cat /etc/nrpe.d/nrpe_custom_checks.cfg
command[check_my_service]=/usr/lib64/nagios/plugins/check_service_status_sudo my_service

以下は確認スクリプトです。

0» cat /usr/lib64/nagios/plugins/check_service_status_sudo
#!/usr/bin/env bash

# Don't use -e, since we expect commands to fail
set -uo pipefail

OK=0
WARN=1
CRIT=2
UNKNOWN=3
STATE=${UNKNOWN}
MSG=""

if [[ $# -ne 1 ]]; then
    echo "UNKNOWN - $0 needs one argument. Aborting."
    exit ${UNKNOWN}
fi

SERVICENAME="$1"

OUTPUT=$(/usr/bin/sudo /sbin/service ${SERVICENAME} status 2>&1)
ES=$?

if [[ $ES -eq 0 ]]; then
    STATE=${OK}
    MSG="OK"
elif [[ $ES -eq 1 ]]; then
    # either not running or unrecognized service
    if echo "${OUTPUT}" | grep -q "unrecognized service"; then
        STATE=${WARN}
        MSG="WARNING"
    else
        STATE=${CRIT}
        MSG="CRITICAL"
    fi
fi

echo "${MSG} - ${OUTPUT}";
exit ${STATE}

あなた可能このSELinuxブールはユースケースに合わせて設定する必要があります。

» setsebool -P nagios_run_sudo on

Answer