☰

なぜ感謝しないのですか2なぜそれと関連がありますか？

tag-icon • tag-icon centos nginx selinux
なぜ感謝しないのですか2なぜそれと関連がありますか？

SElinuxに問題があることを知っています。私もチュートリアルに従ってくださいこれは、現在経験しているファイルアクセスの問題の性質を理解するのに役立ちます。つまり、SElinuxを無効にするのと同じように強制することができます。

デフォルトでは、テストのためにSElinuxを許可モードに設定し、強制実行時に失敗したファイル操作を実行しました。これにより、ログ内のメッセージがどのように見えるかを確認できます。そのような行は次のとおりです。

type=USER_CMD msg=audit(1452912989.069:324790): pid=66581 uid=1001 auid=1001 ses=1352 subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 msg='cwd="/srv/dpca/www" cmd=7461696C202F7661722F6C6F672F61756469742F61756469742E6C6F67 terminal=pts/0 res=success'

今私から本物私はこれに慣れていないので、このチュートリアルを参照し、このチュートリアルがaudit2why私のためにこれを配置する方法についてどのように説明したのかを見ました。

[matt@localhost www]$ sudo grep 1452912989.069:324790 /var/log/audit/audit.log | audit2why
Nothing to do

grep正しいテキストを返します。しかし、audit2whyそれは「何もできない」に戻るようです。

私は根本的に間違ったことをしていますか？結局のところ、私は特定のNGINXディレクトリにどのコンテキストを割り当てるかを調べようとしています。閲覧できると確信していますが、私もそうしたいです。理解する私がやっていることは、インターネットで見たコマンドを実行するだけです。

気になる場合は、ここに私のネットワークルートコンテキストの小さな部分があります。

drwxr-xr-x. nginx nginx unconfined_u:object_r:httpd_sys_content_t:s0 administrator
drwxr-xr-x. nginx nginx unconfined_u:object_r:httpd_sys_content_t:s0 bin
drwxr-xr-x. nginx nginx unconfined_u:object_r:httpd_sys_content_t:s0 cache

答え1

メモ:私はまだ私の質問に対する答えに興味がありますが、私が使用している解決策を投稿したいと思いました。この回避策がaudit2why期待どおりに機能する場合は、同様に有益です。

下にCentOS.orgのSELinuxガイドトラブルシューティングのセクションがあります。sealert「/var/log/audit/audit.log」ログで解析された人が読める情報を使用する方法について説明します。だから簡単に実行してください。

sudo sealert -a /var/log/audit/audit.log > ~/logfile.txt

私が望む情報を読み、私のWebディレクトリの正しいセキュリティコンテキストに関するアドバイスを得ることができます。

SELinux is preventing /usr/sbin/php-fpm from write access on the directory /srv/dpca/www/images.

*****  Plugin httpd_write_content (92.2 confidence) suggests   ***************

If you want to allow php-fpm to have write access on the images directory
Then you need to change the label on '/srv/dpca/www/images'
Do
# semanage fcontext -a -t httpd_sys_rw_content_t '/srv/dpca/www/images'
# restorecon -v '/srv/dpca/www/images'

繰り返しますが、誰かが私の元の質問を知っているなら、audit2whyまだ知りたいです。

答え2

/var/log/audit/audit.log はバイナリファイルです。 grepを使ってコンテンツを見つけることができます

grep -a AVC /var/log/audit/audit.log | audit2why

関連情報