linux - 允许在 SELinux 中对具有不同上下文的不同文件进行具有自定义上下文的守护进程操作

Question

特殊类型的允许规则

我已经从具有自定义上下文的可执行文件创建了正在运行的守护进程，例如:

system_u:system_r:daemon_name_t

它将递归遍历整个目录并读取(不打开)这些未知文件(这些文件可以有任何上下文，不仅来自其域)，所以我想用 scontext daemon_name_t 和任何 目标上下文。在编写类型执行规则时，我希望它尽可能保持限制。我不想给它上下文 unconfined_t。

例如，如果我需要允许操作 getattr 和 read 我想得到这样的效果:

allow daemon_name_t { * } :file { getattr read };

我找不到使用 SELinux 执行此操作的任何可能方法。这可能吗？感谢您的帮助。

编辑:我发现有一种方法可以像这样对 file_type 执行允许规则:

allow daemon_name_t file_type:{type1 type2} {getattr read};

目前对我来说已经足够了，但如果有更好的解决方案，那将是一件好事。

Answer 1

SELinux 策略包含简化编写此类规则的接口(interface)。 policy API documentation 中列出了可用的接口(interface)(文档应该由您的发行版中的 selinux-policy-doc 包提供)。例如，合适的接口(interface)可以是 files_list_non_auth_dirs和 files_read_non_auth_files :

files_list_non_auth_dirs(daemon_name_t)
files_read_non_auth_files(daemon_name_t)