SELinux ブール値について

特定の SELinux ポリシーは、一連のポリシーブール値を有効または無効にすることでカスタマイズできます。ブール値を使用すると、SELinux ポリシーの記述に関する知識がなくても、実行時に SELinux ポリシーの一部を変更できます。これにより、SELinux ポリシーをリロードまたは再コンパイルせずに変更できます。

次のコマンドを使用して、コマンドラインからこのリストを表示できます:

# semanage boolean -l
SELinux boolean                State  Default Description

privoxy_connect_any            (on   ,   on)  Allow privoxy to connect any
smartmon_3ware                 (off  ,  off)  Allow smartmon to 3ware
mpd_enable_homedirs            (off  ,  off)  Allow mpd to enable homedirs
xdm_sysadm_login               (off  ,  off)  Allow xdm to sysadm login
xen_use_nfs                    (off  ,  off)  Allow xen to use nfs
....

サンプルリストでは、xen_use_nfs ブール値はオフです、これにより、xen が nfs を使用できなくなります。

getsebool および setsebool ユーティリティ

ブール値の表示

getsebool コマンドを使用してブール値を一覧表示することもできます。このコマンドはステータスを表示しますが、説明は表示しません。すべてのブール値とそのステータスを表示するには:

# getsebool -a
abrt_anon_write --> off
abrt_handle_event --> off
abrt_upload_watch_anon_write --> on
antivirus_can_scan_system --> off
antivirus_use_jit --> off
....

特定のブール値のステータスを表示するには、ブール値の名前を引数として含めます。複数のブール引数も使用できます:

# getsebool xen_use_nfs allow_ftpd_use_nfs mozilla_read_content
xen_use_nfs --> off
ftpd_use_nfs --> off
mozilla_read_content --> off

ブール値の設定

コマンドラインからブール値を設定するには、setsebool コマンドを使用します。構文は次のとおりです。

# setsebool [Boolean] on|off

たとえば、次の一連のコマンドはブール値の現在のステータスを表示し、syslogd デーモンがメールを送信できるように有効にし、ステータスを再度表示します。

# getsebool xen_use_nfs 
xen_use_nfs --> off

# setsebool xen_use_nfs on

# getsebool xen_use_nfs 
xen_use_nfs --> on

再起動後も変更を永続化するには、–P オプションを使用します。

# setsebool –P xen_use_nfs on

/sys/fs/selinux ディレクトリ

/sys/fs/selinux ディレクトリの Booleans の値を表示および変更することもできます。ブール値ファイルは /sys/fs/selinux/booleans ディレクトリに保存されます:

# ls /sys/fs/selinux/booleans
abrt_anon_write                        mpd_use_cifs
abrt_handle_event                      mpd_use_nfs
abrt_upload_watch_anon_write           mplayer_execstack
antivirus_can_scan_system              mysql_connect_any
...

特定のブール値を表示するには:

# cat /sys/fs/selinux/booleans/xen_use_nfs 
1   1

値 1 はブール値がオンであることを示し、0 はオフであることを示します。最初の数字はブール値の現在の値を示します。 2 番目の数値は、ブール値の保留中の値を表します。 ftpd_anon_write ブール値をオンにするには:

# echo 1 > /sys/fs/selinux/booleans/ftpd_anon_write

ファイルの内容を表示:

# cat /sys/fs/selinux/booleans/ftpd_anon_write
0   1

新しい値をコミットするには:

# echo 1 > /sys/fs/selinux/commit_pending_bools

値が変更されました:

# cat /sys/fs/selinux/booleans/ftpd_anon_write 
1   1

# getsebool ftpd_anon_write
ftpd_anon_write --> on

Linux での SELinux ポリシーについて
SELinux モードとは何か、およびその設定方法