MySQLベースのシステム（MySQL / MariaDBレプリケーション+ガレラ）用にSELinuxを構成する方法

• system_u-ユーザー

• system_r-役割

• mysqld_t-タイプ

• s0845-感度レベル

SELinuxのステータスを確認すると、ステータスが「permissive」であり、まだ完全には有効になっていないことがわかります。モードを「強制」に変更する必要があります。これを実現するには、SELinux構成ファイルを編集して永続的にする必要があります。

$ vi /etc/selinux/config
SELINUX=enforcing

変更後、システムの再起動に進みます。モードを「permissive」から「enforcing」に変更しているので、ファイルシステムに再度ラベルを付ける必要があります。通常、ファイルシステム全体のラベルを変更するか、1つのアプリケーションのみのラベルを変更するかを選択できます。 「強制」モードを正しく実行するには正しいラベルまたは機能が必要であるため、再ラベル付けが必要な理由。場合によっては、これらのラベルは「許容」または「無効」モード中に変更されます。

この例では、次のコマンドを使用して1つのアプリケーション（MySQL）のみにラベルを付け直します。

$ fixfiles -R mysqld restore

かなり長い間使用されてきたシステムの場合、ファイルシステム全体のラベルを変更することをお勧めします。次のコマンドは再起動せずにジョブを実行します。システムによっては、このプロセスに時間がかかる場合があります。

$ fixfiles -f -F relabel

他の多くのデータベースと同様に、MySQLも多くのファイルの読み取りと書き込みを要求します。これらのファイルの正しいSELinuxコンテキストがないと、アクセスは間違いなく拒否されます。 SELinuxのポリシーを構成するには、「semanage」が必要です。 「semanage」を使用すると、ポリシーソースを再コンパイルしなくても任意の構成が可能になります。ほとんどのLinuxシステムでは、このツールはデフォルトですでにインストールされています。私たちの場合、すでに次のバージョンでインストールされています：

$ rpm -qa |grep semanage
python3-libsemanage-2.9-3.el8.x86_64
libsemanage-2.9-3.el8.x86_64

インストールされていないシステムの場合、次のコマンドがインストールに役立ちます。

$ yum install -y policycoreutils-python-utils

では、MySQLファイルのコンテキストを見てみましょう：

$ semanage fcontext -l | grep -i mysql

お気づきかもしれませんが、上記のコマンドを実行すると、MySQLに接続されるファイルがたくさんあります。最初に思い出すと、デフォルトの「サーバーデータディレクトリ」を使用しています。インストールで別のデータディレクトリの場所を使用している場合は、/ var / lib / mysql /

最初のステップは、次のオプションのいずれかを使用してSELinuxコンテキストを変更することです。

$ semanage fcontext -a -t mysqld_db_t /var/lib/yourcustomdirectory
$ semanage fcontext -a -e /var/lib/mysql /var/lib/yourcustomdirectory

After the step above, run the following command:

$ restorecon -Rv /var/lib/yourcustomdirectory

最後に、サービスを再起動します：

$ systemctl restart mysql

一部の設定では、目的に応じて別のログの場所が必要になる可能性があります。この状況では、「mysqld_log_t」も更新する必要があります。 「mysqld_log_t」はデフォルトの場所/var/log/mysqld.logのコンテキストであり、以下の手順を実行して更新できます。

$ semanage fcontext -a -t mysqld_log_t "/your/custom/error.log"
$ restorecon -Rv /path/to/my/custom/error.log
$ systemctl restart mysql

デフォルトのポートが3306以外の別のポートを使用して構成されている場合があります。たとえば、MySQLにポート3303を使用している場合は、次のコマンドでSELinuxコンテキストを定義する必要があります。 ：

$ semanage port -a -t mysqld_port_t -p tcp 3303

ポートが更新されたことを確認するには、次のコマンドを使用できます。

$ semanage port -l | grep mysqld

audit2allowを使用したポリシーの生成

ポリシーを構成する別の方法は、「semanage」のインストール中にすでに含まれている「audit2allow」を使用することです。このツールの機能は、audit.logからログイベントを取得し、その情報を使用してポリシーを作成することです。 MySQLに非標準のポリシーが必要な場合があるため、これがそれを実現するための最良の方法です。

まず、MySQLドメインに対して許可するモードを設定し、変更を確認します。

$ semanage permissive -a mysqld_t
$ semodule -l | grep permissive
permissive_mysqld_t
permissivedomains

次のステップは、以下のコマンドを使用してポリシーを生成することです。

$ grep mysqld /var/log/audit/audit.log | audit2allow -M {yourpolicyname}
$ grep mysqld /var/log/audit/audit.log | audit2allow -M mysql_new

次のような出力が表示されます（設定したポリシー名によって異なります）：

********************重要********************* **

このポリシーパッケージをアクティブにするには、次を実行します。

semodule -i mysql_new.pp

前述のように、ポリシーをアクティブ化するには、「semodule-imysql_new.pp」を実行する必要があります。先に進んで実行します：

$ semodule -i mysql_new.pp

最後のステップは、MySQLドメインを「強制」モードに戻すことです。

$ semanage permissive -d mysqld_t

libsemanage.semanage_direct_remove_key：最後のpermissive_mysqld_tモジュールを削除します（他のpermissive_mysqld_tモジュールは別の優先度で存在しません）。

SELinuxが機能しない場合はどうすればよいですか？

多くの場合、SELinux構成には非常に多くのテストが必要です。構成をテストする最良の方法の1つは、モードを「許容」に変更することです。 MySQLドメインに対してのみ設定する場合は、次のコマンドを使用できます。これは、システム全体を「許容」に構成しないようにするための良い方法です。

$ semanage permissive -a mysqld_t

すべてが完了したら、モードを「強制」に戻すことができます。

$ semanage permissive -d mysqld_t

それに加えて、/ var / log / audit / audit.logは、SELinuxに関連するすべてのログを提供します。このログは、根本的な原因と理由を特定するのに大いに役立ちます。 「grep」を使用して「denied」をフィルタリングするだけです。

$ more /var/log/audit/audit.log |grep "denied"

これで、MySQLベースのシステムのSELinuxポリシーの構成が完了しました。言及する価値のあることの1つは、クラスターのすべてのノードで同じ構成を実行する必要があることです。それらに対して同じプロセスを繰り返す必要がある場合があります。