semanageコマンドでSELinuxのポリシーを管理する方法｜fcontext・port・booleanの実践設定も

この記事のポイント

・semanageはSELinuxポリシーを永続的に変更できる唯一のコマンド
・fcontext/port/booleanの3サブコマンドが現場で特に重要
・AVC deniedはaudit2allowで解析してから対処するのが鉄則
・chconは再起動で消えるため本番環境での使用は禁止

# semanageがインストールされているか確認
which semanage

# インストールされていない場合
dnf install policycoreutils-python-utils

# SELinuxの動作状態を確認
getenforce
# Enforcing: 有効（アクセス拒否が実行される）
# Permissive: 有効（ログのみ、拒否は実行されない）
# Disabled: 無効

# 詳細な状態確認
sestatus

[root@web01.example.*** ~]# sestatus
SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux mount point:            /sys/fs/selinux
Loaded policy name:             targeted
Current mode:                   enforcing
Mode from config file:          enforcing
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Memory protection checking:     actual (secure)
Max kernel policy version:      33

# ファイルのコンテキストを確認（-Zオプション）
ls -Z /var/www/html/

# 出力例
# -rw-r--r--. root root system_u:object_r:httpd_sys_content_t:s0 index.html

# ディレクトリのコンテキスト確認
ls -Zd /var/www/html/
# drwxr-xr-x. root root system_u:object_r:httpd_sys_content_t:s0 /var/www/html/

# Step1: semanageでポリシーを永続登録する
#   -a: 追加  -t: コンテキストタイプ  -e: 既存パスのポリシーを流用（オプション）
semanage fcontext -a -t httpd_sys_content_t "/data/web(/.*)?"

# Step2: restoreconでファイルに実際に適用する
restorecon -Rv /data/web/

# 確認
ls -Z /data/web/

# ローカルで追加したルールの一覧表示
semanage fcontext -l -C

# 出力例
# SELinux fcontext                                  type               Context
# /data/web(/.*)?                                  all files          system_u:object_r:httpd_sys_content_t:s0

# ルールの削除
semanage fcontext -d "/data/web(/.*)?"

# HTTPサービスが使えるポート一覧を確認
semanage port -l | grep http_port_t

# 出力例
# http_port_t                    tcp      80, 81, 443, 488, 8008, 8009, 8443, 9000

# 8080番ポートをHTTPとして許可する
semanage port -a -t http_port_t -p tcp 8080

# 追加後の確認
semanage port -l | grep http_port_t
# http_port_t                    tcp      80, 81, 443, 488, 8008, 8009, 8080, 8443, 9000

# 追加したポートを削除する
semanage port -d -t http_port_t -p tcp 8080

# 既存のデフォルトポートは削除不可（エラーになる）

# 全Booleanの一覧
semanage boolean -l

# HTTPDに関連するBooleanのみ絞り込み
semanage boolean -l | grep httpd

# getseboolコマンドでも確認できる
getsebool -a | grep httpd

[root@web01.example.*** ~]# semanage boolean -l | grep httpd
httpd_anon_write               (off  ,  off)  Allow httpd to anon write
httpd_builtin_scripting        (on   ,   on)  Allow httpd to builtin scripting
httpd_can_connect_ldap         (off  ,  off)  Allow httpd to can connect ldap
httpd_can_network_connect      (off  ,  off)  Allow httpd to can network connect
httpd_can_network_connect_db   (off  ,  off)  Allow httpd to can network connect db
httpd_can_sendmail             (off  ,  off)  Allow httpd to can sendmail
httpd_enable_homedirs          (off  ,  off)  Allow httpd to enable homedirs
httpd_use_nfs                  (off  ,  off)  Allow httpd to use nfs

# -P（--persistent）で永続的に変更（再起動後も維持）
setsebool -P httpd_can_network_connect_db on

# semanageでも変更可能（setsebool -Pと同等）
semanage boolean -m --on httpd_can_network_connect_db

# 確認
getsebool httpd_can_network_connect_db
# httpd_can_network_connect_db --> on

# 最近のAVC deniedを確認
ausearch -m AVC -ts recent

# sealertで人間が読みやすい形に整形（setroubleshoot-serverが必要）
sealert -a /var/log/audit/audit.log

# AVCエラーから必要なポリシーモジュールを生成
ausearch -m AVC -ts recent | audit2allow -M myapp

# 生成されたモジュールを適用
semodule -i myapp.pp

# 適用されているモジュールの確認
semodule -l | grep myapp

# 正しいコンテキストタイプを検索する
semanage fcontext -l | grep "httpd.*content"

# よく使うコンテキスト一覧
# httpd_sys_content_t        読み取り専用のWebコンテンツ
# httpd_sys_rw_content_t     読み書きが必要なコンテンツ（CGI書き込み先等）
# httpd_log_t                Apacheのログファイル
# httpd_config_t             Apacheの設定ファイル

# 既存のルールを確認
semanage fcontext -l -C | grep "/data/web"

# 変更する場合は -a（追加）ではなく -m（修正）を使う
semanage fcontext -m -t httpd_sys_rw_content_t "/data/web(/.*)?"

# semanageで登録後、必ずrestoreconで適用する
semanage fcontext -a -t httpd_sys_content_t "/data/web(/.*)?"
restorecon -Rv /data/web/

# -v: 変更されたファイルを表示  -R: ディレクトリを再帰的に処理