selinux mls ssh obtendo negada transição - falha de login

Question

Eu estou tentando aprender SELinux e ir embora com a documentação da Red Hat para o RHEL 7. Eu descobri a documentação para Multi Layer Security (MLS) e queria testar, então eu configurei SELINUXTYPE = mls e SELINUX = permissive, touch /.autorelabel (ecoou um -F para ele) e reiniciou.

Consegui fazer o login, mas quis verificar o registro de auditoria para garantir que não ocorressem falhas ou negações que me impediriam de fazer login usando o modo de imposição. Eu encontrei o seguinte:

type=AVC msg=audit(1457127380.826:208): avc:  denied  { dyntransition } for      pid=2109 comm="sshd" scontext=system_u:system_r:sshd_t:s0-s15:c0.c1023 tcontext=root:sysadm_r:sysadm_t:s0 tclass=process

Então, achei que não era nada para se preocupar (ainda aprendendo), então eu configurei o SELINUX para reforçar e reinicializar. Trancou-me!

Consegui voltar com alguns hackers e configurar o SELINUX de volta para permissivo, mas não sei por que não está funcionando ...

Eu tentei restaurar / usr / sbin / sshd e ele tem o contexto correto:

ls -Z /usr/sbin/sshd
-rwxr-xr-x. root root system_u:object_r:sshd_exec_t:s0 /usr/sbin/sshd

Mas se você olhar para o tcontect no erro, é estranho:

 tcontext=root:sysadm_r:sysadm_t:s0 

De qualquer forma, como afirmei, ainda estou aprendendo, então qualquer conselho seria útil ... A documentação para explicar quaisquer exemplos ou soluções seria muito apreciada - "Ensine um homem a pescar ..."

Muito obrigado! Joe

    

Answer 1

Parece que root não tem permissão para fazer login diretamente via ssh em um sistema MLS.

Você precisará do ssh como staff_t user e, em seguida, sudo para root.