Como executar o aplicativo Java no domínio do SELinux confinado?

Question

Estou trabalhando com um aplicativo Java que foi rotulado com seu próprio tipo SELinux. Java o executa como unconfined_t em vez do tipo rotulado.

Java é rotulado como bin_t ( ls -Z /usr/lib/jvm/java-1.8.0-openjdk-1.8.0.181-3.b13.el7_5.x86_64/jre/bin/java )

No entanto, ps -efZ | grep java mostra a execução como unconfined_t .

Como posso fazer com que o java seja executado como bin_t ? Como posso fazer com que o aplicativo java seja executado com o contexto correto?

O objetivo é que o aplicativo seja executado em seu próprio contexto ou pelo menos como bin_t quando ele é lançado pelo Java.

A distribuição é do CentOS 7.

    

Answer 1

bin_t é um tipo de arquivo, não um domínio de processo. Um processo entra em um domínio confinado através do ponto de entrada , que geralmente é um executável rotulado com um tipo de arquivo de ponto de entrada, por exemplo, httpd_exec_t para o daemon httpd.

Os pontos de entrada são definidos na política. Se você tiver uma política que defina um domínio de processo, provavelmente também definirá o ponto de entrada. Rotule o executável (script, etc) que você usa para iniciar seu aplicativo com o rótulo de ponto de entrada correto.