13 COMMERCIAL IP SECURITY OPTION
3.4. セキュリティポリシーのファイル構成
3.4.2. アプリケーション コンフィギュレーション ファイル
Linux システムに既存のアプリケーションの中には、その性質上 SELinux により導入され るセキュリティアーキテクチャを自身で意識して稼動しなければならないものが存在する。
代表的なものは、login、SSH 関連、crontab、crond、および logrotate コマンドといった ものである。SELinux には上記アプリケーションを SELinux 用に改良したものが含まれてお り、インストールの際に既存のアプリケーションはこれらによって置き換えられる。アプ リケーション コンフィギュレーション ファイルとは、上記のような SELinux 用に改良・
追加28されたアプリケーションのための各種設定ファイルのことである。
Ⅱ‑64 Copyright © 2003 IPA, All Rights Reserved.
(1) デフォルトセキュリティコンテキストの定義
ファイル/etc/security/default̲contexts では、login プログラム、SSH セッショ ンおよび cron ジョブにアタッチするデフォルトのセキュリティコンテキストを定義 する。書式をリスト 3‑60 に示す。
リスト 3‑60 デフォルトコンテキストの定義書式
system̲process̲partial̲context default̲partial̲contexts
system̲process̲partial̲context ::= partial̲context default̲partial̲contexts ::= partial̲context ￨
default̲partial̲contexts partial̲context partial̲context ::= role ':' type
role ::= identifier type ::= identifier
この書式の意味は以下のとおりである。
「system̲process̲partial̲context」で示されるシステムプロセスのデフォルトセ キュリティコンテキストを「default̲partial̲contexts」で示されるセキュリティ コンテキストとする。
上記の書式における「default̲partial̲contexts」がシステムプロセスによってど のように扱われるかはそのプロセスに依るため、以下で具体例を挙げて説明する。ファ イル/etc/security/default̲contexts の内容をリスト 3‑61 に示す。
リスト 3‑61 /etc/security/default̲contexts
① system̲r:local̲login̲t user̲r:user̲t
② system̲r:sshd̲t user̲r:user̲t
③ system̲r:crond̲t user̲r:user̲crond̲t system̲r:system̲crond̲t
①は login プログラムに対するデフォルトセキュリティコンテキストの定義である。
login プログラムはログインしようとしているユーザのデフォルトセキュリティコン テキストを決定するために上記のファイルを参照している。この際、書式における
「default̲partial̲contexts」に該当する部分を先頭より走査し、いちばん最初に登 場した正当なセキュリティコンテキストをデフォルトとして採用する。
②は SSH セッションにおけるデフォルトセキュリティコンテキストの定義である。
「default̲partial̲contexts」部分の扱われ方は login プログラムと同様である。
③ は cron ジ ョ ブ に ア タ ッ チ す る セ キ ュ リ テ ィ コ ン テ キ ス ト の 定 義 で あ る 。
「default̲partial̲contexts」部分には、システム cron ジョブにアタッチするセキュ リティコンテキストはもちろん、各ユーザの cron ジョブにアタッチするセキュリティ コンテキストとして必要なものはすべて指定しなければならない。
関連ファイル
/etc/security/default̲contexts デフォルトセキュリティコンテキストを定義す るファイル
(2) デフォルト type の定義
ファイル/etc/security/default̲type では、各 role におけるそのペアとするデフォ ルト type を定義する。書式をリスト 3‑62 に示す。
リスト 3‑62 デフォルト type の定義書式
role ':' default̲type
role ::= identifier
default̲type ::= identifier
この書式の意味は以下のとおりである。
「role」で示される role のデフォルト type を「default̲type」で示される type とする。
この定義は 3.4.3.1 で説明する newrole コマンド等で参照されており、newrole コ マンドにて role のみを指定した場合には、このファイルにて定義されているデフォル ト type が遷移先の type として決定される。当然、デフォルト type として指定する type は role に割り当てられている type でなければならない。
Ⅱ‑66 Copyright © 2003 IPA, All Rights Reserved.
関連ファイル
/etc/security/default̲type デフォルト type を定義するファイル
(3) init スクリプトにアタッチするセキュリティコンテキストの定義
ファイル/etc/security/default̲type では、3.4.3.2 で説明する run̲init コマンド により開始される init スクリプトにアタッチするセキュリティコンテキストを定義 する。書式をリスト 3‑63 に示す。
リスト 3‑63 init スクリプトにアタッチするセキュリティコンテキストの定義書式
user ':' role ':' type
user ::= identifier role ::= identifier type ::= identifier
この書式の意味を以下に示す。
run̲init コマンドにより開始される init スクリプトに対して、「user」、「role」、
および「type」で示されるセキュリティコンテキストをアタッチする29。
システム起動時の init プロセスから開始される initrc スクリプトにアタッチされ るセキュリティコンテキストはここでの定義の影響を受けることはない。
関連ファイル
/etc/security/initrc̲context run̲init コマンドにより開始される init プロセ スにアタッチするセキュリティコンテキストを 定義するファイル
29 init スクリプトから起動されるプロセスにアタッチされるセキュリティコンテキストは、セキュリティ ポリシー定義にて定義された遷移ルールに従って決定される。
(4) passwd ファイルにアタッチするセキュリティコンテキストの定義
ファイル/etc/security/passwd̲context では、3.4.3.1 で説明する spasswd あるい は svipw 等のコマンドにより編集されたファイル/etc/passwd にアタッチするセキュ リティコンテキストを定義する。書式をリスト 3‑64 に示す。
リスト 3‑64 passwd ファイルにアタッチするセキュリティコンテキスト定義書式
user ':' role ':' type
user ::= identifier role ::= identifier type ::= identifier
この書式の意味を以下に示す。
spasswd あるいは svipw 等のコマンドにより編集されたファイル/etc/passwd に対 して、「user」、「role」、および「type」で示されるセキュリティコンテキストをア タッチする。
spasswd あるいは svipw 等のコマンドは自身が編集するファイル/etc/passwd のセ キュリティコンテキストを適切なものに維持するために、編集後の同ファイルに対し て、本定義により指定されているセキュリティコンテキストをアタッチする。
関連ファイル
/etc/security/passwd̲context spasswd あるいは svipw 等のコマンドにより編集 されたファイル/etc/passwd にアタッチするセ キュリティコンテキストを定義するファイル
(5) shadow passwd ファイルにアタッチするセキュリティコンテキストの定義
ファイル/etc/security/shadow̲context では、3.4.2(4)と同様の理由でファイル /etc/shadow にアタッチするセキュリティコンテキストを定義する。定義書式は 3.4.2(4)と同様である。
Ⅱ‑68 Copyright © 2003 IPA, All Rights Reserved.
関連ファイル
/etc/security/shadow̲context spasswd あるいは svipw 等のコマンドにより編集 されたファイル/etc/shadow にアタッチするセ キュリティコンテキストを定義するファイル