Включение или отключение SELinux: различия между версиями

Текущая версия от 21:03, 25 декабря 2024

Установка и настройка / Основные элементы АппОптима / АппОптима / Установка / Включение или отключение SELinux

АппОптима версии 1.222+

SELinux (Linux с повышенной безопасностью) - это ядро безопасности Linux, которое действует как защитный агент на серверах. Он полагается на обязательный контроль доступа (MAC), чтобы ограничить пользователей политиками, определенными системным администратором.

SELinux доступен для большинства дистрибутивов Linux и устанавливается по умолчанию в новых дистрибутивах Red Hat Enterprise Linux.

Управляемая установка АппОптима автоматически определяет состояние режима SELinux в вашей системе и изменяет контекст SELinux файлов, чтобы службы АппОптима могли успешно работать в принудительном режиме. Для установки АппОптима в системе SELinux в принудительном режиме требуется, чтобы в вашей системе была доступна утилита semanage. Установка не удастся, если необходимый пакет отсутствует.

Для новых установок от вас не требуется выполнять никаких дополнительных действий.
Для существующих установок после включения SELinux вам необходимо запустить сценарий reconfigure.sh:
- <PRODUCT_PATH>/installer/reconfigure.sh
Для более старых версий вам необходимо изменить режим SELinux на permissive.

Чтобы включить или отключить SELinux в вашей системе, убедитесь, что у вас установлена утилита semanage и другие необходимые пакеты.

Включить SELinux

Чтобы включить SELinux в вашей системе, убедитесь, что у вас установлены необходимые пакеты:

policycoreutils
selinux-utils
selinux-basics

Также убедитесь, что вы активировали SELinux в своей системе.

Чтобы настроить SELinux в Ubuntu

Используйте команду apt для установки следующих пакетов:
- # sudo apt install policycoreutils selinux-utils selinux-basics
Активируйте SELinux:
- # sudo selinux-activate
- Вы должны увидеть:
- SE Linux is activated. You may need to reboot now.
Установите SELinux в принудительный режим:
- # sudo selinux-config-enforcing
Остановите управляемые службы АппОптима:
- Подробнее см. Запуск/остановка/перезапуск кластера.
Перезагрузите вашу систему.
- Перемаркировка SELinux будет запущена после перезагрузки системы. По завершении система автоматически перезагрузится ещё раз.
Проверьте статус SELinux:
- # sestatus
- SELinux status: enabled
- SELinuxfs mount: /sys/fs/selinux
- SELinux root directory: /etc/selinux
- Loaded policy name: default
- Current mode: enforcing
- Mode from config file: error (Success)
- Policy MLS status: enabled
- Policy deny_unknown status: allowed
- Memory protection checking: requested (insecure)
- Max kernel policy version: 31
Настройте АппОптима с включенным SELinux:
- <PRODUCT_PATH>/installer/reconfigure.sh

Отключить SELinux

Чтобы отключить SELinux

Откройте файл конфигурации /etc/selinux/config и измените значение параметра SELINUX на disabled:
- SELINUX=disabled
Остановите службы АппОптима:
- Подробнее см. Запуск/остановка/перезапуск кластера.
Перезагрузите вашу систему.
Настройте АппОптима с отключенным SELinux:
- <PRODUCT_PATH>/installer/reconfigure.sh

Изменения операционной системы

Установщик АппОптима выполняет следующие изменения в вашей системе, если режим SELinux принудительный, и для установки или хранения используются пользовательские пути:

Контекст файла обновляется до usr_t для всех каталогов АппОптима (двоичные файлы и хранилище), путем выполнения следующих команд, где /custom-dir/ - это пользовательский путь для установки или хранилища АппОптима:

# semanage fcontext -a -t usr_t "/custom-dir/"

# semanage fcontext -a -t usr_t "/custom-dir/.*"

# restorecon -R /custom-dir/

@@ Строка 1: / Строка 1: @@
-''<u>Ключ-АСТРОМ Managed версии 1.222+</u>''
+'''''[[Установка и настройка]] / Основные элементы АппОптима / АппОптима / Установка / Включение или отключение SELinux'''''
+''<u>АппОптима версии 1.222+</u>''
 SELinux (Linux с повышенной безопасностью) - это ядро безопасности Linux, которое действует как защитный агент на серверах. Он полагается на обязательный контроль доступа (MAC), чтобы ограничить пользователей политиками, определенными системным администратором.
@@ Строка 5: / Строка 7: @@
 SELinux доступен для большинства дистрибутивов Linux и устанавливается по умолчанию в новых дистрибутивах Red Hat Enterprise Linux.
-Управляемая установка Ключ-АСТРОМ автоматически определяет состояние режима SELinux в вашей системе и изменяет контекст SELinux файлов, чтобы службы Ключ-АСТРОМ Managed могли успешно работать в <code>принудительном</code> режиме. Для установки Ключ-АСТРОМ Managed в системе SELinux в <code>принудительном</code> режиме требуется, чтобы в вашей системе была доступна утилита <code>semanage</code>. Установка не удастся, если необходимый пакет отсутствует.
+Управляемая установка АппОптима автоматически определяет состояние режима SELinux в вашей системе и изменяет контекст SELinux файлов, чтобы службы АппОптима могли успешно работать в <code>принудительном</code> режиме. Для установки АппОптима в системе SELinux в <code>принудительном</code> режиме требуется, чтобы в вашей системе была доступна утилита <code>semanage</code>. Установка не удастся, если необходимый пакет отсутствует.
 * Для новых установок от вас не требуется выполнять никаких дополнительных действий.
 * Для существующих установок после включения SELinux вам необходимо запустить сценарий <code>reconfigure.sh</code>:
 ** <code><PRODUCT_PATH>/installer/reconfigure.sh</code>
-* Для более старых версий вам необходимо изменить режим SELinux на <code>разрешающий</code>.
+* Для более старых версий вам необходимо изменить режим SELinux на <code>permissive</code>.
 Чтобы включить или отключить SELinux в вашей системе, убедитесь, что у вас установлена утилита <code>semanage</code> и другие необходимые пакеты.
@@ Строка 33: / Строка 35: @@
 # Установите SELinux в принудительный режим:
 #* <code># sudo selinux-config-enforcing</code>
-# Остановите управляемые службы Ключ-АСТРОМ:
+# Остановите управляемые службы АппОптима:
-#* <code># ./dynatrace.sh stop</code>
 #* Подробнее см. [[Запуск/остановка/перезапуск кластера]].
 # Перезагрузите вашу систему.
@@ Строка 50: / Строка 51: @@
 #* <code>Memory protection checking:     requested (insecure)</code>
 #* <code>Max kernel policy version:      31</code>
-# Настройте Ключ-АСТРОМ Managed с включенным SELinux:
+# Настройте АппОптима с включенным SELinux:
 #* <code><PRODUCT_PATH>/installer/reconfigure.sh</code>
@@ Строка 58: / Строка 59: @@
 # Откройте файл конфигурации <code>/etc/selinux/config</code> и измените значение параметра <code>SELINUX</code> на <code>disabled</code>:
 #* <code>SELINUX=disabled</code>
-# Остановите службы Ключ-АСТРОМ Managed:
+# Остановите службы АппОптима:
-#* <code># ./dynatrace.sh stop</code>
 #* Подробнее см. [[Запуск/остановка/перезапуск кластера]].
 # Перезагрузите вашу систему.
-# Настройте Ключ-АСТРОМ Managed с отключенным SELinux:
+# Настройте АппОптима с отключенным SELinux:
 #* <code><PRODUCT_PATH>/installer/reconfigure.sh</code>
 == Изменения операционной системы ==
-Установщик Ключ-АСТРОМ Managed выполняет следующие изменения в вашей системе, если режим SELinux принудительный, и для установки или хранения используются пользовательские пути:
+Установщик АппОптима выполняет следующие изменения в вашей системе, если режим SELinux принудительный, и для установки или хранения используются пользовательские пути:
-Контекст файла обновляется до <code>usr_t</code> для всех каталогов Ключ-АСТРОМ Managed (двоичные файлы и хранилище), путем выполнения следующих команд, где <code>/custom-dir/dynatrace-managed</code> - это пользовательский путь для установки или хранилища Ключ-АСТРОМ Managed:
+Контекст файла обновляется до <code>usr_t</code> для всех каталогов АппОптима (двоичные файлы и хранилище), путем выполнения следующих команд, где <code>/custom-dir/</code> - это пользовательский путь для установки или хранилища АппОптима:
-<code># semanage fcontext -a -t usr_t "/custom-dir/dynatrace-managed"</code>
+<code># semanage fcontext -a -t usr_t "/custom-dir/"</code>
-<code># semanage fcontext -a -t usr_t "/custom-dir/dynatrace-managed/.*"</code>
+<code># semanage fcontext -a -t usr_t "/custom-dir/.*"</code>
-<code># restorecon -R /custom-dir/dynatrace-managed</code>
+<code># restorecon -R /custom-dir/</code>