Jak zakázat nebo vypnout SELinux na CentOS 7

Úvod

SELinux je povinný vynucovač řízení přístupu (MAC) zabudovaný do linuxového jádra. Omezuje oprávnění jednotlivých služeb, jejichž zranitelnost může představovat hrozbu pro systém.

Systémy CentOS bez SELinuxu spoléhají na konfiguraci všech svých privilegovaných softwarových aplikací. Jediná chybná konfigurace může ohrozit celý systém. Podle tohoto průvodce se dozvíte, jak deaktivovat SELinux na CentOS 7 .

Proč deaktivovat SELinux?

Ne všechny aplikace podporují SELinux. Proto může SELinux ukončit nezbytné procesy při běžném používání a instalaci softwarových balíčků. V takových případech vám doporučujeme tuto službu vypnout.

Předpoklady

• Přístup k uživatelskému účtu pomocí sudo privilegia
• Přístup k terminálu/příkazovému řádku
• Systém založený na RHEL, jako je CentOS 7
• Textový editor, jako je nano nebo vim

Kroky pro deaktivaci SELinux na CentOS

Krok 1:Zkontrolujte stav SELinux

Služba SELinux je standardně povolena na CentOS a většině ostatních systémů založených na RHEL. To však nemusí být případ vašeho systému.

Začněte kontrolou stavu SELinuxu ve vašem systému pomocí příkazu:

sestatus 

Níže uvedený příklad výstupu ukazuje, že SELinux je povolen. Stav ukazuje, že služba je v vynucování režimu .

SELinux může bránit normálnímu fungování aplikací. Služba odepře přístup, pokud:

• Soubor je špatně označený.
• Nekompatibilní aplikace se pokouší o přístup k zakázanému souboru.
• Služba běží pod nesprávnými zásadami zabezpečení.
• Bylo zjištěno narušení.

Pokud si všimnete, že služby neběží správně, zkontrolujte soubory protokolu SELinux. Protokoly jsou v /var/log/audit/audit.log . Nejběžnější zprávy protokolu jsou označeny „AVC“. Pokud nemůžete najít žádné protokoly, zkuste se podívat do /var/log/messages . Systém do tohoto souboru zapíše protokoly, pokud auditd démon neběží.

Krok 2:Zakažte SELinux

Možnost 1:Dočasně zakázat SELinux

Chcete-li dočasně deaktivovat SELinux, zadejte do terminálu následující příkaz:

sudo setenforce 0

V sudo setenforce 0 , můžete použít povolující místo 0.

Tento příkaz změní režim SELinux z cíleného na povolené .

V povoleném je služba aktivní a kontroluje všechny akce. Nevynucuje však žádné bezpečnostní zásady. Systém zaznamenává AVC zprávy.

Změna je aktivní pouze do příštího restartu. Chcete-li SELinux trvale vypnout, přečtěte si další část článku.

Možnost 2:Trvale deaktivovat SELinux

Chcete-li službu trvale zakázat, použijte textový editor (např. vim nebo nano) a upravte soubor /etc/sysconfig/selinux soubor podle pokynů níže.

1. Otevřete /etc/sysconfig/selinux soubor. Budeme používat vim . Pokud nejste obeznámeni s textovými editory, podívejte se do našeho instruktážního průvodce, jak uložit a ukončit soubor vim.

Pro otevření souboru zadejte následující příkaz:

sudo vi /etc/sysconfig/selinux

2. Změňte nastavení SELINUX=enforcing direktiva na SELINUX=disabled.

3. Uložte upravený soubor.

Restartujte CentOS pro uložení změn

Aby se změna projevila, musíte restartovat systém pomocí příkazu:

sudo shutdown -r now

Po restartu zkontrolujte stav služby a ověřte, že je SELinux zakázán. Použijte příkaz:

sestatus

Stav by měl být deaktivován , jak je vidět na obrázku výše. Systém nenačte žádné zásady SELinux ani nezapíše žádné AVC protokoly.