Nastavte režim vynucení SELinux pomocí Ansible

Doporučuje se zajistit, aby byl Security-Enhanced Linux (SELinux) spuštěn v režimu vynucování režimu na všech vašich systémech. Někteří lidé ve vaší organizaci jej však mohou nastavit na povolenou režimu (nebo v horším případě vypnuto ) spíše než odstraňovat a opravovat problémy. Musíte jej resetovat zpět do režimu vynucení a ujistit se, že všichni hostitelé jsou nakonfigurováni podobně. Ansible je vaše řešení.

[ Také by se vám mohlo líbit: Přístup k dokumentaci zásad SELinux ]

K nastavení režimu vynucení použijte Ansible

Následující příručka umožňuje SELinux a používá přiložený targeted zásady:

---
- hosts: all
  tasks:
  - name: Enable SELinux in enforcing mode
    ansible.posix.selinux:
      policy: targeted
      state: enforcing

Aby tato příručka fungovala, musíte mít nainstalovaný balíček ansible-collection-ansible-posix. Můžete jej nainstalovat pomocí správce balíčků. Například na Fedoře nebo Red Hat Enterprise Linux:

$ sudo dnf install ansible-collection-ansible-posix

Tuto příručku nazvěte selinux_enforceing.yml. Následující cronjob z /etc/crontab spouští tuto příručku jednou denně v 6:45:

# /etc/crontab: system-wide crontab
 
SHELL=/bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
 

45 6 * * * root ansible-playbook selinux_enforcing.yml

Nyní si můžete být jisti, že režimy SELinux budou resetovány na vynucování na všech spravovaných uzlech, na které je tato příručka použita.

Sbalit

I když může být užitečné dočasně nastavit SELinux na permisivní režimu pro počáteční řešení problémů, pravděpodobně to porušuje vaše podnikové bezpečnostní zásady. Někdy administrátoři nechají povolený režim na místě, ať už úmyslně nebo náhodně. Můžete použít Ansible, abyste zajistili, že SELinux je nastaven na režim vynucení pro všechny spravované uzly.

[ Zlepšete své dovednosti ve správě a používání SELinux pomocí tohoto užitečného průvodce. ]