Diagnose e Corrija Violações de Política do SELinux

Introdução

Como administrador de sistemas, você é responsável por manter a segurança do seu sistema Linux. Uma parte fundamental disso é o gerenciamento do SELinux (Security-Enhanced Linux), um mecanismo de controle de acesso obrigatório que aplica políticas de segurança. Quando um processo tenta realizar uma ação que viola uma política, o SELinux nega a ação e registra uma negação no Access Vector Cache (AVC). Neste desafio, você aprenderá a diagnosticar e resolver uma violação comum de política do SELinux usando ferramentas padrão do RHEL, uma habilidade crítica para o exame RHCSA.

Cenário

Um servidor web em seu sistema deve servir conteúdo dos diretórios home dos usuários (por exemplo, a partir de um diretório ~/public_html). No entanto, os usuários estão relatando que suas páginas web não estão acessíveis e apresentam erros de "Proibido" (Forbidden). Você suspeita que se trata de um problema de SELinux. Sua tarefa é investigar os logs do SELinux, identificar a violação de política e aplicar a correção adequada para permitir que o servidor web funcione conforme o esperado.

Tarefas

Investigar os logs de auditoria do sistema para encontrar negações AVC recentes do SELinux.
Analisar a mensagem de negação para entender qual ação foi bloqueada e qual booleano do SELinux pode resolver o problema.
Modificar o booleano apropriado do SELinux para permitir que o servidor web acesse os diretórios home dos usuários.
Garantir que a alteração da política seja persistente, para que ela sobreviva a uma reinicialização do sistema.

Requisitos

Todos os comandos devem ser executados como o usuário labex. Use sudo onde privilégios administrativos forem necessários.
O booleano do SELinux que você precisa modificar é o httpd_enable_homedirs.
A alteração deve ser feita de forma persistente.

Dicas

Use o comando ausearch para consultar os logs de auditoria. A opção -m avc filtra as mensagens AVC.
Preste muita atenção à saída do ausearch. Ela frequentemente contém sugestões do setroubleshoot sobre como resolver a negação.
O comando setsebool é usado para alterar o valor de um booleano do SELinux. Use a flag -P para tornar a alteração persistente.
Você pode verificar o valor atual de um booleano com o comando getsebool.

Resumo

Neste desafio, você aprendeu a diagnosticar e corrigir uma violação rotineira de política do SELinux. Você praticou o uso do ausearch para inspecionar os logs de auditoria em busca de negações AVC, interpretou a saída para identificar a causa raiz e utilizou o setsebool -P para aplicar uma alteração de política persistente. Dominar este fluxo de trabalho é essencial para gerenciar a segurança do sistema no RHEL e é uma habilidade fundamental testada no exame RHCSA.