SEARCH
NEW RPMS
DIRECTORIES
ABOUT
FAQ
VARIOUS
BLOG
DONATE


YUM REPOSITORY

 
 

MAN page from OpenSuSE selinux-policy-devel-3.12.1-55.1.noarch.rpm

httpd_selinux

Section: httpd Selinux Policy documentation (8)
Updated: 17 Янв 2005
Index 

НАЗВАНИЕ

httpd_selinux - Политика Security Enhanced Linux для демона httpd 

ОПИСАНИЕ

Security-Enhanced Linux обеспечивает защиту сервера httpd при помощи гибко настраиваемого мандатного контроля доступа.  

КОНТЕКСТ ФАЙЛОВ

SELinux требует наличия у файлов расширенных атрибутов, определяющих тип файла. Политика управляет видом доступа демона к этим файлам.Политика SELinux для демона httpd позволяет пользователям настроить web-службы максимально безопасным методом с высокой степенью гибкости.

Для httpd определены следующие контексты файлов:

httpd_sys_content_t 
- Установите контекст httpd_sys_content_t для содержимого, которое должно быть доступно для всех скриптов httpd и для самого демона.
httpd_sys_script_exec_t  
- Установите контекст httpd_sys_script_exec_t для cgi-скриптов, чтобы разрешить им доступ ко всем sys-типам.
httpd_sys_script_ro_t 
- Установите на файлы контекст httpd_sys_script_ro_t если вы хотите, чтобы скрипты httpd_sys_script_exec_t могли читать данные, и при этом нужно запретить доступ другим не-sys скриптам.
httpd_sys_script_rw_t 
- Установите на файлы контекст httpd_sys_script_rw_t если вы хотите, чтобы скрипты httpd_sys_script_exec_t могли читать и писать данные, и при этом нужно запретить доступ другим не-sys скриптам.
httpd_sys_script_ra_t 
- Установите на файлы контекст httpd_sys_script_ra_t если вы хотите, чтобы скрипты httpd_sys_script_exec_t могли читать и добавлять данные, и при этом нужно запретить доступ другим не-sys скриптам.
httpd_unconfined_script_exec_t  
- Установите на cgi-скрипты контекст httpd_unconfined_script_exec_t если вы хотите разрешитьим исполняться без какой-либо защиты SELinux. Такой способ должен использоваться только дляскриптов с очень комплексными требованиями, и только в случае, если все остальные варианты настройки не дали результата. Лучше использовать скрипты с контекстом httpd_unconfined_script_exec_t, чем выключать защиту SELinux для httpd.

 

ЗАМЕЧАНИЕ

Вместе с некоторыми политиками, вы можете определить дополнительные контексты файлов, основанныена ролях, таких как user или staff. Может быть определен контекст httpd_user_script_exec_t, который будет иметь доступ только к "пользовательским" контекстам.

 

СОВМЕСТНОЕ ВЛАДЕНИЕ ФАЙЛАМИ

Если вы хотите организовать между несколькими доменами (Apache, FTP, rsync, Samba) совместныйдоступ к файлам, то вы можете установить контекст файлов в public_content_t и public_content_rw_t.Данный контекст позволяет любому из выше перечисленных демонов читать содержимое.Если вы хотите, чтобы конкретный домен имел право записи в домен public_content_rw_t, вы должныустановить соответствующий переключатель allow_ДОМЕН_anon_write. Таким образом, для httpd вы должны выполнить команду:

setsebool -P allow_httpd_anon_write=1

или

setsebool -P allow_httpd_sys_script_anon_write=1

 

ПЕРЕКЛЮЧАТЕЛИ (BOOLEANS)

Политика SELinux настроена исходя из принципа наименьших привилегий. Таким образом,по умолчанию SELinux препятствует работе некоторых http-скриптов. Политика httpd весьмагибка, и существующие переключатели управляют политикой, позволяя httpd выполнятьсяс наименее возможными правами доступа.

Если вы хотите, чтобы httpd мог исполнять cgi-скрипты, установите переключатель httpd_enable_cgi

setsebool -P httpd_enable_cgi 1

По умолчанию демону httpd не разрешен доступ в домашние дерикториии пользователей. Если вы хотите разрешить доступ, вам необходимо установить переключатель httpd_enable_homedirs и изменить контексттех файлов в домашних директориях пользователей, к которым должен быть разрешен доступ.

setsebool -P httpd_enable_homedirs 1chcon -R -t httpd_sys_content_t ~user/public_html

По умолчанию демон httpd не имеет доступ к управляющему терминалу. В большинстве случаев такоеповедение является предпочтительным. Это связанно с тем, что злоумышленник может попытатьсяиспользовать доступ к терминалу для получения привилегий. Однако, в некоторых ситуациях демонhttpd должен выводить запрос пароля для открытия файла сертификата и в таких случаях нужен доступк терминалу. Для того, чтобы разрешить доступ к терминалу, установите переключатель httpd_tty_comm.

setsebool -P httpd_tty_comm 1

httpd может быть настроен так, чтобы не разграничивать тип доступа к файлу на основании контекста.Иными словами, ко всем файлам, имеющим контекст httpd разрешен доступ на чтение/запись/исполнение. Установка этого переключателя в false, позволяет настроить политику безопасности таким образом,что одина служба httpd не конфликтует с другой.

setsebool -P httpd_unified 0

Имеется возможность настроить httpd таким образом, чтобы отключить встроенную поддержку скриптов (PHP). PHP и другие загружаемые модули работают в том же контексте, что и httpd.Таким образом, если используются только внешние cgi-скрипты, некоторые из правил политикиразрешают httpd больший доступ к системе, чем необходимо.

setsebool -P httpd_builtin_scripting 0

По умолчанию httpd-скриптам запрещено устанавливать внешние сетевые подключения. Это не позволит хакеру, взломавшему ваш httpd-сервер, атаковать другие машины.Если вашим скриптам необходимо иметь возможность подключения, установите переключательhttpd_can_network_connect

setsebool -P httpd_can_network_connect 1

Для управления настройками SELinux существует графическая утилита system-config-selinux. 

АВТОРЫ    

Эту страницу руководства написал Dan Walsh <dwalshAATTredhat.com>.
Перевод руководства - Андрей Маркелов <andreyAATTmarkelov.net>, 2007г.

 

СМОТРИ ТАКЖЕ

selinux(8), httpd(8), chcon(1), setsebool(8)


 

Index

НАЗВАНИЕ
ОПИСАНИЕ
КОНТЕКСТ ФАЙЛОВ
ЗАМЕЧАНИЕ
СОВМЕСТНОЕ ВЛАДЕНИЕ ФАЙЛАМИ
ПЕРЕКЛЮЧАТЕЛИ (BOOLEANS)
АВТОРЫ    
СМОТРИ ТАКЖЕ

This document was created byman2html,using the manual pages.