SELinuxの無効化方法 設定方法 使い方について

SELinuxは強制アクセス制御(MAC:Mandatory access control)とよばれる管理者による権限管理機能を提供する仕組みのひとつです。FISC(金融情報システムセンター)やNISC(内閣官房情報セキュリティセンター)などのガイドラインには強制アクセス制御に関する規定が存在し、もともとは政府の規定を満たすために作成されたのがSELinuxらしいです。 以上の説明やアットマークITのような経営者向けサイトを見ると、SELinuxは、いかにもコンサルタント様が導入を検討しそうな素晴らしい機能ですが、運用を行うのは至難の業です。 以下、私がSELinuxハンズオン – hbstudy #28に参加した時のメモを記します。何となく読んで頂きSELinuxの運用が如何に難しいかを悟って頂けると幸いです。なお、実務でのお役立ち度は期待しないでください。私がSELinuxを勉強して役

[y-kawaz]

SELinuxは無効化手順だけ覚えとけばOKってじっちゃんが言ってた。

[ritchan]

大体動かないのはSELinuxのせい（震え声）

[aodifaud09]

インストールしたらまずSELINUX=disabledにすると何度も習いました

[bzb05445]

たまにSELinuxを教えてる者ですが、受講した殆どの方は「食わず嫌いだった」とのご感想を持たれますよ？慣れないとメンドウに感じるのはvimも同じ。ポリシー作るのもさほど専門性を必要としない。enforcingで生きましょう

[shikiarai]

誰しもが存在を知っているが、使い方は誰も知らないシステムだと思ってたのに知ってる人がいることが衝撃

[Metaphone]

SELinux から逃げないために（いつから逃げないかは言ってない）

[mumincacao]

独自るーる描いたこともあるけど最近は変な使い方しなきゃ setsebool でだいたい間に合うから使いやすくなった気がするのです（ーω【みかん

[azumi_s]

すぐ無効にするのでまともに使ったことがないので…。

[junglejungle]

デフォでオンにされてて初心者を苦しめる。セキュリティ関連だからオフにしちゃいけないと思い込んで泥沼化。

[hiby]

「SELinux止めた？」「あ」「それだわ」

[bleu-bleut]

セキュリティコンテキストの設定を変更して、拒否されているアクセスを許可する。だけどSELinuxが少し難しい。。。

[hidex7777]

おお、ここまで明確に無効にすべきって言ってくれる人はじめてみた

[richard_raw]

SELinuxは有効にしたことがない……。

[naga_sawa]

SELinux/なぜデフォでONになっているのかという初心者キラー/大抵のインストール記事だと「SELinuxを無効にしておきます」から入る/思想とかモデルがユーザと共有されていないからだと

[o_hiroyuki]

CenntOS

[marmotY]

これは大事。

[hundret]

すぐ無効化するもんだと思って生きてきたけどなんで無効化するのかは考えずに生きてきた / CentOS 基本設定 - SELinux :

[slay-t]

ハマった

[blogger323]

無効化が当然という風潮に驚き。うちの個人ブログですら有効になっている。

[antirosh]

なにかあった時ように

[youhey]

“SELINUX=disabled”これ以外の設定てしたことないもんな。。

[lp008962]

fedora 20のGUIでaudit2allowの具体的な使い方がポップアップされてたけど、名前被ると死ぬのまでは教えてくれなかった。見本のlocal.teとか悪い例で、また誰かが不幸になりそう（ウチのコはmunin-mysql-innodb.teとかにしてた）

[rryu]

内容の半分以上がトラブルシューティングなのがこわい。

[hinaho]

あとでみる

[YarmUI]

“SELinuxの学習が役に立ったのはLPIC 303を受けた時くらいしかありません”

[ya--mada]

あああああ、selinuxで内部統制か。rootで勝手に書き換えるクソ野郎対策になるよね、そーか存在を忘れていた。

[critical_alert]

いつか役に立つかも

[chiku-san]

これ有効にすると何が起きんの？と聞かれたときのためにブクマ

[meganemegane103jp]

このSELINUXの項目の綴りを間違えると再起動したときにkernel panic起こすのです

[knjname]

変更の少ないシステムや、絶対に想定外の操作をさせるわけにはいけない環境といった用途ならサンドボックス的でいいかなあと思いましたけど、やっぱ普通は最初に無効にするでしょうねえ