SELinux : faut-il vraiment le laisser activé ?

Question

Chaque déploiement bloque sur SELinux et l'équipe applicative me demande de le passer en disabled.

Lucas Martin · Accepted Answer

Non : SELinux confine les services (un Apache compromis ne lit pas `/etc/shadow` ni les données d'une autre application). Les blocages viennent presque toujours d'**étiquettes** absentes :

```bash
sudo ausearch -m avc -ts recent
sudo semanage fcontext -a -t httpd_sys_content_t "/srv/site(/.*)?"
sudo restorecon -Rv /srv/site
```

Pour les ports non standards : `semanage port -a -t http_port_t -p tcp 8081`. Et `audit2allow` pour comprendre (pas pour générer aveuglément des règles).

SELinux : faut-il vraiment le laisser activé ?

1 réponse(s)

Votre réponse