Desactivar SELinux para determinados servicios (permissive mode)

En esta entrada vamos a ver la forma de configurar SELinux para trabajar en modo permisivo de forma selectiva, concretamente indicando qué procesos queremos que trabajen en modo permisivo cuando a nivel global la configuración es enforcing.

Si usamos la terminología correcta, debemos hablar de configurar determinados dominios de SELinux en modo permisivo, ya que los procesos se ejecutan dentro de estos dominios. Nos guste o no, SELinux es todo un mundo así que no voy a profundizar mucho en el tema pues la entrada sería interminable. El que no odie SELinux (jaja) puede indagar por su cuenta.

Lo primero que nos interesa es saber la lista de dominios disponibles, para ello ejecutaremos el siguiente comando:

Nota: para utilizar el comando seinfo hay que instalar el paquete setools-console

[root@centos6 ~]# yum install setools-console

[root@centos6 ~]# seinfo -adomain -x | less
   domain
      sosreport_t
      git_session_t
      cfengine_execd_t
      bootloader_t
      netutils_t
      qmail_tcp_env_t
      devicekit_power_t
      httpd_collectd_script_t
      sandbox_x_client_t
      nova_api_t
      sblim_reposd_t
      dkim_milter_t
      virt_qemu_ga_unconfined_t
      admin_crontab_t
      consolekit_t
      nova_compute_t
      nova_console_t
      pam_console_t
      zarafa_gateway_t
      policykit_grant_t
      logrotate_t
      openvswitch_t
      update_modules_t
      ssh_keysign_t
      nova_network_t
      qmail_rspawn_t
      uml_switch_t
      qmail_inject_t
      qmail_lspawn_t
[...]

Para configurar un dominio en modo permisivo ejecutamos el comando semanage permissive -a domain, donde domain es el dominio que queremos modificar. Por ejemplo, podemos configurar Apache para que SELinux trabaje con sus procesos en modo permisivo en lugar de enforcing:

Nota: para utilizar el comando semanage hay que instalar los paquetes policycoreutils-python y policycoreutils

[root@centos6 ~]#  semanage permissive -a httpd_t

Si listamos con semodule o seinfo los dominios en modo permisivo aparecerá Apache:

[root@centos6 ~]#  semodule -l | grep permissive
permissive_httpd_t      1.0
permissivedomains       1.0.0

[root@centos6 ~]# seinfo --permissive | grep http
   httpd_t

Si en algún momento se quiere revertir el cambio ejecutamos semanage de la misma forma que para añadir pero con el parámetro -d, siempre como root:

[root@centos6 ~]#  semanage permissive -d httpd_t