[ << ] [ < ] [ Sommaire ] [ > ] [ >> ]

3. Installer les outils SELinux

• Installer les paquets SELinux
• Choisir le type de politique
• Installer des paquets modifiés pour SELinux
• Installer les politiques de sécurité applicatives
• Étiqueter les systèmes de fichiers
• Redémarrage final

3.a. Installer les paquets SELinux

Installez les bibliothèques, les utilitaires et les politiques de base. La version des politiques peut éventuellement être ajustée, référez-vous à la vue d'ensemble de SELinux pour plus d'informations sur les versions des politiques. Enfin, chargez les politiques.

# emerge checkpolicy policycoreutils
# FEATURES=-selinux emerge selinux-base-policy

3.b. Choisir le type de politique

Depuis la version 2006.1, les utilisateurs ont maintenant la possibilité de choisir entre une politique stricte ou une politique ciblée.

Avec la politique stricte, tous les processus sont confinés. Si vous êtes familier avec la politique Gentoo SELinux datant d'avant 2006.1, cette politique était stricte. La politique stricte est suggérée pour les serveurs. Gentoo ne supporte pas la politique stricte sur un système de bureau.

La politique ciblée est différente, seuls les processus avec un accès au réseau sont confinés. Gentoo ne supporte les stations de travail qu'avec la politique ciblée. Cette politique peut aussi être utilisée sur des serveurs.

Éditez le fichier /etc/selinux/config pour définir le type de politique.

# This file controls the state of SELinux on the system on boot.

# SELINUX can take one of these three values:
#       enforcing - SELinux security policy is enforced.
#       permissive - SELinux prints warnings instead of enforcing.
#       disabled - No SELinux policy is loaded.
SELINUX=permissive (Vous devez mettre permissive pour le reste de l'installation.)

# SELINUXTYPE can take one of these two values:
#       targeted - Only targeted network daemons are protected.
#       strict - Full SELinux protection.
SELINUXTYPE=strict (Choisissez strict ou targeted.)

3.c. Installer des paquets modifiés pour SELinux

Plusieurs paquets systèmes contiennent des modifications pour SELinux. Ces modifications fournissent diverses fonctionnalités supplémentaires pour SELinux, comme par exemple l'affichage du contexte des fichiers.

# emerge sysvinit pam coreutils findutils openssh procps psmisc shadow util-linux python-selinux

D'autres paquets disposent de modifications pour SELinux, mais ils sont optionnels. Les paquets suivants doivent être réinstallés s'ils sont déjà présents sur le système, afin que les modifications concernant SELinux soient appliquées :

• app-admin/logrotate
• sys-apps/fcron
• sys-apps/vixie-cron
• sys-fs/device-mapper
• sys-fs/udev
• sys-libs/pwdb

3.d. Installer les politiques de sécurité applicatives

À l'avenir, lorsque vous installerez un paquet, la politique de sécurité correspondante sera installée avant, en tant que dépendance. Mais pour le moment, dans notre processus de conversion du système, il nous reste à installer les politiques applicatives des paquets que l'on a déjà installés. Selinux-base-policy comprend déjà les politiques de la majorité des paquets du profil system.

Regardez dans le répertoire /usr/portage/sec-policy, chaque entrée correspond à une politique. La convention de nommage est selinux-NOMPAQUET, où NOMPAQUET est le nom du paquet auquel est associée la politique de sécurité. Par exemple, le paquet selinux-apache est le paquet qui contient la politique de sécurité SELinux pour le paquet net-www/apache. Installez chacune des politiques désirées et chargez-les. Si vous installez une station de travail, n'oubliez pas le paquet selinux-desktop.

# ls /usr/portage/sec-policy
(Liste des répertoires...)

# emerge selinux-apache selinux-bind

3.e. Étiqueter les systèmes de fichiers

Maintenant, étiquetez les systèmes de fichiers. Cela assigne une étiquette de sécurité à chaque fichier contenu dans le système de fichiers. Il est important de garder ces étiquettes dans un état cohérent.

# rlpkg -a -r

# grub

grub> root (hd0,0) (Votre partition contenant /boot.)
grub> setup (hd0) (Où sera installé Grub. Ici dans le secteur d'amorçage.)

3.f. Redémarrage final

Redémarrez, connectez-vous, puis ré-étiquetez tous les fichiers encore une fois pour vous assurez que tous les fichiers sont étiquetés (certains fichiers ont pu être créés pendant l'arrêt et le redémarrage du système).

# rlpkg -a -r

SELinux est maintenant installé !

[ << ] [ < ] [ Sommaire ] [ > ] [ >> ]

Ce document est protégé par la licence Creative Commons : Paternité - Partage des Conditions Initiales à l'Identique 2.5.