Mysql SELinux

Question

Nhân Linux, thông qua Mô-đun bảo mật Linux (LSM), hỗ trợ Linux tăng cường bảo mật (SELinux). Mô-đun này cung cấp một cách để hỗ trợ các chính sách kiểm soát truy cập bắt buộc. SELinux xác định cách các quy trình hạn chế tương tác với các tệp, cổng mạng, thư mục, các quy trình khác và các thành phần máy chủ bổ sung

Nội dung chính Show

Ví dụ ngữ cảnh SELinux
Liệt kê các loại hoặc tên miền SELinux được liên kết với các tệp
Chế độ SELinux
Các loại chính sách
Kiểm tra chế độ SELinux
Vô hiệu hóa SELinux
Các công cụ SELinux bổ sung
Chuyển chế độ trong file cấu hình
Chuyển chế độ cho đến lần khởi động lại tiếp theo
Chuyển chế độ cho một dịch vụ
Dán nhãn lại toàn bộ hệ thống tập tin
Đặt thư mục Dữ liệu tùy chỉnh
Đặt vị trí nhật ký tùy chỉnh
Đặt thư mục system_u:system_r:mysqld_t:s0 3356 ? 00:00:01 mysqld 05
SELinux dùng để làm gì?
Chế độ SELinux là gì?
SELinux đang thực thi điều gì?
Thư mục SELinux Linux là gì?

Chính sách SELinux xác định bộ quy tắc,

$ grep ^SELINUX= /etc/selinux/config

3 cho tệp và

$ grep ^SELINUX= /etc/selinux/config

4 cho quy trình. Các quy tắc xác định cách một quy trình tương tác với một loại khác. SELinux quyết định cho phép hay từ chối một hành động dựa trên ngữ cảnh của chủ thể, đối tượng nào bắt đầu hành động và đối tượng nào là mục tiêu của hành động

Nhãn thể hiện bối cảnh cho quản trị viên và người dùng

CentOS 7 và CentOS 8 chứa chính sách MySQL SELinux. Máy chủ Percona dành cho MySQL là sự thay thế tùy chọn cho MySQL và có thể sử dụng chính sách này mà không cần thay đổi

Ví dụ ngữ cảnh SELinux

Để xem bối cảnh SELinux, hãy thêm công tắc

$ grep ^SELINUX= /etc/selinux/config

5 vào nhiều tiện ích. Đây là một ví dụ về bối cảnh cho

$ grep ^SELINUX= /etc/selinux/config

6

$ ps -eZ | grep mysqld_t

Đầu ra sẽ giống như sau

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

Bối cảnh có các thuộc tính sau

Người dùng - system_u
Vai trò - system_r
Loại hoặc tên miền - mysqld_t
Mức độ nhạy - s0 3356

Hầu hết các quy tắc chính sách của SELinux đều dựa trên loại hoặc miền

Liệt kê các loại hoặc tên miền SELinux được liên kết với các tệp

Thuộc tính bảo mật mà SELinux dựa vào là thuộc tính bảo mật Type. Tên loại thường kết thúc bằng một

$ grep ^SELINUX= /etc/selinux/config

7. Một nhóm các đối tượng có cùng loại giá trị bảo mật thuộc cùng một miền

Để xem các loại

$ grep ^SELINUX= /etc/selinux/config

8 được liên kết với các thư mục và tệp MySQL, hãy chạy lệnh sau

________số 8

Đầu ra sẽ giống như sau

drwxr-x--x. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-files
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-keyring

Ghi chú

Nếu một loại chính sách không xác định thuộc tính loại cho một đối tượng, giá trị mặc định là

$ grep ^SELINUX= /etc/selinux/config

9

Chế độ SELinux

SELinux có các chế độ sau

Đã tắt - Không có mô-đun chính sách SELinux nào được tải, điều này sẽ vô hiệu hóa các chính sách. Không có gì được báo cáo
Cho phép - SELinux đang hoạt động, nhưng các mô-đun chính sách không được thực thi. Một vi phạm chính sách được báo cáo nhưng không dừng hành động
Thực thi - SELinux đang hoạt động và các vi phạm được báo cáo và từ chối. Nếu không có quy tắc nào cho phép truy cập vào tài nguyên hạn chế, SELinux sẽ từ chối quyền truy cập

Các loại chính sách

SELinux có một số loại chính sách

Nhắm mục tiêu - Hầu hết các quy trình hoạt động mà không bị hạn chế. Các dịch vụ cụ thể được chứa trong các miền bảo mật và được xác định bởi các chính sách
Nghiêm ngặt - Tất cả các quy trình được chứa trong miền bảo mật và được xác định bởi chính sách

SELinux đã giới hạn các quy trình chạy trong một miền và hạn chế mọi thứ trừ khi được cho phép rõ ràng. Một quy trình không bị giới hạn trong một miền không bị giới hạn được phép truy cập gần như tất cả

MySQL là một quy trình hạn chế và mô-đun chính sách xác định tệp nào được đọc, cổng nào được mở, v.v. SELinux giả sử Máy chủ Percona để cài đặt MySQL sử dụng vị trí tệp mặc định và cổng mặc định

Nếu bạn thay đổi mặc định, bạn cũng phải chỉnh sửa chính sách. Nếu bạn không cập nhật chính sách, SELinux, ở chế độ thực thi, sẽ từ chối quyền truy cập vào tất cả các tài nguyên không mặc định

Kiểm tra chế độ SELinux

Để kiểm tra chế độ SELinux hiện tại, hãy sử dụng một trong các lệnh sau

$ grep ^SELINUX= /etc/selinux/config

1

Đầu ra sẽ giống như sau

$ grep ^SELINUX= /etc/selinux/config

2

hoặc

$ grep ^SELINUX= /etc/selinux/config

Đầu ra sẽ giống như sau

$ grep ^SELINUX= /etc/selinux/config

4

Ghi chú

Thêm tham số

$ grep ^SELINUX= /etc/selinux/config

40 vào

$ grep ^SELINUX= /etc/selinux/config

41 để hiển thị

$ grep ^SELINUX= /etc/selinux/config

42. Các giá trị boolean cho từng tham số được hiển thị. Một ví dụ về việc sử dụng tham số

$ grep ^SELINUX= /etc/selinux/config

43 như sau

$ grep ^SELINUX= /etc/selinux/config

9

Đầu ra sẽ giống như sau

$ grep ^SELINUX= /etc/selinux/config

0

Tệp

$ grep ^SELINUX= /etc/selinux/config

44 kiểm soát xem SELinux bị tắt hay bật và nếu được bật, liệu SELinux có hoạt động ở chế độ thực thi hay chế độ cho phép hay không

Vô hiệu hóa SELinux

Nếu bạn định sử dụng chế độ thực thi vào thời điểm khác, hãy sử dụng chế độ cho phép thay vì tắt SELinux. Trong thời gian SELinux bị vô hiệu hóa, hệ thống có thể chứa các đối tượng bị dán nhãn sai hoặc các đối tượng không có nhãn. Nếu bạn bật lại SELinux và định đặt SELinux ở chế độ thực thi, bạn phải làm theo các bước để Dán nhãn lại toàn bộ hệ thống tệp

Khi khởi động, để tắt SELinux, hãy đặt tùy chọn kernel

$ grep ^SELINUX= /etc/selinux/config

45. Hạt nhân không tải cơ sở hạ tầng SELinux. Tùy chọn này có tác dụng tương tự như thay đổi hướng dẫn

$ grep ^SELINUX= /etc/selinux/config

46 trong tệp cấu hình và sau đó khởi động lại hệ thống

Các công cụ SELinux bổ sung

Cài đặt các công cụ quản lý SELinux, chẳng hạn như

$ grep ^SELINUX= /etc/selinux/config

47 hoặc

$ grep ^SELINUX= /etc/selinux/config

48, nếu cần

Trên RHEL 7 hoặc các hệ điều hành tương thích, sử dụng lệnh sau với quyền root

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

0

Trên RHEL 8 hoặc các hệ điều hành tương thích, sử dụng lệnh sau với quyền root

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

1

Ghi chú

Bạn có thể cần quyền root để chạy các lệnh quản lý SELinux

Chuyển chế độ trong file cấu hình

Chuyển đổi giữa các chế độ có thể hữu ích khi khắc phục sự cố hoặc khi sửa đổi quy tắc

Để thay đổi chế độ vĩnh viễn, hãy chỉnh sửa tệp

$ grep ^SELINUX= /etc/selinux/config

44 và thay đổi giá trị

$ grep ^SELINUX= /etc/selinux/config

90. Bạn cũng nên xác minh sự thay đổi

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

2

Đầu ra sẽ giống như sau

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

3

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

4

Đầu ra sẽ giống như sau

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

5

Khởi động lại hệ thống của bạn sau khi thay đổi

Nếu chuyển từ chế độ bị vô hiệu hóa hoặc chế độ cho phép sang chế độ thực thi, hãy xem Dán nhãn lại toàn bộ hệ thống tệp

Chuyển chế độ cho đến lần khởi động lại tiếp theo

Để thay đổi chế độ cho đến lần khởi động lại tiếp theo, hãy sử dụng một trong các lệnh sau với quyền root

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

6

hoặc

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

7

Ghi chú

Các thông số

$ grep ^SELINUX= /etc/selinux/config

91 sau đây khả dụng

tham số thiết lập

thiết lập tham số thực thiCũng được phép0Cho phép1Thực thi

Bạn có thể xem chế độ hiện tại bằng cách chạy một trong các lệnh sau

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

8

Đầu ra sẽ giống như sau

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

9

hoặc

$ ls -laZ /var/lib/ | grep mysql

0

Đầu ra sẽ giống như sau

$ ls -laZ /var/lib/ | grep mysql

1

Chuyển chế độ cho một dịch vụ

Bạn có thể di chuyển một hoặc nhiều dịch vụ vào miền cho phép. Các dịch vụ khác vẫn ở chế độ thực thi

Để thêm dịch vụ vào miền cho phép, hãy chạy phần sau với quyền root

$ ls -laZ /var/lib/ | grep mysql

2

Để liệt kê các miền cho phép hiện tại, hãy chạy lệnh sau

$ ls -laZ /var/lib/ | grep mysql

3

Để xóa một dịch vụ khỏi miền cho phép, hãy chạy như sau

$ ls -laZ /var/lib/ | grep mysql

4

Dịch vụ trở về chế độ SELinux của hệ thống. Đảm bảo làm theo các bước để Dán nhãn lại toàn bộ hệ thống tệp

Dán nhãn lại toàn bộ hệ thống tập tin

Chuyển từ vô hiệu hóa hoặc cho phép sang thực thi yêu cầu các bước bổ sung. Chế độ thực thi yêu cầu ngữ cảnh hoặc nhãn chính xác để hoạt động. Chế độ cho phép cho phép người dùng và quy trình gắn nhãn tệp và đối tượng hệ thống không chính xác. Chế độ bị vô hiệu hóa không tải cơ sở hạ tầng SELinux và không gắn nhãn tài nguyên hoặc quy trình

RHEL và các hệ thống tương thích, hãy sử dụng ứng dụng

$ grep ^SELINUX= /etc/selinux/config

92 để dán nhãn lại. Bạn có thể dán nhãn lại toàn bộ hệ thống tệp hoặc ngữ cảnh tệp của một ứng dụng

Đối với một ứng dụng, hãy chạy lệnh sau

$ ls -laZ /var/lib/ | grep mysql

5

Để dán nhãn lại hệ thống tệp mà không cần khởi động lại hệ thống, hãy sử dụng lệnh sau

$ ls -laZ /var/lib/ | grep mysql

6

Một tùy chọn khác gắn lại hệ thống tệp trong khi khởi động lại. Bạn có thể thêm tệp cảm ứng, đọc trong quá trình khởi động lại hoặc định cấu hình tham số khởi động kernel. Việc hoàn thành thao tác dán nhãn lại sẽ tự động xóa tệp cảm ứng

Thêm tệp cảm ứng dưới dạng root

$ ls -laZ /var/lib/ | grep mysql

7

Để định cấu hình kernel, hãy thêm tham số kernel

$ grep ^SELINUX= /etc/selinux/config

93 vào danh sách tham số khởi động. Tham số buộc dán nhãn lại hệ thống. Khởi động lại ở chế độ cho phép để cho phép quá trình hoàn tất trước khi chuyển sang thực thi

Ghi chú

Dán nhãn lại toàn bộ hệ thống tập tin cần có thời gian. Khi việc dán nhãn lại hoàn tất, hệ thống sẽ khởi động lại

Đặt thư mục Dữ liệu tùy chỉnh

Nếu bạn không sử dụng cài đặt mặc định, SELinux, ở chế độ thực thi, sẽ ngăn truy cập vào hệ thống

Ví dụ: trong quá trình cài đặt, bạn đã sử dụng cấu hình sau

$ ls -laZ /var/lib/ | grep mysql

8

Khởi động lại dịch vụ

$ ls -laZ /var/lib/ | grep mysql

9

Đầu ra có thể như sau

drwxr-x--x. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-files
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-keyring

0

Kiểm tra nhật ký tạp chí để xem mã lỗi

drwxr-x--x. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-files
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-keyring

1

Đầu ra có thể như sau

drwxr-x--x. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-files
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-keyring

2

Kiểm tra các loại SELinux trong

$ grep ^SELINUX= /etc/selinux/config

94

drwxr-x--x. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-files
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-keyring

3

Đầu ra có thể như sau

$ grep ^SELINUX= /etc/selinux/config

95

Để giải quyết vấn đề, hãy sử dụng các phương pháp sau

Đặt nhãn thích hợp cho tệp
```
$ grep ^SELINUX= /etc/selinux/config
```
96
Thay đổi chính sách mysqld SELinux để cho phép mysqld truy cập vào các tệp
```
$ grep ^SELINUX= /etc/selinux/config
```
97

Giải pháp được đề xuất là đặt nhãn thích hợp. Quy trình sau đây giả định rằng bạn đã tạo và đặt quyền sở hữu cho vị trí thư mục dữ liệu tùy chỉnh

Để thay đổi bối cảnh SELinux, hãy sử dụng
```
$ grep ^SELINUX= /etc/selinux/config
```
98. Trong bước này, bạn xác định cách SELinux xử lý các đường dẫn tùy chỉnh
```
drwxr-x--x. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-files
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-keyring
```
4
SELinux áp dụng cùng một lược đồ ghi nhãn, được xác định trong chính sách mysqld, cho thư mục
```
$ grep ^SELINUX= /etc/selinux/config
```
99 cho thư mục tùy chỉnh. Các tệp được tạo trong thư mục tùy chỉnh được gắn nhãn như thể chúng ở trong
```
$ grep ^SELINUX= /etc/selinux/config
```
99

Để lệnh

$ grep ^SELINUX= /etc/selinux/config

01 áp dụng thay đổi

drwxr-x--x. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-files
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-keyring

5

Khởi động lại dịch vụ mysqld

drwxr-x--x. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-files
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-keyring

6

Đặt vị trí nhật ký tùy chỉnh

Nếu bạn không sử dụng cài đặt mặc định, SELinux, ở chế độ thực thi, sẽ ngăn truy cập vào vị trí. Thay đổi vị trí nhật ký thành một vị trí tùy chỉnh trong của tôi. cnf

drwxr-x--x. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-files
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-keyring

7

Xác minh vị trí nhật ký bằng lệnh sau

drwxr-x--x. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-files
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-keyring

8

Đầu ra có thể là

drwxr-x--x. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-files
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-keyring

9

Khởi động MySQL trả về thông báo sau

$ grep ^SELINUX= /etc/selinux/config

10

Đầu ra có thể là

$ grep ^SELINUX= /etc/selinux/config

11

Chính sách SELinux mặc định cho phép mysqld ghi nhật ký vào một vị trí được gắn thẻ

$ grep ^SELINUX= /etc/selinux/config

02, đó là vị trí

$ grep ^SELINUX= /etc/selinux/config

03. Bạn có thể giải quyết vấn đề bằng một trong các phương pháp sau

Gắn thẻ vị trí
```
$ grep ^SELINUX= /etc/selinux/config
```
04 đúng cách
Chỉnh sửa chính sách SELinux để cho phép mysqld truy cập vào tất cả các thư mục

Để gắn thẻ vị trí

$ grep ^SELINUX= /etc/selinux/config

04 tùy chỉnh là phương pháp được đề xuất vì nó khóa quyền truy cập. Chạy các lệnh sau để gắn thẻ vị trí tùy chỉnh

$ grep ^SELINUX= /etc/selinux/config

12

Bạn không thể thay đổi nhãn thư mục

$ grep ^SELINUX= /etc/selinux/config

04. Ví dụ: các ứng dụng khác, có quy tắc riêng, sử dụng cùng một thư mục

Để điều chỉnh chính sách SELinux khi một thư mục được chia sẻ, hãy làm theo các bước sau

Tạo chính sách cục bộ
```
$ grep ^SELINUX= /etc/selinux/config
```
13
Lệnh này tạo my-mysqld. te và my-mysqld. tập tin pp. mysqld. te là tệp chính sách thực thi loại. My-mysqld. pp là mô-đun chính sách được tải dưới dạng tệp nhị phân vào hệ thống con SELinux
Một ví dụ về my-myslqd. tập tin
```
$ grep ^SELINUX= /etc/selinux/config
```
14
Chính sách chứa các quy tắc cho thư mục dữ liệu tùy chỉnh và thư mục nhật ký tùy chỉnh. Chúng tôi đã đặt các nhãn thích hợp cho vị trí thư mục dữ liệu và việc áp dụng chính sách được tạo tự động này sẽ nới lỏng sự cứng rắn của chúng tôi bằng cách cho phép mysqld truy cập các thẻ
```
$ grep ^SELINUX= /etc/selinux/config
```
97
Các sự kiện do SELinux tạo được chuyển đổi thành quy tắc. Chính sách được tạo có thể chứa các quy tắc cho các vi phạm gần đây và bao gồm các quy tắc không liên quan. Các quy tắc không liên quan được tạo ra từ các hành động, chẳng hạn như thay đổi vị trí thư mục dữ liệu, không liên quan đến thư mục nhật ký. Thêm tham số
```
$ grep ^SELINUX= /etc/selinux/config
```
08 để sử dụng các sự kiện nhật ký sau một thời gian cụ thể để lọc ra các sự kiện không mong muốn. Tham số này ghi lại các sự kiện khi dấu thời gian bằng với thời gian đã chỉ định hoặc muộn hơn. SELinux tạo chính sách cho các hành động hiện tại
```
$ grep ^SELINUX= /etc/selinux/config
```
15
Chính sách này cho phép ghi mysqld vào các thư mục được gắn thẻ. Mở tệp my_mysqld
```
$ grep ^SELINUX= /etc/selinux/config
```
16
Cài đặt mô-đun chính sách SELinux
```
$ grep ^SELINUX= /etc/selinux/config
```
17

Khởi động lại dịch vụ. Nếu bạn gặp lỗi, hãy kiểm tra nhật ký nhật ký và làm theo quy trình tương tự

Nếu SELinux ngăn mysql tạo tệp nhật ký bên trong thư mục. Bạn có thể xem tất cả các vi phạm bằng cách thay đổi chế độ SELinux thành

$ grep ^SELINUX= /etc/selinux/config

09 và sau đó chạy mysqld. Tất cả các vi phạm được ghi vào nhật ký tạp chí. Sau lần chạy này, bạn có thể tạo một mô-đun chính sách cục bộ, cài đặt nó và chuyển SELinux trở lại chế độ

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

00. Thực hiện theo thủ tục này

Dỡ bỏ mô-đun chính sách my-mysqld cục bộ hiện tại
```
$ grep ^SELINUX= /etc/selinux/config
```
18
Bạn có thể đặt một tên miền vào chế độ cho phép. Các tên miền khác trên hệ thống vẫn ở chế độ thực thi. Sử dụng
```
system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld
```
01 với tham số
```
system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld
```
02 để thay đổi mysqld_t sang chế độ cho phép
```
$ grep ^SELINUX= /etc/selinux/config
```
19

Xác minh thay đổi chế độ

$ grep ^SELINUX= /etc/selinux/config

20

Đầu ra có thể là

$ grep ^SELINUX= /etc/selinux/config

21

Để tìm kiếm nhật ký dễ dàng hơn, hãy trả lại thời gian
```
$ grep ^SELINUX= /etc/selinux/config
```
22
Bắt đầu dịch vụ
```
$ grep ^SELINUX= /etc/selinux/config
```
23

MySQL bắt đầu và SELinux ghi lại các vi phạm trong nhật ký tạp chí. Kiểm tra nhật ký nhật ký

drwxr-x--x. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-files
drwxr-x---. mysql   mysql   system_u:object_r:mysqld_db_t:s0 mysql-keyring

1

Dừng dịch vụ
```
$ grep ^SELINUX= /etc/selinux/config
```
25
Tạo chính sách mysqld cục bộ, sử dụng thời gian được trả về từ bước 4
```
$ grep ^SELINUX= /etc/selinux/config
```
26
Xem lại chính sách (chính sách bạn tạo có thể khác)
```
$ grep ^SELINUX= /etc/selinux/config
```
27
Đầu ra có thể là
```
$ grep ^SELINUX= /etc/selinux/config
```
28
Cài đặt chính sách
```
$ grep ^SELINUX= /etc/selinux/config
```
17

Sử dụng

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

01 với tham số

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

04, tham số này sẽ xóa miền cho phép đối với dịch vụ

$ grep ^SELINUX= /etc/selinux/config

0

Khởi động lại dịch vụ
```
$ grep ^SELINUX= /etc/selinux/config
```
23

Ghi chú

Sử dụng quy trình này để điều chỉnh mô-đun chính sách mysqld cục bộ. Bạn nên xem lại các thay đổi được tạo để đảm bảo các quy tắc không quá khoan dung

Đặt thư mục system_u:system_r:mysqld_t:s0 3356 ? 00:00:01 mysqld 05

Cập nhật các thẻ SELinux cho thư mục

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

06, được sử dụng cho

system_u:system_r:mysqld_t:s0    3356 ?        00:00:01 mysqld

07 hoặc các hoạt động tương tự, nếu cần. Máy chủ chỉ cần truy cập đọc/ghi vào thư mục đích

SELinux dùng để làm gì?

Linux được tăng cường bảo mật (SELinux) là kiến trúc bảo mật dành cho các hệ thống Linux® cho phép quản trị viên có nhiều quyền kiểm soát hơn đối với những người có thể truy cập hệ thống. It was originally developed by the United States National Security Agency (NSA) as a series of patches to the Linux kernel using Linux Security Modules (LSM).

Chế độ SELinux là gì?

SELinux hoạt động theo nguyên tắc từ chối mặc định. Bất cứ điều gì không được phép rõ ràng đều bị từ chối. SELinux có thể hoạt động ở hai chế độ toàn cầu. Chế độ cho phép, trong đó việc từ chối cấp phép được ghi lại nhưng không được thực thi. Chế độ thực thi, trong đó cả việc từ chối quyền đều được ghi lại và thực thi .

SELinux đang thực thi điều gì?

Được giới thiệu lần đầu trong Android 4. 3 Jelly Bean và được đặt ở chế độ Thực thi làm mặc định kể từ Android 4. 4 KitKat, SELinux giúp thực thi quyền kiểm soát truy cập và cố gắng ngăn chặn các cuộc tấn công leo thang đặc quyền

Thư mục SELinux Linux là gì?

Linux được tăng cường bảo mật (SELinux) là kiến trúc bảo mật được tích hợp vào 2. 6. nhân x sử dụng Mô-đun bảo mật Linux (LSM) . Đây là một dự án của Cơ quan An ninh Quốc gia Hoa Kỳ (NSA) và cộng đồng SELinux.

programming mysql