SElinux CentOs

[wynni]

Hallo ...

habe heute eAccelerator (php Beschleuniger) auf einem Webserver installiert.

Die eaccelerator.ini ist so konfiguriert das der Cache auf /tmp zeigt. Die Berechtigung für /tmp (ich sehe jetzt dort auch lauter eaccelerator.xxxx..xxxx Files) so vergeben das der User apache auch schreiben darf.

Doch leider sehe ich folgenden Fehler in der Logdatei:



Oct 11 14:04:44 www kernel: audit(1160568284.392:0): avc: denied { read write } for pid=17423 exe=/bin/bash path=/tmp/eaccelerator.apache2handler17350.sem.mxA9Gd (deleted) dev=sda6 ino=45 scontext=root:system_r:httpd_sys_script_t tcontext=root:object_r:httpd_tmp_t tclass=file


P.S. Ich denke hat mit SELinux zu tun... nun ja... kenn mich da nicht so aus!!!


Kannst mir jemand weiterhelfen??

Grüsse
wynni

 

[theton]

Entweder du deaktivierst SELinux per Boot-Parameter oder du änderst die Policy/ACL für den /tmp-Ordner.

 

[wynni]

?

mh... und wie mach ich das ? Kannst du mir vielleicht kurz schreiben wie das funktioniert?

Vielen Dank

wynni

 

[theton]

Zum Ändern der Policies lese dir bitte die SELinux-Doku durch:

http://www.nsa.gov/selinux/info/docs.cfm

Das ist meiner Meinung nach zu komplex um das hier im einzelnen zu erläutern, vor allem weil ich nicht weiss welche Rollen in Fedora schon eingerichtet sind u.ä..
Weiss nicht, ob Fedora den Kernel-Parameter noselinux oder selinux=1/0 verbaut hat, aber ich tippe mal auf zweiteres. Also einfach mal als zusätzlichen Kernel-Parameter (in der /boot/grub/menu.lst an die anderen anhängen)

selinux=0

verwenden.

 

[wynni]

!!! Danke

... habe ich was gefunden:

in der /etc/sysconfig/selinux
folgenden Parameter auf disabled geändert!
SELINUX=<enforcing|permissive|disabled>

wynni

 

[theton]

Oder halt so.

Problem bei SELinux ist, dass jede Distro das anders einrichtet. Mit dem Boot-Parameter wird halt der Kernel direkt angewiesen den SELinux-Support nicht zu laden. Im sysconfig wird's wohl eher dafür sorgen, dass SELinux innerhalb des Systems nicht genutzt wird.

Viele Wege führen nach Rom und noch mehr zu SELinux.