8:25 a.m.
Hi,
ich möchte kiscsiadmin ausführen, doch verhindert SELinux dies.
Aus der messages:
kernel: audit(1147437820.079:13): avc: denied { execmod } for
pid=1252 comm="kiscsiadm.bin" name="libiscsi.so.1" dev=dm-1
ino=5925118
scontext=user_u:system_r:unconfined_t:s0
tcontext=system_u:object_r:lib_t:s0 tclass=file
Wie kann ich die Policy anpassen, das kiscsiadm.bin die libiscsi.so.1
ausführen darf?
Gruß
Jawid
--
Jawid Mahmoodzada <jwd(a)groovekultur.de>
8:49 a.m.
Jawid Mahmoodzada schrieb:
Hi,
ich möchte kiscsiadmin ausführen, doch verhindert SELinux dies.
Aus der messages:
kernel: audit(1147437820.079:13): avc: denied { execmod } for
pid=1252 comm="kiscsiadm.bin" name="libiscsi.so.1" dev=dm-1
ino=5925118
scontext=user_u:system_r:unconfined_t:s0
tcontext=system_u:object_r:lib_t:s0 tclass=file
Wie kann ich die Policy anpassen, das kiscsiadm.bin die libiscsi.so.1
ausführen darf?
Ich würde nen Bugzilla Eintrag machen, und hoffen, das die Devs
das
Problem schnell beheben.
Gruß
Heiko
10 a.m.
On Fri, 2006-05-12 at 15:25 +0200, Jawid Mahmoodzada wrote:
Hi,
ich möchte kiscsiadmin ausführen, doch verhindert SELinux dies.
Aus der messages:
kernel: audit(1147437820.079:13): avc: denied { execmod } for
pid=1252 comm="kiscsiadm.bin" name="libiscsi.so.1" dev=dm-1
ino=5925118
scontext=user_u:system_r:unconfined_t:s0
tcontext=system_u:object_r:lib_t:s0 tclass=file
Wie kann ich die Policy anpassen, das kiscsiadm.bin die libiscsi.so.1
ausführen darf?
Vielleicht falscher Kontex, probier mal:
chcon system_u:object_r:texrel_shlib_t /path/to/libiscsi.so.1
Nils
--
Nils Philippsen / Red Hat / nphilipp(a)redhat.com
"Those who would give up Essential Liberty to purchase a little Temporary
Safety, deserve neither Liberty nor Safety." -- B. Franklin, 1759
PGP fingerprint: C4A8 9474 5C4C ADE3 2B8F 656D 47D8 9B65 6951 3011
5:15 a.m.
Am Freitag, den 12.05.2006, 15:25 +0200 schrieb Jawid Mahmoodzada:
Wie kann ich die Policy anpassen, das kiscsiadm.bin die
libiscsi.so.1
ausführen darf?
1. eine Policy generieren die erlaubt was verboten wurde (wird aus
den
logs interpretiert)
audit2allow -m local -l -i /var/log/messages
2. dann (die aushabe von oben in eine Datei umlenken > local.te):
checkmodule -M -m -o local.mod local.te
3. Policy Package generieren
semodule_package -o local.pp -m local.mod
4. Policy an den "richtigen" Aufenthaltsort kopieren
cp local.pp /usr/share/selinux/targeted/
5. Policy in den Kernel aufnehmen
semodule -i /usr/share/selinux/targeted/local.pp
WICHTIG: Bitte genau ansehen was unter Punkt 1. ausgegeben wird. Evtl
sind dort unnütze oder ungewünschte Regeln mit enthalten. Man würde
sonst unnötige Rechte erteilen. Es gibt viele Programme die versuchen
über mehrere Wege ihr Ziel zu erreichen. Ich empfehle dennoch das
Selinux Handbuch zu lesen.
Daniel
10:28 a.m.
New subject: HD Label
Hallo,
ich wollte mein Fedora 3 auf Fedora 5 updaten, jedoch beschwert es sich,
dass mehrer Disks den gleich LABEL haben. Das ist soweit auch richtig,
da ich den Label nicht benutze. Jetzt wollte ich den Label mit e2label
ändern, aber nach einem neustart hat die Partition wieder den alten.
Wo wird der LABEL gesetzt?
Gruss
Stefan
10:36 a.m.
New subject: HD Label
Am Sonntag, den 14.05.2006, 17:28 +0200 schrieb Stefan Reiss:
Hallo,
ich wollte mein Fedora 3 auf Fedora 5 updaten, jedoch beschwert es sich,
dass mehrer Disks den gleich LABEL haben. Das ist soweit auch richtig,
da ich den Label nicht benutze. Jetzt wollte ich den Label mit e2label
ändern, aber nach einem neustart hat die Partition wieder den alten.
Wo wird der LABEL gesetzt?
Mit tune2fs ("man tune2fs"), etwa:
$ sudo /sbin/tune2fs -L label-foo /dev/bar
CU
thl
--
Thorsten Leemhuis <fedora(a)leemhuis.info>
10:57 a.m.
New subject: HD Label
Habe es jetzt noch mal so mit tune2fs gemacht, aber nach einem reboot
ist der alte Label wieder da :-((
Gruss
Stefan
Thorsten Leemhuis wrote:
Am Sonntag, den 14.05.2006, 17:28 +0200 schrieb Stefan Reiss:
>Hallo,
>
>ich wollte mein Fedora 3 auf Fedora 5 updaten, jedoch beschwert es sich,
>dass mehrer Disks den gleich LABEL haben. Das ist soweit auch richtig,
>da ich den Label nicht benutze. Jetzt wollte ich den Label mit e2label
>ändern, aber nach einem neustart hat die Partition wieder den alten.
>Wo wird der LABEL gesetzt?
>
>
Mit tune2fs ("man tune2fs"), etwa:
$ sudo /sbin/tune2fs -L label-foo /dev/bar
CU
thl
10:58 a.m.
New subject: HD Label
Habe ich jetzt so gemacht, aber nach einem reboot ist der alte Label
wieder da :-((
Thorsten Leemhuis wrote:
Am Sonntag, den 14.05.2006, 17:28 +0200 schrieb Stefan Reiss:
>Hallo,
>
>ich wollte mein Fedora 3 auf Fedora 5 updaten, jedoch beschwert es sich,
>dass mehrer Disks den gleich LABEL haben. Das ist soweit auch richtig,
>da ich den Label nicht benutze. Jetzt wollte ich den Label mit e2label
>ändern, aber nach einem neustart hat die Partition wieder den alten.
>Wo wird der LABEL gesetzt?
>
>
Mit tune2fs ("man tune2fs"), etwa:
$ sudo /sbin/tune2fs -L label-foo /dev/bar
CU
thl
11:05 a.m.
New subject: HD Label
War das Dateisystem auch unmountet?
Schaue mal nach, ob in einem script das Label geändert wird.
8:15 a.m.
On Fri, 2006-05-12 at 15:25 +0200, Jawid Mahmoodzada wrote:
Hi,
ich möchte kiscsiadmin ausführen, doch verhindert SELinux dies.
Aus der messages:
kernel: audit(1147437820.079:13): avc: denied { execmod } for
pid=1252 comm="kiscsiadm.bin" name="libiscsi.so.1" dev=dm-1
ino=5925118
scontext=user_u:system_r:unconfined_t:s0
tcontext=system_u:object_r:lib_t:s0 tclass=file
Wie kann ich die Policy anpassen, das kiscsiadm.bin die libiscsi.so.1
ausführen darf?
setsebool allow_execmod=1
und danach einen Bugzilla Eintrag für kisciadmin, da das Programm
fehlerhaft arbeitet.
Happy Day.
--
Thorsten Scherf, RHCE, RHCA, RHCSS Mobile: ++49 172 61 32 548
Red Hat GLS EMEA Fax: ++49 2064 470 564
7:10 a.m.
On Mon, 2006-05-15 at 16:29 +0200, Daniel Rindt wrote:
Am Montag, den 15.05.2006, 15:15 +0200 schrieb Thorsten Scherf:
> setsebool allow_execmod=1
>
> und danach einen Bugzilla Eintrag für kisciadmin, da das Programm
> fehlerhaft arbeitet.
wäre es nicht besser nur explizit es diesem Programm zu erlauben?
Wie man es der Library erlauben kann, habe ich in diesem Thread schon
mal geschrieben.
Ciao,
Nils
--
Nils Philippsen / Red Hat / nphilipp(a)redhat.com
"Those who would give up Essential Liberty to purchase a little Temporary
Safety, deserve neither Liberty nor Safety." -- B. Franklin, 1759
PGP fingerprint: C4A8 9474 5C4C ADE3 2B8F 656D 47D8 9B65 6951 3011
6548
days inactive
6553
days old
de-users@lists.fedoraproject.org
11 comments
9 participants
participants (9)
-
Daniel Rindt -
Daniel Rindt -
Frank Büttner -
Heiko Adams -
Jawid Mahmoodzada -
Nils Philippsen -
Stefan Reiss -
Thorsten Leemhuis -
Thorsten Scherf