Your visual how-to guide for SELinux policy enforcement 日本語訳

衛星経由で監視されてるハムスター🐹 @rioriost

（承前）典型例は仮想マシンだ。仮想マシンを大量に実行しているサーバがあって、そのどれかがハックされた場合、ハックされた仮想マシンが他の仮想マシンやそのイメージを攻撃するのを防止したい。

衛星経由で監視されてるハムスター🐹 @rioriost

（承前）しかしType EnforcementのシステムではKVMの仮想マシンはsvirt_tとラベル付けされ、イメージはsvirt_image_tとラベル付けされる。

衛星経由で監視されてるハムスター🐹 @rioriost

（承前）そしてルールとしては、svirt_tはsvirt_image_tとラベル付けされたコンテンツと読み・書き・削除できる。

衛星経由で監視されてるハムスター🐹 @rioriost

（承前）libvirtでは、Type Enforcementによる分離だけではなく、MCSによる分離も実装している。libvirtが仮想マシンを実行する際には、s0:c1,c2のようなランダムなMCSラベルを選び出し、svirt_image_t:s0:c1を割り当てる。

衛星経由で監視されてるハムスター🐹 @rioriost

（承前）c2というラベルは仮想マシンが管理する必要が出てくる全てのコンテンツに割り当てられる。

衛星経由で監視されてるハムスター🐹 @rioriost

（承前）最終的に、svirt_t:s0:c1,c2として仮想マシンは実行される。そして、SELinuxのカーネルは、svirt_t:s0:c1,c2がsvirt_image_t:s0:c3,c4には書けないように制御する。

衛星経由で監視されてるハムスター🐹 @rioriost

（承前）これは仮想マシンがハッカーによって制御され乗っ取られている場合でさえだ。もちろんrootとして実行されていても、である。

衛星経由で監視されてるハムスター🐹 @rioriost

長いな、これwww

衛星経由で監視されてるハムスター🐹 @rioriost

（承前）OpenShiftでも同じ分離を利用している。それぞれのgear（ユーザ/アプリケーションプロセス）は同じSELinuxのタイプ（openshift_t）で動作する。

衛星経由で監視されてるハムスター🐹 @rioriost

（承前）ポリシーはgearのタイプのアクセス制御のルールと、ユニークなMCSのラベルを定義することで、あるgearが他のgearに影響しないように担保する。

衛星経由で監視されてるハムスター🐹 @rioriost

（承前）この短いビデオでは、OpenShiftのgearがrootになった時に何が起きるかを見られる。

衛星経由で監視されてるハムスター🐹 @rioriost

（承前）MLS Enforcement SELinuxの強制の他の形として、あまり使われることはないけれど、Multi Level Security（MLS）がある。遡ること60年代に開発され、Trusted Solarisのようなtrusted OSで主に使われている。

衛星経由で監視されてるハムスター🐹 @rioriost

（承前）MLS Enforcement SELinuxの強制の他の形として、あまり使われることはないけれど、Multi Level Security（MLS）がある。遡ること60年代に開発され、Trusted Solarisのようなtrusted OSで主に使われている。

衛星経由で監視されてるハムスター🐹 @rioriost

（承前）柱となる考え方は、利用されるデータのラベルに応じてプロセスを制御する、というものだ。「秘密」のプロセスは、「極秘」のデータを読むことが出来ない。

衛星経由で監視されてるハムスター🐹 @rioriost

（承前）柱となる考え方は、利用されるデータのラベルに応じてプロセスを制御する、というものだ。「秘密」のプロセスは、「極秘」のデータを読むことが出来ない。