PostgreSQLでCOPYを使う時のSELinux設定を教えてもらった

ishikawa84g @ishikawa84g

@kazuhisa1976 おー。よかったです。やや長いですが、解説してもいいですか？

Yamamoto Kazuhisa @kazuhisa1976

@ishikawa84g ぜひお願いします。

ishikawa84g @ishikawa84g

@kazuhisa1976 PostgreSQLがpostgresql_t というドメインで動いているはずです(ps axZ|grep postgres)。このドメインがファイルを open search getattr できるディレクトリでなければファイルを読むことが出来ません

ishikawa84g @ishikawa84g

@kazuhisa1976 初め、HOMEDIR にファイルを置いていました。ここを postgresql_t が参照することはできません。確認方法は「sesearch -A -C -s postgresql_t -t user_home_t -c file」

Yamamoto Kazuhisa @kazuhisa1976

@ishikawa84g はい。確認しました。

ishikawa84g @ishikawa84g

@kazuhisa1976 ディレクトリの search 権限が与えられていないため、Permission Denied となっていました。さらに初めにログが抑止されているかも、といった通りディレクトリに対するログ抑止の設定が入っていました。

ishikawa84g @ishikawa84g

@kazuhisa1976 具体的には /home/USER が持つ user_home_dir_t に対する拒否ログ抑止です。確認方法は sesearch --dontaudit -s postgresql_t -t user_home_dir_t

ishikawa84g @ishikawa84g

@kazuhisa1976 semaange dontaudit off して貰うことで解決することで解決が早まったはずなのですが、なぜログ出力が回復しなかったかは不明です。。

ishikawa84g @ishikawa84g

@kazuhisa1976 postgresql_t からファイルを読めるようにする一番早い方法は既にアクセス許可が与えられているファイルコンテキスト(ラベル)を与えるです。

ishikawa84g @ishikawa84g

@kazuhisa1976 /var/lib/pgsql/data への移動 ＆ restorecon がまさにそれで、postgresql_t が参照できる postgresql_db_t のファイルコンテキストを hogehoge.csv に与えました。

ishikawa84g @ishikawa84g

@kazuhisa1976 こうすることで、PostgreSQL のデーモンが CSV ファイルを読み込めるようになった。というわけです。

Yamamoto Kazuhisa @kazuhisa1976

@ishikawa84g 今回はcsvファイルが毎日更新されるのですが大丈夫でしょうか？ディレクトリに対してアクセス権を与えることができますかね？

ishikawa84g @ishikawa84g

@kazuhisa1976 /home 以下に取得し続ける場合はポリシーを自作追加する必要があります。また、セキュリティ的に弱くなります。

ishikawa84g @ishikawa84g

@kazuhisa1976 おすすめはどこかに新規のディレクトリを作り、postgresql_db_t を与えるのが良いと思います。

ishikawa84g @ishikawa84g

@kazuhisa1976 たとえば、mkdir /csv ; semanage fcontext -a -t postgresql_db_t "/csv(/.*)?" ; restorecon -RFv /csv

Yamamoto Kazuhisa @kazuhisa1976

@ishikawa84g なるほど。/home以外のディレクトリを作成してそこにファイルを置くようにすべきということですね。

ishikawa84g @ishikawa84g

@kazuhisa1976 ですね。/home はそもそも見れないので諦めるかﾋｬｯﾊｰ!!ｷｮｶﾀﾞｰ!!と許可するしかないです。

ishikawa84g @ishikawa84g

@kazuhisa1976 こうしている理由は、PostgreSQL が乗っ取られた場合、権限のないファイルを読ませないようにするためです。psql の中からファイルオープンコマンドが使えますので、SELinux ではこれの影響範囲を絞りたいと考えています。

Yamamoto Kazuhisa @kazuhisa1976

@ishikawa84g お、今/csvをls -Zで確認してみたら system_u:object_r:postgresql_db_tになってますね。

ishikawa84g @ishikawa84g

そこに作ったファイルは postgresql_db_t が付くはずです。

ishikawa84g @ishikawa84g

@kazuhisa1976 ただし、mv だとラベルを保持したまま移動してくるのでダメですｗ

ishikawa84g @ishikawa84g

これとぅぎゃっておいたら役に立つ？＜PostgreSQL が CSV ファイルを読めない件( vs SELinux)

Yamamoto Kazuhisa @kazuhisa1976

@ishikawa84g おおお。/csvにhogehoge.csvをコピーして取り込むとうまく行きました！これが正しい姿なのですね！

ishikawa84g @ishikawa84g

@kazuhisa1976 そこは運用ポリシーにもよりますが、大体そんな感じです。笑

Yamamoto Kazuhisa @kazuhisa1976

@ishikawa84g 初めてSELinuxの設定を行いました。実行中のプログラムが何のラベルを使ってるかはps axZコマンドで確認して、適切なファイルやフォルダにsemanageでラベルを付けていくという感じでしょうか？