SELinuxを無効化していいのか

レン

設定が合ってるはずなのに動かなくて、調べたら「SELinuxを無効にする」って出てきた。やっていいの？

プロクラ

その手順、確かによく出てくるんだ。無効にすれば動くのも本当。でも、それは鍵を掛けずに家を出れば鍵を探さなくて済む、という話に近いよ。

何をしている仕組みなのか

この仕組みは、プログラムができることを権限とは別の層で制限しています。乗っ取られたときの被害を、その範囲に閉じ込めるための備えです。無効にすれば目の前のエラーは消えますが、閉じ込める仕組みごと外すことになります。動かない理由を調べるほうが、結果的に安く済みます。

プロクラ

通常のファイル権限は「誰が読み書きできるか」を決めるよね。SELinuxはその上に、「どのプログラムが、どの種類のファイルを触ってよいか」という制限をかける。

• Webサーバーは、Web用のファイルしか触れない
• たとえ権限上は読めるファイルでも、種類が違えば拒否される
• つまり、乗っ取られたときに被害が広がりにくい
• 普通のファイル権限とは別の層で働いている

ウィルスン

…これがあると厄介でな。Webサーバーに入り込んでも、そこから他のファイルへ手を伸ばせない。無効にしておいてくれると、大変ありがたいのだが。

無効にする前に試すこと

プロクラ

動かない原因がこれだと分かったなら、無効にする以外の手もある。多くの場合、設定を1つ足すだけで済むんだ。

• 拒否の記録を見る（何を拒否したかが具体的に残っている）
• そのファイルに、正しい種類の指定を付け直す
• 用意されている許可の設定を有効にする（よくある用途は網羅されている）
• 記録から、必要な許可を作る仕組みもある

プロクラ

1つめが出発点だよ。拒否の記録には「どのプログラムが、どのファイルに、何をしようとして断られたか」が書かれている。それを読めば、必要な設定が分かる。

一時的に切って確かめる

プロクラ

本当にこれが原因かを確かめたいなら、完全に無効にするのではなく、記録だけを取るモードに切り替える方法があるよ。拒否せず記録だけ残すので、原因の特定に使える。

• 記録のみのモードに一時的に切り替える
• それで動くなら、原因はこれで確定
• 残った記録から、必要な設定を作る
• 設定を入れたら、元のモードへ戻す

それでも無効にするなら

プロクラ

時間が無い、どうしても解決しない、という場面はある。その場合でも、判断したうえで無効にするのと、意味を知らずに無効にするのは違うよ。

• 無効にした理由と日付を、メモに残す
• 他の守りを厚くする（権限の最小化、更新の徹底）
• 後で見直せるよう、課題として残しておく
• Ubuntu系には同種の別の仕組みがある。そちらも同じ考え方

レン

無効にする前に、記録を見るんだね。何を拒否したか書いてあるなら読める。

詰まりやすい典型例

プロクラ

初めて当たる場面は、だいたい決まっているよ。先に知っておけば「これか」と気づける。

• Webサーバーの公開場所を、既定と違う場所に変えたとき
• Webサーバーから、外部のサービスへ接続させたいとき
• 待ち受けるポート番号を、既定から変更したとき
• アップロード先のディレクトリを、別の場所に用意したとき