except_4

Условия разрешения доменного перехода:

Первоначальный домен должен иметь право execute на файл

allow user_t passwd_exec_t : file {execute getattr};

В контексте файла должен быть определен entrypoint к целевому домену

allow passwd_t passwd_exec_t : file entrypoint;

Первоначальный домен должен иметь разрешение переходить в целевой домен.

allow user_t passwd_t : process transition;

Зачем? Пример: изменение пароля: если доменный тип user_t будет иметь возможность читать и записывать в файл с паролями, тогда любая программа сможет просматривать и изменять этот файл. Мы хотим, чтобы только программа с доменом passwd_t имела к нему доступ.

Копирование и перемещение файла внутри и за пределы файловой системы.

Если копировать файлы с помощью команды cp, то файл унаследует контекст безопасности от директории, в которую его копируют, поскольку он создает новый файл в целевой директории. С помощью опции –Z можно задать лэйбл (тип) файлу: –Z user:role:type. Пример:

cp -Z user_u:object_r:user_home_t foo /tmp/

Чтобы сохранить текущий контекст используется

cp –preserve=context

--context используется чтобы изменить контекст безопасности копии.

Cp –contest=system_u:object_r:samba_share_t:s0 file1 file2

При перемещении с помощью mv файлы сохраняют свой текущий контекст безопасности.

Перемещение файлов и директорий и помощью mv может привести к неправильному контексту безопасности, лучше копировать.