SELinux ssh ile RSA anahtarını engeller

Question

Web sitelerimden birinde SELinux'u etkinleştirdiğimi unuttum. Böylece, kullanıcı hesabım ve ssh anahtarımla ana bilgisayara giriş yapmaya gittiğimde, izinlerin reddedildiğini gördüm.

[TimothyDunphy@JEC206429674LM:~] #ssh bluethundr@web1.somedomain.com 
Permission denied (publickey,gssapi-keyex,gssapi-with-mic). 

Hmmm ... Bu yüzden sunucuya konsolide ettik ve giriş yapabildim. Ben denetim günlüklerini kuyruklu ve bu gördüğüm budur:

type=USER_LOGIN msg=audit(1429981690.809:394593): pid=17074 uid=0  auid=4294967295 ses=4294967295 subj=system_u:system_r:sshd_t:s0-s0:c0.c1023  msg='op=login acct="bluethundr" exe="/usr/sbin/sshd" hostname=? addr=47.18.111.100 terminal=ssh res=failed' 

bu cevabını googling ben bu komutu çalıştırmak için tavsiye var:

[root@web1:~] #restorecon -R -v /home/bluethundr/.ssh 
[root@web1:~] # 

Ama yeniden giriş yapmak gittiğinizde Bunu yaptıktan sonra aynı sonucu elde ediyorum. İzin reddedildi ve günlüklerdeki aynı hata.

Düşünebildiğim tek şey, kullanıcının giriş dizininin bir NFS paylaşımından bağlanmasıdır. SSH'nin bir NFS paylaşımındaki ana dizine izin vermek için kullanabileceğim bazı SELinux incantasyonu olabilir mi? Veya belki başka bir şey eksik miyim?

sayesinde Tim

Answer 1

restorecon ise genellikle ilke ihlal ediliyor olanı bulmak için audit2why denemek ve/veya audit2allow, işe yaramadı. Bu, ortaya çıkan politika değişikliği önerilerini uyguladığımı söylemek değil, yalnızca sorunu çözmek için çok iyi bilgilere yol açıyor.

Answer 2

Bingo !! Bu çıkış oldu -w ı audit2why ran

gördüm:

[root@web1:~] #grep ssh /var/log/audit/audit.log | audit2why -w 
Was caused by: 
    The boolean use_nfs_home_dirs was set incorrectly. 
    Description: 
    Allow use to nfs home dirs 

    Allow access by executing: 
    # setsebool -P use_nfs_home_dirs 1 
    type=AVC msg=audit(1429983513.529:394784): avc: denied { read } for pid=19748 comm="sshd" name="authorized_keys" dev="0:40" ino=275968 scontext=system_u:system_r:sshd_t:s0-s0:c0.c1023 tcontext=system_u:object_r:nfs_t:s0 tclass=file 

Yani benim durumda çatlamak izin audit2why kullanmak NFS ve öneri hakkında olma konusunda benim önsezi gibi görünüyor!

[TimothyDunphy@JEC206429674LM:~/creds] #ssh bluethundr@web1.jokefire.com 
Last login: Sat Apr 25 13:41:02 2015 from ool-2f126f64.dyn.optonline.net 
[bluethundr@web1 ~]$ 

Bam !! İşe yarıyor. Yardım ettiğin için teşekkür ederim!