BIND9 DLZ AppArmorとSELinux統合 - 版の履歴

Meisina04: /* AppArmorの設定： */

2019-03-07T02:58:23Z

AppArmorの設定：

← 古い版		2019年3月7日 (木) 11:58時点における版
51行目:		51行目:
	<code>/etc/apparmor.d/local/usr.sbin.named</code>（もしファイルがない場合は作成してください）に以下を追加		<code>/etc/apparmor.d/local/usr.sbin.named</code>（もしファイルがない場合は作成してください）に以下を追加

	~~<pre>~~# Samba4 DLZ and Active Directory Zones (default source installation)		# Samba4 DLZ and Active Directory Zones (default source installation)
	/usr/local/samba/lib/** rm,		/usr/local/samba/lib/** rm,
	/usr/local/samba/private/dns.keytab r,		/usr/local/samba/private/dns.keytab r,
	/usr/local/samba/private/named.conf r,		/usr/local/samba/private/named.conf r,
	/usr/local/samba/private/dns/** rwk,</~~pre>~~		/usr/local/samba/private/dns/** rwk,
			/usr/local/samba/etc/smb.conf r,

	加えて、一部のディストリビューションでは、追加のパスが必要になる場合があります。詳細については、AppArmorのログを確認して下さい。		加えて、一部のディストリビューションでは、追加のパスが必要になる場合があります。詳細については、AppArmorのログを確認して下さい。

63行目:		65行目:

	<pre>/var/tmp/** rwmk,</pre>		<pre>/var/tmp/** rwmk,</pre>
	Sambaを使用しているUbuntu 14.04.3 LTSでも見つかっています。バージョン4.1.17（ソースからビルドされています）とBIND 9.9.5-3ubuntu0.5-Ubuntuでは、さらに追加する必要があります。

	~~<pre>/usr~~/~~local~~/~~samba~~/~~etc~~/~~smb.conf r~~,~~</pre>~~		Ubuntu 16.04 LTSでは、 /dev/urandom が使用されていることが判明したため、更にエントリが必要です。

			/dev/urandom rw,

Meisina04: /* AppArmorの設定： */

2018-03-23T04:33:43Z

AppArmorの設定：

← 古い版		2018年3月23日 (金) 13:33時点における版
71行目:		71行目:


	---		----
	[[~~Categories~~:AppArmor]]		[[Category:AppArmor]]
			[[Category:SELinux]]
			[[Category:DNS]]

Meisina04: /* AppArmorの設定： */

2018-03-23T04:32:09Z

AppArmorの設定：

← 古い版		2018年3月23日 (金) 13:32時点における版
66行目:		66行目:

	<pre>/usr/local/samba/etc/smb.conf r,</pre>		<pre>/usr/local/samba/etc/smb.conf r,</pre>





			---
			[[Categories:AppArmor]]

Meisina04: ページの作成:「== AppArmorまたはSELinuxとの相互作用 == samba_dnsupdateとnsupdateが'return dns_tkey_negotiategss: TKEY is unacceptable'を返してきた場合は、次を試...」

2018-03-23T04:31:16Z

ページの作成:「== AppArmorまたはSELinuxとの相互作用 == samba_dnsupdateとnsupdateが'return dns_tkey_negotiategss: TKEY is unacceptable'を返してきた場合は、次を試...」

新規ページ

== AppArmorまたはSELinuxとの相互作用 ==

samba_dnsupdateとnsupdateが'return dns_tkey_negotiategss: TKEY is unacceptable'を返してきた場合は、次を試してみてください：

AppArmorまたはSELinuxを使用している場合は、BINDプロセスが次のファイルへの読み取りアクセス権を持っていることを確認する必要がありま
す。

* /usr/local/samba/private/dns.keytab
* /usr/local/samba/private/named.conf

同様に読み書き可能なアクセス権として

* /usr/local/samba/private/dns/

ディレクトリとそれ自身のゾーンファイルです。

Sambaのプロビジョニングでは、これらのファイルのアクセス権を正しく設定しようとしていますが、いずれかを実行している場合は、AppArmor
またはSELinuxの設定を変更する必要があります。 AppArmorを使用している場合は、 'aa-logprof'コマンドを使用して、SambaとBINDを設定した後初めて追加する必要がある不足しているアクセス権を追加できます。

== パーミッション、SELinuxラベリングとポリシー ==

これらの手順はRHEL6を対象としていますが、他のディストリビューション/バージョンのガイドとしても役立つかもしれません。

Samba4固有のSELinuxポリシーの作成に関してはまだまだ多くの作業が必要ですが、SELinuxを無効にしなくてもすべての作業を実行できるはずです。

以下のすべてのコマンドについて、次の環境変数を設定していることを確認してください。

<pre>MYREALM="samdom.example.com"</pre>
パーミッションをセット(SELinux)：

<pre>chown named:named /usr/local/samba/private/dns
chgrp named /usr/local/samba/private/dns.keytab
chmod g+r /usr/local/samba/private/dns.keytab
chmod 775 /usr/local/samba/private/dns</pre>
ファイルにラベルをつける(SELinux)：

<pre>chcon -t named_conf_t /usr/local/samba/private/dns.keytab
chcon -t named_conf_t /usr/local/samba/private/named.conf.update
chcon -t named_var_run_t /usr/local/samba/private/dns
chcon -t named_var_run_t /usr/local/samba/private/dns/${MYREALM}.zone</pre>
永続的なラベルをつける(SELinux)：

<pre>semanage fcontext -a -t named_conf_t /usr/local/samba/private/dns.keytab
semanage fcontext -a -t named_conf_t /usr/local/samba/private/named.conf
semanage fcontext -a -t named_conf_t /usr/local/samba/private/named.conf.update
semanage fcontext -a -t named_var_run_t /usr/local/samba/private/dns
semanage fcontext -a -t named_var_run_t /usr/local/samba/private/dns/${MYREALM}.zone
semanage fcontext -a -t named_var_run_t /usr/local/samba/private/dns/${MYREALM}.zone.jnl</pre>
== AppArmorの設定： ==

<code>/etc/apparmor.d/local/usr.sbin.named</code>（もしファイルがない場合は作成してください）に以下を追加

<pre># Samba4 DLZ and Active Directory Zones (default source installation)
/usr/local/samba/lib/** rm,
/usr/local/samba/private/dns.keytab r,
/usr/local/samba/private/named.conf r,
/usr/local/samba/private/dns/** rwk,</pre>
加えて、一部のディストリビューションでは、追加のパスが必要になる場合があります。詳細については、AppArmorのログを確認して下さい。

例えば：

Ubuntu14.04.1 LTSでは、BINDが<code>/var/tmp/DNS_110</code>などのファイルを作成しようとしていたので、さらにエントリが必要でした：

<pre>/var/tmp/** rwmk,</pre>
Sambaを使用しているUbuntu 14.04.3 LTSでも見つかっています。バージョン4.1.17（ソースからビルドされています）とBIND 9.9.5-3ubuntu0.5-Ubuntuでは、さらに追加する必要があります。

<pre>/usr/local/samba/etc/smb.conf r,</pre>