¿Cómo consigo SELinux para permitir Apache y Samba en la misma carpeta?

En la configuración que tengo, deseo permitir que samba y apache accedan a / var / www. Puedo establecer un contexto para permitir el acceso a samba, pero luego httpd no tiene acceso. El uso de setenforce a 0 elimina los problemas, así que sé que es SELinux.

Además: ¿Cómo puedo ver el contexto de una carpeta, y puede una carpeta tener múltiples contextos?

(CentOS)

apache-2.2 centos samba selinux Joshua Enfield
fuente

¿Has intentado usar la opción booleana de system-config-selinux?

Respuestas:

En primer lugar, puede ver el contexto de algo con ls usando ls -Z

[root@servername www]# ls -dZ /var/www
drwxr-xr-x  root root system_u:object_r:httpd_sys_content_t /var/www

En segundo lugar, hay dos opciones para dar acceso a Samba y Apache al mismo directorio.

La manera simple es permitir el acceso de lectura / escritura de samba a todas partes con:

setsebool -P samba_export_all_rw 1

Es simple, fácil y no se mete con ninguna propiedad extraña de SELinux.

Si le preocupa que Samba tenga acceso completo a todos los directorios y solo quiera cambiar / var / www, intente:

chcon -t public_content_rw_t /var/www
setsebool -P allow_smbd_anon_write 1
setsebool -P allow_httpd_anon_write 1

Esto permitirá el acceso de escritura de Samba y Apache a cualquier directorio con el contexto public_content_rw_t. Tenga en cuenta que chcon solo está modificando / var / www. Cualquier directorio nuevo creado en / var / www será public_content_rw_t, pero no los directorios existentes como / var / www / html o / var / www / manual. Si desea cambiar todo, agregue un -R a chcon:

chcon -R -t public_content_rw_t /var/www

Puede consultar esta página wiki de CentOS para obtener pistas sobre otros booleanos de SELinux.

David
fuente

Intenté esto y se queja de que un contexto ya está definido.

Joshua Enfield

Tienes razón, parece que las cosas han cambiado desde la última vez que me metí con SELinux. Actualizaré mi respuesta con algunas otras opciones.

David

@Dave me salvaste el trasero. Nos vemos en el trabajo mañana.

Joel E Salas

Quería mencionar que si su raíz web está anidada en un recurso compartido de samba, también necesitará establecer el contexto en los directorios principales. Por ejemplo:chcon -t public_content_rw_t /mnt/share/webroot(/.*)? chcon -t public_content_rw_t /mnt/share

Greg Sheremeta

Gracias, estaba luchando con algo similar pero con ftp, y todo funciona después de hacerlosetsebool -P ftpd_full_access=1

giorgiline

SHARING FILES
   If you want to share files with multiple domains (Apache,  FTP,  rsync,
   Samba),  you can set a file context of public_content_t and public_content_rw_t.
   These context allow any of the above domains  to  read  the
   content.   If  you want a particular domain to write to the public_con‐
   tent_rw_t   domain,   you   must   set   the    appropriate    boolean.
   allow_DOMAIN_anon_write.  So for samba you would execute:

       setsebool -P allow_smbd_anon_write=1

http://fedoraproject.org/wiki/SELinux/samba

Por ejemplo:

semanage fcontext -a -t public_content_rw_t '/var/www(/.*)?'
restorecon -R /var/www
setsebool -P allow_smbd_anon_write 1

hm2k
fuente