Einleitung
Dieses Dokument beschreibt den Fehler, der ausgelöst wird, wenn die SELinux-Richtlinie auf dem System verhindert, dass der Connector die Systemaktivität überwacht.
Hintergrundinformationen
Der Connector erfordert, dass diese Regel in der Richtlinie für sicheres Enterprise Linux (SELinux) festgelegt wird, wenn SELinux aktiviert ist, und im Erzwingungsmodus:
allow unconfined_service_t self:bpf { map_create map_read map_write prog_load prog_run };
Diese Regel ist in der SELinux-Standardrichtlinie auf Red Hat-basierten Systemen nicht vorhanden. Der Connector versucht, diese Regel durch die Installation des SELinux-Richtlinienmoduls cisco-secure-bpf während einer Installation oder eines Upgrades hinzuzufügen. Der Fehler wird ausgelöst, wenn cisco-secure-bpf kann nicht installiert und geladen werden oder ist deaktiviert. Der Benutzer wird über einen Fehler 19, wie in der Liste der Cisco Secure Endpoint Linux Connector-Fehler beschrieben, informiert, wenn dieser Fehler durch den Connector ausgelöst wird.
Geltungsbereich
Dieser Fehler kann nach einer Neuinstallation oder einem Upgrade des Connectors oder nach einer Änderung der SELinux-Richtlinie des Systems ausgelöst werden.
Betriebssysteme
- Red Hat Enterprise Linux 7
- CentOS 7
- Oracle Linux (RHCK/UEK) 7
Anschlussvarianten
Auflösung
Es gibt zwei Möglichkeiten, diesen Fehler zu beheben:
- Installieren Sie den Steckverbinder neu, oder aktualisieren Sie ihn.
- Ändern Sie die SELinux-Richtlinie manuell.
Installationsabhängigkeit
Beide Methoden erfordern das auf dem System installierte Paket "policycoreutils-python", um das Richtlinienmodul SELinux zu erstellen und zu laden. Führen Sie diesen Befehl aus, um dieses Paket zu installieren.
yum install policycoreutils-python
Installieren Sie den Anschluss neu, oder aktualisieren Sie ihn.
Ein SELinux-Richtlinienmodul mit dem Namen cisco-secure-bpf wird installiert, um die erforderliche Änderung der SELinux-Richtlinie während einer Installation oder eines Upgrades des Connectors bereitzustellen. Führen Sie für diese Auflösungsmethode eine standardmäßige Neuinstallation oder Aktualisierung des Steckverbinders durch.
Ändern Sie die SELinux-Richtlinie manuell.
Ein Systemadministrator muss manuell ein SELinux-Richtlinienmodul erstellen und laden, um die SELinux-Richtlinie zu ändern. Führen Sie diese Schritte aus, um die erforderliche SELinux-Richtlinienregel zu laden:
- Speichern Sie das Paket in der Datei cisco-secure-bpf.te.
module cisco-secure-bpf 1.0;
require {
type unconfined_service_t;
class bpf { map_create map_read map_write prog_load prog_run };
}
#============= unconfined_service_t ==============
allow unconfined_service_t self:bpf { map_create map_read map_write prog_load prog_run };
- Erstellen und laden Sie das Modul mit diesen Befehlen.
checkmodule -M -m -o "cisco-secure-bpf.mod" "cisco-secure-bpf.te"
semodule_package -o "cisco-secure-bpf.pp" -m "cisco-secure-bpf.mod"
semodule -i "cisco-secure-bpf.pp"
- Starten Sie den Connector neu, um den Fehler zu beheben.
Überprüfung der Änderung der SELinux-Richtlinie
Führen Sie diesen Befehl aus, um zu überprüfen, ob das Richtlinienmodul cisco-secure-bpf SELinux installiert ist.
semodule -l | grep cisco-secure-bpf
Die Änderung der SELinux-Richtlinie ist erfolgt, wenn die Ausgabe "cisco-secure-bpf 1.0" meldet..
Führen Sie diesen Befehl aus, um zu überprüfen, ob die erforderliche SELinux-Richtlinienregel vorhanden ist.
sesearch -A | grep "unconfined_t unconfined_t : bpf"
Der Fehler wird nach dem Neustart des Konnektors gelöscht, wenn die Ausgabe "allow unrestricted_service_t self:bpf { map_create map_read map_write prog_load prog_run };" anzeigt.
Feedback