Introduction
Ce document décrit l'erreur déclenchée lorsque la politique SELinux sur le système empêche le connecteur de surveiller l'activité du système.
Informations générales
Le connecteur exige que cette règle soit dans la stratégie Secure Enterprise Linux (SELinux) si SELinux est activé et en mode d'application :
allow unconfined_service_t self:bpf { map_create map_read map_write prog_load prog_run };
Cette règle n'est pas présente dans la stratégie SELinux par défaut sur les systèmes Red Hat. Le connecteur tente d'ajouter cette règle via l'installation d'un module de stratégie SELinux nommé cisco-secure-bpf pendant une installation ou une mise à niveau. La défaillance est soulevée si Cisco-Secure-BPF échoue lors de l'installation et du chargement ou est désactivé. L'utilisateur est averti d'un défaut 19 tel que décrit dans la liste des défauts du connecteur Cisco Secure Endpoint Linux si ce défaut est déclenché par le connecteur.
Applicabilité
Cette erreur peut être déclenchée après une nouvelle installation ou mise à niveau du connecteur, ou après la modification de la stratégie SELinux du système.
Systèmes d'exploitation
- Red Hat Enterprise Linux 7
- CentOS 7
- Oracle Linux (RHCK/UEK) 7
Versions des connecteurs
- Linux 1.2.0 et versions ultérieures
Résolution
Il existe deux méthodes pour résoudre ce problème :
- Réinstallez ou mettez à niveau le connecteur.
- Modifiez manuellement la stratégie SELinux.
Dépendance d'installation
Les deux méthodes nécessitent le paquet « policy coreutils-python » installé sur le système pour construire et charger le module de stratégie SELinux. Exécutez cette commande pour installer ce package.
yum install policycoreutils-python
Réinstaller ou mettre à niveau le connecteur
Un module de stratégie SELinux nommé cisco-secure-bpf sera installé pour fournir la modification de stratégie SELinux requise lors d'une installation ou d'une mise à niveau du connecteur. Réinstallez ou mettez à niveau le connecteur standard pour cette méthode de résolution.
Modifier manuellement la stratégie SELinux
Un administrateur système doit construire et charger manuellement un module de stratégie SELinux pour modifier la stratégie SELinux. Procédez comme suit pour charger la règle de stratégie SELinux requise :
- Enregistrez-le dans un fichier nommé cisco-secure-bpf.te
module cisco-secure-bpf 1.0;
require {
type unconfined_service_t;
class bpf { map_create map_read map_write prog_load prog_run };
}
#============= unconfined_service_t ==============
allow unconfined_service_t self:bpf { map_create map_read map_write prog_load prog_run };
- Créez et chargez le module à l'aide de ces commandes.
checkmodule -M -m -o "cisco-secure-bpf.mod" "cisco-secure-bpf.te"
semodule_package -o "cisco-secure-bpf.pp" -m "cisco-secure-bpf.mod"
semodule -i "cisco-secure-bpf.pp"
- Redémarrez le connecteur pour résoudre le problème.
Vérifier la modification de la stratégie SELinux
Exécutez cette commande pour vérifier si le module de stratégie cisco-secure-bpf SELinux est installé.
semodule -l | grep cisco-secure-bpf
La modification de la stratégie SELinux s'est produite si le résultat indique "cisco-secure-bpf 1.0".
Exécutez cette commande pour vérifier si la règle de stratégie SELinux requise est présente.
sesearch -A | grep "unconfined_t unconfined_t : bpf"
L'erreur disparaît après le redémarrage du connecteur si le résultat indique "allow unrestricted_service_t self:bpf { map_create map_read map_write prog_load prog_run };".
Commentaires