Table des matières

Introduction

Informations générales

Applicabilité

Systèmes d'exploitation

Versions des connecteurs

Résolution

Réinstaller ou mettre à niveau le connecteur

Modifier manuellement la stratégie SELinux

Vérifier la modification de la stratégie SELinux

Introduction

Ce document décrit l'erreur déclenchée lorsque la politique SELinux sur le système empêche le connecteur de surveiller l'activité du système.

Informations générales

Le connecteur requiert cette règle dans la stratégie Secure Enterprise Linux (SELinux) si SELinux est activé et en mode d'application :

allow unconfined_service_t self:bpf { map_create map_read map_write prog_load prog_run };

Cette règle n'est pas présente dans la stratégie SELinux par défaut sur les systèmes Red Hat. Le connecteur tente d'ajouter cette règle via l'installation d'un module de stratégie SELinux nommé cisco-secure-bpf pendant une installation ou une mise à niveau. La défaillance est soulevée si Cisco-Secure-BPF échoue lors de l'installation et du chargement ou est désactivé. L'utilisateur est averti d'un défaut 19 tel que décrit dans la liste des défauts du connecteur Cisco Secure Endpoint Linux si ce défaut est déclenché par le connecteur.

Applicabilité

Cette erreur peut être déclenchée après une nouvelle installation ou mise à niveau du connecteur, ou après la modification de la stratégie SELinux du système.

Systèmes d'exploitation

- Red Hat Enterprise Linux 7

- CentOS 7

- Oracle Linux (RHCK/UEK) 7

Versions des connecteurs

- Linux 1.2.0 et versions ultérieures

Résolution

Il existe deux méthodes pour résoudre ce problème :

1. Réinstallez ou mettez à niveau le connecteur.

2. Modifiez manuellement la stratégie SELinux.

Réinstaller ou mettre à niveau le connecteur

Un module de stratégie SELinux nommé cisco-secure-bpf est installé pour fournir la modification de stratégie SELinux requise lors d'une installation ou d'une mise à niveau du connecteur. Réinstallez ou mettez à niveau le connecteur standard pour cette méthode de résolution.

Modifier manuellement la stratégie SELinux

Un administrateur système doit construire et charger manuellement un module de stratégie SELinux pour modifier la stratégie SELinux. Procédez comme suit pour charger la règle de stratégie SELinux requise :

1. Enregistrez-le dans un fichier nommé cisco-secure-bpf.te

module cisco-secure-bpf 1.0;

require {

type unconfined_service_t;

class bpf { map_create map_read map_write prog_load prog_run };

}

#============= unconfined_service_t ==============

allow unconfined_service_t self:bpf { map_create map_read map_write prog_load prog_run };

2. Créez et chargez le module à l'aide de ces commandes.
checkmodule -M -m -o "cisco-secure-bpf.mod" "cisco-secure-bpf.te"

semodule_package -o "cisco-secure-bpf.pp" -m "cisco-secure-bpf.mod"

semodule -i "cisco-secure-bpf.pp"

3. Redémarrez le connecteur pour résoudre le problème.

Les commandes utilisées pour construire et charger le module de politique SELinux nécessitent l'utilisation du paquet policy coreutils-python et de ses dépendances. Exécutez cette commande pour installer ce package.

yum install policycoreutils-python

Vérifier la modification de la stratégie SELinux

Exécutez cette commande pour vérifier si le module de stratégie cisco-secure-bpf SELinux est installé.

semodule -l | grep cisco-secure-bpf

La modification de la stratégie SELinux s'est produite si le résultat indique "cisco-secure-bpf 1.0".

Exécutez cette commande pour vérifier si la règle de stratégie SELinux requise est présente.

sesearch -A | grep "unconfined_t unconfined_t : bpf"

L'erreur disparaît après le redémarrage du connecteur si le résultat indique "allow unrestricted_service_t self:bpf { map_create map_read map_write prog_load prog_run };".