mais quand tu as besoin d'une application en plus tu est bien ennuyé
SElinux est configuré sous Fedora (et RHEL aussi il me semble) en mode targeted, seuls les services critiques sont confinés (httpd, ftpd, mysqld, postgres, etc...), le reste des applications ne sont pas affectés (en fait, y a quelques règles relativement saines comme interdire l'exécution de la stack par exemple). Ce que tu décris, c'est la politique stricte qui n'est plus utilisé par défaut depuis un bon bout de temps.
Parce que pour faire marcher SAP ou Oracle avec SELinux, j'ai peur que ça soit le parcours du combattant
Rien que de faire fonctionner ces bouzins relèvent du parcours du combattant.
Rien que faire marcher Apache différemment de ce qui a été prévu demande de modifier des règles SELinux (genre, l'autoriser à lire un répertoire différent de /var/www/html).
ça demande juste de filer le bon contexte au répertoire (httpd_sys_content_t ou httpd_user_content_t), ça reste dans la continuité de la gestion des droits unix, si je veux qu'un process ait le droit de taper dans un répertoire, faut lui permettre de le faire.
Et si la réputation de complexité est bien surfaite, c'est pas non plus si simple que ça.
Si c'était simple d'administrer correctement une machine, les admins pointeraient au chômage. SELinux n'est pas simple, mais la configuration par défaut a été suffisamment simplifié pour être utilisable par le plus grand nombre sans trop de difficultés.
Si tu as besoin d'aller au-delà des possibilités de customisations prévues, soit tu as des besoins très pointues et ça justifie peut-être d'approfondir tes connaissances, soit c'est une mauvaise idée, soit c'est un bogue (pour les politiques bien définies comme httpd, c'est ultra rare maintenant).
[^] # Re: Pas choqué.
Posté par GeneralZod . En réponse au journal Debian: meilleure distribution de l'année 2011. Évalué à 2.
SElinux est configuré sous Fedora (et RHEL aussi il me semble) en mode targeted, seuls les services critiques sont confinés (httpd, ftpd, mysqld, postgres, etc...), le reste des applications ne sont pas affectés (en fait, y a quelques règles relativement saines comme interdire l'exécution de la stack par exemple). Ce que tu décris, c'est la politique stricte qui n'est plus utilisé par défaut depuis un bon bout de temps.
Rien que de faire fonctionner ces bouzins relèvent du parcours du combattant.
ça demande juste de filer le bon contexte au répertoire (httpd_sys_content_t ou httpd_user_content_t), ça reste dans la continuité de la gestion des droits unix, si je veux qu'un process ait le droit de taper dans un répertoire, faut lui permettre de le faire.
Si c'était simple d'administrer correctement une machine, les admins pointeraient au chômage. SELinux n'est pas simple, mais la configuration par défaut a été suffisamment simplifié pour être utilisable par le plus grand nombre sans trop de difficultés.
Si tu as besoin d'aller au-delà des possibilités de customisations prévues, soit tu as des besoins très pointues et ça justifie peut-être d'approfondir tes connaissances, soit c'est une mauvaise idée, soit c'est un bogue (pour les politiques bien définies comme httpd, c'est ultra rare maintenant).