Bug 33838 - Проблема с SELinux User Map
: Проблема с SELinux User Map
Status: CLOSED FIXED
: Sisyphus
(All bugs in Sisyphus/freeipa-server)
: unstable
: all Linux
: P3 normal
Assigned To:
:
:
:
:
:
  Show dependency tree
 
Reported: 2017-09-01 16:49 by
Modified: 2017-10-05 16:50 (History)


Attachments


Note

You need to log in before you can comment on or make changes to this bug.


Description From 2017-09-01 16:49:05
При попытке добавить правило сопоставления IPA-пользователя с
SELinux-пользователем содержащим цифру (например с generic3_u) IPA выдает
ошибку:

IPA Error 3009: ValidationError
неправильное 'selinuxuser': Invalid SELinux user name, only a-Z and _ are
allowed

Как воспроизвести:
1. Установить FreeIPA сервер
2. Перейти в web-интерфейсе на вкладку Policy->SELinux User Maps
3. Нажать 'Добавить'
4. В поле SELinux User ввести 'generic3_u:s3-s3:c0.c15'

Версия: freeipa-server-4.3.3-alt7
------- Comment #1 From 2017-10-04 11:32:22 -------
Ясно же сказано
only a-Z and _ are allowed
Так и задумано - не надо заводить таких пользователей Selinux.
------- Comment #2 From 2017-10-04 11:41:59 -------
В настройках IPA Server -> Настройка -> SELinux Options
Поле SELinux user map order имеет значение:
officer_u:s0-s3:c0.c15$generic3_u:s3-s3:c0.c15$generic_u2:s2-s3:c0.c15$generic_u1:s1-s3:c0.c15$generic_u:s0-s3:c0.c15
Видимо такие пользователи в нашем SELinux.
------- Comment #3 From 2017-10-04 12:06:10 -------
Надо или поменять дефолты в freeipa, или поменять дефолты в политике. В
политике что-то меня уже врятли получится.
------- Comment #4 From 2017-10-04 12:12:15 -------
А зачем вы вообще используете generics_u2? Это же не user, это template!
Создайте _нормально названного, без номеров_ user-a  (при помощи alterator,
например)и пользуйтесь на здоровье!
------- Comment #5 From 2017-10-04 12:19:37 -------
В смысле ? никто ничего специально не делал. Дефолтная установка СП 8
------- Comment #6 From 2017-10-04 12:22:01 -------
Вот именно. Надо _специально завести_ пользователя (или пользователей) selinux
для freeipa и отображать доменных пользователей на них, а не на generic
templates, которые, по хорошему, вообще надо выкинуть кроме самого младшего
generic.
------- Comment #7 From 2017-10-04 12:22:51 -------
Тебе и карты в руки.
------- Comment #8 From 2017-10-04 12:30:27 -------
Давайте разберёмся отдельно, баг это или нет. По факту сейчас нашу FreeIPA с
СП-8 использовать не получается.
------- Comment #9 From 2017-10-04 12:31:26 -------
Я-то тут причем? Это задача сисадмина, который настраивает домен. Обычное
административное действие. Поэтому и выставил notabug, это нормальное поведение
системы, которая желает некоторой настройки.
------- Comment #10 From 2017-10-04 12:31:59 -------
не по этой причине, вот №33840 серьезнее.
------- Comment #11 From 2017-10-04 12:39:27 -------
(В ответ на комментарий №9)
> Я-то тут причем? Это задача сисадмина, который настраивает домен. Обычное
> административное действие. Поэтому и выставил notabug, это нормальное поведение
> системы, которая желает некоторой настройки.
Эта особенность документирована, потому не бага. Но так как может ввести в
заблуждение, то стоит подумать, как его предупредить и сформулировать FR.
------- Comment #12 From 2017-10-04 13:47:53 -------
Документирована где ?

У нас вообще нет документации по развертыванию FreeIPA на ALT + Selinux.
------- Comment #13 From 2017-10-04 14:06:16 -------
(В ответ на комментарий №12)
> Документирована где ?

См. первый комментарий.
> 
> У нас вообще нет документации по развертыванию FreeIPA на ALT + Selinux.

Вот об этом и вешай баги.
------- Comment #14 From 2017-10-04 14:08:45 -------
Алексей, текущее поведение FreeIPA расходится с нашим дефолтным поведением
SELinux.

А сообщение об ошибки документацией не считается и невозможно использовать при
проектировании системы.
------- Comment #15 From 2017-10-04 15:25:27 -------
Это баг, конечно. Очень жаль, что пользователи с цифрами в имени вообще есть в
selinux-policy-alt, но раз они есть, то freeipa должен это уметь.
------- Comment #17 From 2017-10-05 07:55:44 -------
Миша, спасибо. Проверим.

Стас, забери пожалуйста в сборку 4.4
------- Comment #18 From 2017-10-05 16:50:08 -------
freeipa-4.3.3-alt9 -> sisyphus:

Thu Oct 05 2017 Mikhail Efremov <sem@altlinux.org> 4.3.3-alt9
- selinux: Allow digits in SELinux user names (closes: #33838).
- Require zip.