■

• Apacheの静的ページ配信enforcingで動作
• converterにハードコードしたポリシの除去作業
  • 「default_allow.te」というファイルをbase_policy_ディレクトリに作製。この中に記述されたポリシは変換後のポリシにデフォルトで含まれる。

• run_initを不要にするため
  • role_transition sysadm_r system_r;を出力。
  • で,ユーザにsystem_rの利用を許したら、ログイン時にsystem_rの選択が出て煩雑なので、、
    • role system_r types ~{ <ロールに関係したタイプ> };を出力
  • このへんの宣言の順番でハマった。二重に書くとエラーが出たり、role xx types xxxを二重に書くと片方が無効になったりして、大変だった。

• ポリシの整理
  • CVSモジュール seedit-policyを作成。最小限のポリシだけに。
  • auditdのポリシ

メモ

• ポリシ間にある依存関係の解決どうするか?
  • converterでは,存在しないドメインまたはタイプがallowに記述されていてもエラーまたは警告を出さない。
    • ドメイン遷移，allowcom, allowtty/pts, allowtmpfs,allow excの時．