SELinux에서 사용자 및 그룹에 대한 권한을 설정하는 방법은 무엇인가요?

Q1: SELinux란 무엇인가요?
A1: SELinux(Security-Enhanced Linux)는 Linux 커널에 통합된 강력한 접근 제어 시스템으로, 프로세스 및 사용자에 대해 세밀한 권한 관리를 가능하게 하여 보안을 강화합니다.

Q2: SELinux에서 사용자와 그룹의 권한 설정은 어떻게 이루어지나요?
A2: SELinux는 전통적인 리눅스 사용자/그룹 권한과는 별도로 SELinux 사용자, 역할, 타입 기반 접근 제어(MAC)를 사용하여 권한을 관리합니다. 사용자 및 그룹에 권한을 설정하려면 SELinux 사용자와 역할을 매핑하고, 관련 정책을 구성해야 합니다.

Q3: SELinux 사용자와 리눅스 사용자는 어떻게 다르나요?
A3: 리눅스 사용자는 시스템 레벨의 사용자 계정을 의미하는 반면, SELinux 사용자는 SELinux 정책에 정의된 보안 주체로, 하나의 리눅스 사용자에 여러 SELinux 사용자가 매핑될 수 있습니다.

Q4: SELinux 사용자 및 역할 관리하는 방법은?
A4:
- `semanage user` 명령어로 SELinux 사용자 추가 및 변경 가능
- `semanage login`으로 리눅스 사용자와 SELinux 사용자 바인딩 설정
- `newrole` 명령어로 현재 SELinux 역할 변경 가능

예:
```bash
SELinux 사용자 목록 확인
semanage user -l

리눅스 사용자 'bob'에 SELinux 사용자 'staff_u' 매핑
semanage login -a -s staff_u bob

SELinux 사용자 추가 (선택적)
semanage user -a -R "staff_r" -r s0 staff_u
```
Q5: SELinux 권한(보안 컨텍스트)은 어떻게 설정하나요?
A5: SELinux는 파일, 프로세스, 포트 등에 보안 컨텍스트(`user:role:type:level`)를 할당하여 접근을 제어합니다. 권한 설정은 주로 정책 작성 및 수정, 컨텍스트 라벨링을 통해 이루어집니다.
- `semanage fcontext`로 파일/디렉터리 유형 지정
- `restorecon`으로 파일 시스템 컨텍스트 재설정
- 정책 커스터마이징으로 세부 권한 설정 가능

예:
```bash
'/data' 디렉터리에 custom_t 타입 지정
semanage fcontext -a -t custom_t "/data(/.*)?"
restorecon -Rv /data
```

Q6: SELinux 권한 조정 시 주의사항은?
A6:
- 기존 정책을 무조건 수정하는 것보다 사용자 정의 정책(module) 작성이 안전
- 권한 부족 문제는 `audit.log`를 참고하여 필요한 권한만 추가하는 것이 권장
- 권한 부여 시 최소 권한 원칙 준수 중요

Q7: SELinux 사용자 및 그룹 권한 설정 요약은?
A7:
1. `semanage login` 으로 리눅스 사용자와 SELinux 사용자 매핑
2. 필요한 SELinux 역할과 사용자(policy user) 설정
3. 보안 컨텍스트(파일 및 프로세스 타입 등) 설정
4. 필요시 사용자정의 정책 작성 및 로드
5. 변경 후 `restorecon` 등으로 컨텍스트 적용 및 테스트

이 과정을 통해 SELinux 환경에서 사용자 및 그룹별 세밀한 권한 관리를 수행할 수 있습니다.

SELinux(보안 강화 리눅스)는 리눅스 커널의 보안 모듈로, 시스템의 보안을 강화하기 위해 프로세스와 파일에 대한 접근 제어를 제공합니다. SELinux는 기본적으로 MAC(강제 접근 제어) 모델을 사용하여, 사용자와 그룹에 대한 권한을 설정하고 관리합니다. SELinux에서 사용자 및 그룹에 대한 권한을 설정하는 방법에 대해 자세히 설명하겠습니다. 1. SELinux 사용자와 리눅스 사용자 SELinux는 리눅스 사용자와는 별도로 SELinux 사용자 개념을 도입합니다. SELinux 사용자와 리눅스 사용자는 서로 다른 개념이며, SELinux 사용자에게는 특정한 보안 컨텍스트가 할당됩니다. SELinux 사용자는 다음과 같은 형식으로 정의됩니다: - `user_u`: 일반 사용자 - `system_u`: 시스템 사용자 - `staff_u`: 관리 사용자 리눅스 사용자와 SELinux 사용자는 서로 매핑되어 있으며, 이를 통해 SELinux 정책이 적용됩니다. 2. SELinux 사용자 매핑 리눅스 사용자와 SELinux 사용자를 매핑하려면 `semanage` 명령어를 사용합니다. 예를 들어, 리눅스 사용자 `john`을 SELinux 사용자 `user_u`로 매핑하려면 다음과 같이 입력합니다: ```bash sudo semanage user -m -R "user_r" john ``` 이 명령어는 `john` 사용자를 SELinux의 `user_r` 역할로 매핑합니다. 3. SELinux 정책 설정 SELinux의 권한은 정책에 의해 정의됩니다. 정책은 특정 작업을 수행할 수 있는 사용자와 프로세스의 권한을 설정합니다. SELinux 정책을 수정하려면 `semanage`와 `setsebool` 명령어를 사용합니다. 3.1. 정책 확인 현재 적용된 SELinux 정책을 확인하려면 다음 명령어를 사용합니다: ```bash sestatus ``` 이 명령어는 SELinux의 현재 상태와 모드를 보여줍니다. 3.2. 정책 수정 SELinux 정책을 수정하려면 `semanage` 명령어를 사용하여 특정 규칙을 추가하거나 수정할 수 있습니다. 예를 들어, 특정 포트에 대한 접근을 허용하려면 다음과 같이 입력합니다: ```bash sudo semanage port -a -t http_port_t -p tcp 8080 ``` 이 명령어는 TCP 포트 8080을 HTTP 서비스에 사용할 수 있도록 설정합니다. 4. SELinux 역할 기반 접근 제어 SELinux는 역할 기반 접근 제어(RBAC)를 지원합니다. 각 SELinux 사용자는 특정 역할에 할당되며, 이 역할에 따라 수행할 수 있는 작업이 제한됩니다. 역할을 설정하려면 `semanage` 명령어를 사용합니다. 예를 들어, `john` 사용자를 `sysadm_r` 역할로 설정하려면 다음과 같이 입력합니다: ```bash sudo semanage user -m -R "sysadm_r" john ``` 5. SELinux 컨텍스트 SELinux는 파일, 프로세스, 포트 등 모든 객체에 대해 보안 컨텍스트를 정의합니다. 보안 컨텍스트는 다음과 같은 형식으로 구성됩니다: ``` user:role:type:level ``` - `user`: SELinux 사용자 - `role`: 역할 - `type`: 객체 유형 - `level`: 보안 레벨 (선택 사항) 파일의 보안 컨텍스트를 확인하려면 `ls -Z` 명령어를 사용합니다: ```bash ls -Z /path/to/file ``` 파일의 보안 컨텍스트를 변경하려면 `chcon` 명령어를 사용합니다: ```bash sudo chcon -t httpd_sys_content_t /var/www/html/index.html ``` 6. SELinux 로그 및 감사 SELinux는 모든 접근 시도를 기록합니다. 로그 파일은 `/var/log/audit/audit.log`에 저장됩니다. SELinux의 로그를 확인하여 어떤 접근이 거부되었는지 확인할 수 있습니다. 이를 통해 정책을 수정하거나 추가할 수 있습니다. 7. SELinux 상태 변경 SELinux의 상태를 변경하려면 `/etc/selinux/config` 파일을 수정하거나 `setenforce` 명령어를 사용합니다. 예를 들어, SELinux를 비활성화하려면 다음과 같이 입력합니다: ```bash sudo setenforce 0 ``` 이 명령어는 SELinux를 Permissive 모드로 변경합니다. 이 모드에서는 접근 거부가 로그에 기록되지만 실제로는 차단되지 않습니다. 결론 SELinux는 리눅스 시스템의 보안을 강화하는 강력한 도구입니다. 사용자 및 그룹에 대한 권한을 설정하는 과정은 SELinux 사용자 매핑, 정책 설정, 역할 기반 접근 제어, 보안 컨텍스트 관리 등을 포함합니다. SELinux를 효과적으로 사용하기 위해서는 이러한 개념을 이해하고 적절히 활용하는 것이 중요합니다. SELinux의 정책을 잘 설정하면 시스템의 보안을 크게 향상시킬 수 있습니다.