Étiquette : SELinux
23 mai 2019 /

Dossier partagé dans KVM

Création d’un partage entre un hyperviseur KVM et une de ses machines virtuelles

[pastacode lang= »bash » manual= »systemctl%20enable%20smb%20nmb%0Asystemctl%20start%20smb%20nmb » message= »Activation de samba » highlight= » » provider= »manual »/]

[pastacode lang= »bash » manual= »ip%20a%20show%20dev%20virbr0″ message= »Virbr0 est le bridge linux créé par libvirt lors de son installation, il faut l’identifier » highlight= » » provider= »manual »/]

[pastacode lang= »bash » manual= »virsh%20net-edit%20default » message= »SI on veut modifier l’adresse de virbr0″ highlight= » » provider= »manual »/]

[pastacode lang= »bash » manual= »mkdir%20%2Fpartage_vm%0Auseradd%20-m%20-d%20%2Fpartage_vm%20partage%0Achown%20-R%20partage%20%2Fpartage_vm%0Achmod%20g%2Bw%20%2Fpartage_vm%0Asmbpasswd%20-a%20partage » message= »On crée le partage et le compte utilisateur pour s’y connecter » highlight= » » provider= »manual »/]

[pastacode lang= »bash » manual= »%5Bglobal%5D%0A%20%20%20%20%20%20%20workgroup%20%3D%20WorkGroup%0A%20%20%20%20%20%20%20netbios%20name%20%3D%20Host%0A%20%20%20%20%20%20%20server%20string%20%3D%20serveur%20%25h%20(Samba%20%25partagevm)%0A%20%20%20%20%20%20%20%23%20On%20souhaite%20n’autoriser%20l’acc%C3%A8s%20que%20via%20certaines%20interfaces%20r%C3%A9seau%0A%20%20%20%20%20%20%20bind%20interfaces%20only%20%3D%20Yes%0A%20%20%20%20%20%20%20interfaces%20%3D%20127.0.0.1%2C%20192.168.122.1%0A%20%20%20%20%20%20%20log%20file%20%3D%20%2Fvar%2Flog%2Fsamba%2Flog.%25m%0A%20%20%20%20%20%20%20max%20log%20size%20%3D%20100%0A%0A%5Bpartage_vm%5D%0A%20%20%20%20%20%20%20path%20%3D%20%2Fpartage_vm%2F%0A%20%20%20%20%20%20%20public%20%3D%20no%0A%20%20%20%20%20%20%20browsable%20%3D%20yes%0A%20%20%20%20%20%20%20valid%20users%20%3D%20partage%0A%20%20%20%20%20%20%20guest%20ok%20%3D%20no%0A%20%20%20%20%20%20%20writable%20%3D%20yes%0A%20%20%20%20%20%20%20printable%20%3D%20no%0A%20%20%20%20%20%20%20hide%20files%20%3D%20%2Flost%2Bfound%2F%0A%20%20%20%20%20%20%20hide%20unreadable%20%3D%20yes%0A%20%20%20%20%20%20%20%23%20on%20force%20les%20permissions%0A%20%20%20%20%20%20%20create%20mask%20%3D%20777%0A%20%20%20%20%20%20%20force%20create%20mode%20%3D%20777%0A%20%20%20%20%20%20%20security%20mask%20%3D%20777%0A%20%20%20%20%20%20%20force%20security%20mode%20%3D%20777″ message= »On declare le partage dans le ficher /etc/samba/smb.conf » highlight= » » provider= »manual »/]

[pastacode lang= »bash » manual= »systemctl%20restart%20nmb.service%20smb.service%20%0Afirewall-cmd%20–add-service%3Dsamba%20–permanent%20–add-source%3D192.168.122.1%2F24″ message= »On redemarre samba et on ouvre les ports samba » highlight= » » provider= »manual »/]

[pastacode lang= »bash » manual= »smbclient%20%2F%2F192.168.122.1%2Fpartage_vm%20-U%20partage » message= »Test du serveur depuis l’hyperviseur » highlight= » » provider= »manual »/]

[pastacode lang= »bash » manual= »semanage%20fcontext%20-a%20-t%20samba_share_t%20’%2Fpartage_vm(%2F.*)%3F’%0Arestorecon%20-R%20%2Fpartage_vm%0A » message= »Si SELinux est actif dans un dossier specifique » highlight= » » provider= »manual »/]

[pastacode lang= »bash » manual= »setsebool%20-P%20samba_enable_home_dirs%20on » message= »Si SELinux est dans /home » highlight= » » provider= »manual »/]

[pastacode lang= »bash » manual= »ls%20-Z%20%2Fpartage_vm%0A-rw-rw-r–.%20partage%20partage%20unconfined_u%3Aobject_r%3Asamba_share_t%3As0%20truc.txt » message= »Pour vérifier le contexte de SELinux » highlight= » » provider= »manual »/]

Sur la VM, le dossier est accessible à l’adresse \\ip_de_virbr0\partage_vm

 
19 octobre 2016 /

Écraser un mot de passe perdu sur CentOS7/RedHat7

Voici méthode qui consiste à démarrer non pas init comme premier processus, mais un shell.

Tout d’abord, au démarrage, quand le menu de grub apparaît (appuyez sur echap si il n’apparaît pas), sélectionnez la ligne de boot sur lequel le système démarre habituellement:

screenshot_centos7-0_starmate_2016-10-15_191840

On va maintenant modifier la ligne de démarrage du système en appuyant sur la touche « e« :

screenshot_centos7-0_starmate_2016-10-15_192623

Sur la ligne commençant par « linux16 /vmlinux….. », nous allons ajouter à la fin « init=/bin/sh » et supprimer « rhgb quiet » :

screenshot_centos7-0_starmate_2016-10-15_194047

On valide les paramètres et on boot en appuyant sur les touches « Ctrl-x » ou bien avec la touche F10.

On arrive très vite dans un shell simple sans mot de passe et avec les droits root:

screenshot_centos7-0_starmate_2016-10-15_193200

On va tout d’abord charger la politique SELinux existante avec cette commande (le -i correspond à « initial policy load ») :

/usr/sbin/load_policy -i

Ensuite, on va remonter « / » en lecture-écriture car il est monté en lecture seule :

mount -o remount,rw /

On peut maintenant passer à la modification du mot de passe root :

passwd root

On ré-étiquette le système (SELinux) pour le prochain redémarrage :

touch /.autorelabel

Il ne reste plus qu’a redémarrer votre CentOS7/RedHat7 pour avoir vous connecter avec le nouveau mot de passe:

exec /sbin/init
1 juillet 2016 /

setenforce: SELinux is disabled

Lors de l’exécution de la commande « setenforce 1 », vous pouvez recevoir en retour ce message:

setenforce 1

setenforce: SELinux is disabled

Cette erreur « setenforce: SELinux est désactivé » apparaît parce que vous avez désactivé définitivement SELinux sur votre serveur.

Cela peut ce vérifier via cette commande:

sestatus

setenforce command has no effect if you have selinux disabled permanently in the main configuration file.

Pour activer SELinux, éditez le fichier /etc/sysconfig/selinux :

vi /etc/sysconfig/selinux

Et définissez le paramètre SELinux sur la valeur « enforcing »:

SELINUX=enforcing
SELINUXTYPE=targeted

Si le fichier n’existe pas, créer le!
2 mai 2016 /

Changer de répertoire MySql par défaut en gardant SELinux activé

Voici un petit mémo qui montre comment changer le répertoire de données MySQL par défaut, puis à régler SELinux pour qu’il tienne compte des changements.

Arrêt du serveur MySQL:

service mysqld stop

Création d’un nouveau répertoire de données:

mkdir /nouveau/repertoire/mysql
chown mysql:mysql /nouveau/repertoire/mysql

Déplacer la base de données d’origine:

mv /var/lib/mysql/* /nouveau/repertoire/mysql

Modification du fichier de configuration MySQL:

vi /etc/mysql/my.cnf

Et on y change cette ligne:

datadir = /var/lib/mysql

devient:

datadir = /nouveau/repertoire/mysql

ainsi que celle la:

socket = /var/lib/mysql/mysql.sock

qui devient:

socket = /nouveau/repertoire/mysql/mysql.sock

Mappage du contexte SELinux pour le répertoire /nouveau/repertoire/mysql/ , avec la commande semanage:

semanage fcontext -a -t mysqld_db_t "/nouveau/repertoire/mysql(/.*)?"

Application du contexte pour une prise en compte par le système à chaud:

restorecon -Rv /nouveau/repertoire/mysql/

Démarrage du serveur MySQL:

service mysqld start

Vérification de l’accès et de la connectivité:

mysql -u root -p

mysql> show databases;

Si cela fonctionne, vous avez changé le répertoire par défaut de MySQL avec une prise en compte par SELinux avec succès.

Par contre si vous obtenez un message de ce genre:

ERROR 2002 (HY000): Impossible de se connecter au serveur MySQL local par socket '/var/lib/mysql/mysql.sock'

Il faudra ajouter cela à votre fichier /etc/my.cnf :

[client]
socket = /srv/mysql/mysql.sock

Et dernière chose, pour éviter la connexion via le socket:

mysql -u root -p --protocol tcp
25 février 2016 /

Installer MongoDB 3.2

MongoDB (de l’anglais humongous qui peut être traduit par « énorme ») est un système de gestion de base de données orientée documents, répartissable sur un nombre quelconque d’ordinateurs (cluster) et ne nécessitant pas de schéma prédéfini des données.
Il est écrit en C++. Le serveur et les outils sont distribués sous licence AGPL, les pilotes sous licence Apache et la documentation sous licence Creative Commons2.
Il fait partie de la mouvance NoSQL.

Pour installer MongoDB, il faut tout d’abord renseigner le repository:

vi /etc/yum.repos.d/mongodb-enterprise.repo

Et on y met ce texte:
[mongodb-enterprise]
name=MongoDB Enterprise Repository
baseurl=https://repo.mongodb.com/yum/redhat/$releasever/mongodb-enterprise/stable/$basearch/
gpgcheck=0
enabled=1

Il nous faut maintenant remettre à jour la liste des paquets:

yum update

On peut maintenant installer MongoDB (et ses dépendances):

yum install -y mongodb-enterprise

Pour un bon fonctionnement penser a désactiver Selinux:

vi /etc/selinux/config

et mettre le paramètre SELinux sur disabled ou permissive:

SELINUX=disabled

ou

SELINUX=permissive

Sinon vous pouvez activer le port MongoDB (27017 sur SELinux):

semanage port -a -t mongod_port_t -p tcp 27017

On ajoute et on active le service:

chkconfig mongod on
chkconfig --list mongod

Test du service :

service mongod start
service mongod stop

Changement de l’adresse en écoute par Mongo:

vi /etc/mongod.conf

Par défaut, Mongo n’écoute que localhost, pour modifier cela, il faudra commenter la ligne suivante :

bindIp: 127.0.0.1 # Listen to local interface only, comment to listen on all interfaces.

Comme cela :

#bindIp: 127.0.0.1 # Listen to local interface only, comment to listen on all interfaces.

Puis on relance le serveur mongo:

service mongod stop
service mongod start

Suite au attaque Ransomware sur les base MongoDB, il est recommandé de bloquer le port 27017 sur votre pare-feu ou de configurer MongoDB pour un accès en localhost (127.0.0.1) via /etc/mongodb.conf.