１）暗号化ポリシーの管理ツール：update-crypto-policiesツール
　
$ which update-crypto-policies
/usr/bin/update-crypto-policies
　
$ rpm -qf /usr/bin/update-crypto-policies
crypto-policies-scripts-20231016-1.git77ceb0b.el9.noarch
　
２）update-crypto-policiesツールの使用方法
　
〇現在のシステム全体の暗号化ポリシーを表示
$ update-crypto-policies –show
DEFAULT
　
〇現在のシステム全体の暗号化ポリシーを変更
例）
# update-crypto-policies –set FUTURE
Setting system policy to FUTURE

（１）各アプリケーション毎のポリシー設定ファイルの保管場所
　
〇保管場所のディレクトリ
/etc/crypto-policies/back-ends
　
〇ディレクトリ内の設定ファイルの表示例
# ls -al /etc/crypto-policies/back-ends

bind.config -> /usr/share/crypto-policies/DEFAULT/bind.txt
gnutls.config -> /usr/share/crypto-policies/DEFAULT/gnutls.txt
java.config -> /usr/share/crypto-policies/DEFAULT/java.txt
javasystem.config -> /usr/share/crypto-policies/DEFAULT/javasystem.txt
krb5.config -> /usr/share/crypto-policies/DEFAULT/krb5.txt
libreswan.config -> /usr/share/crypto-policies/DEFAULT/libreswan.txt
libssh.config -> /usr/share/crypto-policies/DEFAULT/libssh.txt
nss.config
openssh.config -> /usr/share/crypto-policies/DEFAULT/openssh.txt
opensshserver.config -> /usr/share/crypto-policies/DEFAULT/opensshserver.txt
openssl.config -> /usr/share/crypto-policies/DEFAULT/openssl.txt
openssl_fips.config -> /usr/share/crypto-policies/DEFAULT/openssl_fips.txt
opensslcnf.config -> /usr/share/crypto-policies/DEFAULT/opensslcnf.txt
　
（２）OpenSSHにおける設定方法
　
１）サーバー側の設定
　
●設定ファイルの保管場所
/etc/ssh/sshd_config.d/ ディレクトリー
　
●設定方法
イ）50-redhat.confファイル内にポリシーを指定する場合
・以下の記述の上に設定を記述する
Include /etc/crypto-policies/back-ends/opensshserver.config
　
ロ）新たに設定ファイルを作成してポリシーを指定する場合
・辞書式順序で 50-redhat.conf ファイルよりも前に来るように、50 未満の 2 桁の数字接頭辞と、.conf という接尾辞を付ける (例: 49-crypto-policy-override.conf)。
　
〇50-redhat.confのデフォルト設定

# more 50-redhat.conf
# This system is following system-wide crypto policy. The changes to
# crypto properties (Ciphers, MACs, ...) will not have any effect in
# this or following included files. To override some configuration option,
# write it before this block or include it before this file.
Include /etc/crypto-policies/back-ends/opensshserver.config

SyslogFacility AUTHPRIV

ChallengeResponseAuthentication no

GSSAPIAuthentication yes
GSSAPICleanupCredentials no

UsePAM yes

X11Forwarding yes

PrintMotd no

　
２）クライアント側の設定
　
●設定方法
イ）各ユーザー毎に設定する場合
・~/.ssh/config ファイルのユーザー固有の設定でグローバルの /etc/ssh/ssh_config を上書きする。
　
ロ）システム全体で設定する場合
・/etc/ssh/ssh_config.d/ ディレクトリーにあるドロップイン設定ファイルに暗号化ポリシーを指定する。
　このとき、辞書式順序で 50-redhat.conf ファイルよりも前に来るように、50 未満の 2 桁の接頭辞と、.conf という接尾辞を付ける (例: 49-crypto-policy-override.conf)。
　
※/etc/ssh/ssh_configのデフォルト設定
# This system is following system-wide crypto policy.
# To modify the crypto properties (Ciphers, MACs, …), create a *.conf
# file under /etc/ssh/ssh_config.d/ which will be automatically
# included below.
Include /etc/ssh/ssh_config.d/*.conf
　
（３）wgetで暗号化設定をカスタマイズする例
　
・–secure-protocol オプションおよび –ciphers オプションを使用する。
例）
wget –secure-protocol=TLSv1_1 –ciphers=”SECURE128″ https://example.com

・Security Enhanced Linux (SELinux) は強制アクセス制御 (MAC) の実装であり、追加のセキュリティー層を提供する。
・SELinux は、どのプロセスがどのファイル、ディレクトリー、およびポートにアクセスできるのかを指定するシステムセキュリティーの追加レイヤー。
・上記パーミッションは、SELinux ポリシー（SELinux セキュリティーエンジンをガイドする一連のルール）で定義する。
・特定の SELinux で制限されたユーザーにマッピングすることで、どのユーザーがどのアクションを実行できるかを制御できる。

１）ステータス、モードの種類
　
●ステータス
・無効
・有効
　
●有効な場合のモードの種類
〇Enforcing
・インストール”後”のデフォルトモードで、最も安全な SELinux モード。
・SELinux は読み込まれたポリシーを強制的に実行する。
・SELinux は、SELinux ポリシールールに基づいてアクセスを拒否し、明示的に許可された対話だけを有効にする。
　
〇Permissive
・インストール”時”のデフォルトのモード。
・SELinux は読み込まれたポリシーを強制に実行しない。
・SELinux はアクセスを拒否しないが、ルールに違反するアクションを /var/log/audit/audit.log ログで報告する。
・Permissive モードは、問題のトラブルシューティングなど、特定のケースで役に立つ。
　
２）ステータスの確認例
　
$ sestatus
SELinux status: enabled
SELinuxfs mount: /sys/fs/selinux
SELinux root directory: /etc/selinux
Loaded policy name: targeted
Current mode: enforcing
Mode from config file: enforcing
Policy MLS status: enabled
Policy deny_unknown status: allowed
Memory protection checking: actual (secure)
Max kernel policy version: 33
　
３）モードの変更方法
　
・デフォルトでは、Enforcing モードで動作するが、特定のシナリオでは、Permissive モードに設定したり、無効にしたりすることもできる。
・Red Hat は、Enforcing モードでシステムを使用することを推奨する。
　デバッグの目的で、一時的にPermissive モードに設定する場合がある。
　
●現在有効な SELinux モードを表示
$ getenforce
　
●一時的な設定
・Enforcing モードに設定する場合の例
# setenforce 1
# getenforce
Enforcing
　
・Permissive モードに設定する場合の例
# setenforce 0
# getenforce
Permissive
　
●永続的な設定
・設定ファイル名：/etc/selinux/config
・変数名： SELINUX
・指定できる値：enforcing、permissive、disabled
・設定の反映：システムの再起動が必要
　
※disabled（無効）について
・無効にすると、メモリーリークや競合状態によりカーネルパニックが発生する可能性があるため、/etc/selinux/config ファイルの SELINUX=disabled オプションを使用して SELinux を無効にしない。
・代わりに、selinux=0 パラメーターをカーネルコマンドラインに追加して、SELinux を無効にする。

（１）policycoreutils-python-utilsパッケージのインストール
　
SELinuxのポリシー管理ツールであるsemanageを利用するには、policycoreutils-python-utilsパッケージが必要。
　
〇インストール例

# dnf install policycoreutils-python-utils
　　：
　　：
================================================================================
 パッケージ                     Arch     バージョン           Repo        サイズ
================================================================================
インストール:
 policycoreutils-python-utils   noarch   3.6-0.rc1.1.el9      appstream    77 k
アップグレード:
 libselinux                     x86_64   3.6-0.rc1.1.el9      baseos       86 k
 libselinux-utils               x86_64   3.6-0.rc1.1.el9      baseos      190 k
 libsemanage                    x86_64   3.6-0.rc1.1.el9      baseos      118 k
 libsepol                       x86_64   3.6-0.rc1.1.el9      baseos      330 k
 policycoreutils                x86_64   3.6-0.rc1.1.el9      baseos      242 k
 python3-libselinux             x86_64   3.6-0.rc1.1.el9      appstream   189 k
依存関係のインストール:
 checkpolicy                    x86_64   3.6-0.rc1.1.el9      appstream   353 k
 python3-audit                  x86_64   3.1.2-2.el9          appstream    83 k
 python3-distro                 noarch   1.5.0-7.el9          baseos       37 k
 python3-libsemanage            x86_64   3.6-0.rc1.1.el9      appstream    79 k
 python3-policycoreutils        noarch   3.6-0.rc1.1.el9      appstream   2.1 M
 python3-setools                x86_64   4.4.3-1.el9          baseos      604 k
 python3-setuptools             noarch   53.0.0-12.el9        baseos      944 k
　　：
　　：
アップグレード済み:
  libselinux-3.6-0.rc1.1.el9.x86_64
  libselinux-utils-3.6-0.rc1.1.el9.x86_64
  libsemanage-3.6-0.rc1.1.el9.x86_64
  libsepol-3.6-0.rc1.1.el9.x86_64
  policycoreutils-3.6-0.rc1.1.el9.x86_64
  python3-libselinux-3.6-0.rc1.1.el9.x86_64
インストール済み:
  checkpolicy-3.6-0.rc1.1.el9.x86_64
  policycoreutils-python-utils-3.6-0.rc1.1.el9.noarch
  python3-audit-3.1.2-2.el9.x86_64
  python3-distro-1.5.0-7.el9.noarch
  python3-libsemanage-3.6-0.rc1.1.el9.x86_64
  python3-policycoreutils-3.6-0.rc1.1.el9.noarch
  python3-setools-4.4.3-1.el9.x86_64
  python3-setuptools-53.0.0-12.el9.noarch

完了しました!

　
（２）semanageを使って登録済みのポリシーを確認
　
●ログインのポリシー

# semanage login -l

ログイン名     SELinux ユーザー     MLS/MCS 範囲       サービス
__default__    unconfined_u         s0-s0:c0.c1023       *
root           unconfined_u         s0-s0:c0.c1023       *

　
●ネットワークポートのポリシー

# semanage port -l | grep http
http_cache_port_t       tcp      8080, 8118, 8123, 10001-10010
http_cache_port_t       udp      3130
http_port_t             tcp      80, 81, 443, 488, 8008, 8009, 8443, 9000
pegasus_http_port_t     tcp      5988
pegasus_https_port_t    tcp      5989

　
●ファイルコンテキストのポリシー

# semanage fcontext -l | grep ssh
/etc/rc\.d/init\.d/sshd         regular file       system_u:object_r:sshd_initrc_exec_t:s0
/etc/ssh/oslogin_trustedca.pub  named pipe         system_u:object_r:sshd_key_t:s0

　
●booleanのポリシー

# semanage boolean -l | grep ssh
fenced_can_ssh             (オフ,オフ)  fenced が can ssh できるようにします
selinuxuser_use_ssh_chroot (オフ,オフ)  selinuxuser が use ssh chroot できるようにします
ssh_chroot_rw_homedirs     (オフ,オフ)  ssh が chroot rw homedirs できるようにします
ssh_keysign                (オフ,オフ)  ssh が keysign できるようにし ます
ssh_sysadm_login           (オフ,オフ)  ssh が sysadm login できるようにします
ssh_use_tcpd               (オフ,オフ)  ssh が use tcpd できるようにします
virt_qemu_ga_manage_ssh    (オフ,オフ)  virt が qemu ga manage ssh できるようにします

１）強制アクセス制御（MAC）と任意アクセス制御（DAC）の概要
　
〇強制アクセス制御（SELinux）
・”誰が何にどのようにアクセスできるか”というアクセス制御を、”セキュリティポリシーに基づいて強制
・アクセス制御はホワイトリスト形式となっており、あらかじめ定義したアクセスルール以外のアクセスについてはすべて拒否する。
・セキュリティポリシーに従ったアクセス制限をrootユーザを含む全てのユーザやプロセスに強制させる。
・セキュリティポリシーに登録されているアクセスルールはセキュリティ管理者のみが変更でき、ファイルの所有者でもアクセスルールを変更できない。
　
〇任意アクセス制御（伝統的なUNIXパーミッション）
・ログインユーザ情報とリソースの所有者情報を基にアクセス制御を行う。
・ファイルの所有者がパーミッションの設定を自由に変更でき、rootユーザはすべてのファイルにアクセスすることが可能。
　
２）強制アクセス制御（MAC）と任意アクセス制御（DAC）の比較
　
●任意アクセス制御（伝統的なUNIXパーミッション）
〇制御方法
・ユーザIDやグループIDとリソースの所有者・所有グループ情報を基にアクセス制御
〇アクセス権の変更
・ファイルの所有者がファイルのパーミッションを自由に設定・変更することが可能
〇root特権昇格のセキュリティ侵害時の被害
・root特権を奪うと何でもできる。
　
●強制アクセス制御（SELinux）
〇制御方法
・アクセスルールをセキュリティポリシーとして集中管理し、システムレベルでアクセス制御を強制的に実行
〇アクセス権の変更
・ファイルの所有者であってもアクセスルールの変更は不可
〇root特権昇格のセキュリティ侵害時の被害
・プロセスに制限が掛かるため、root特権を奪われても影響範囲が限定される
　
３）RHREのルール・ポリシー適用
　
・DACルールが最初に確認され、その他都にSELinuxのMACポリシーが確認される。
・DAC ルールがアクセスを拒否すると、SELinuxポリシールールは使用されない。
→従来のDACルールがアクセスを拒否すると、SELinux 拒否がログに記録されない。

１）SELinuxコンテキストの概要
　
・プロセス、システムリソースには、SELinuxコンテキストと呼ばれる特別なセキュリティーラベルがある。
・SELinux コンテキストは、システムレベルの詳細を抽象化し、エンティティーのセキュリティープロパティーに焦点を当てた識別子。
・SELinux ポリシーは、プロセスが、互いに、またはさまざまなシステムリソースと相互作用する方法を定義する一連のルールにこのコンテキストを使用する。
・SELinux はロールベースアクセス制御 (RBAC)、Type Enforcement(TE)、およびオプションで Multi-Level Security(MLS) の組み合わせを提供する。
　
２）SELinuxコンテキストの構文
　
user:role:type:level
　
〇user
・各Linux ユーザーは、SELinux ポリシーを使用して SELinuxユーザーにマッピングされる。これにより、Linux ユーザーは SELinux ユーザーの制限を継承できる。
・マップされた SELinux ユーザー ID は、開始できるロールとレベルを定義するために、そのセッションのプロセスに対して SELinux コンテキストで使用される。
　
〇role（ロールベースのアクセス制御 (RBAC) の属性）
・SELinux ユーザーはロールに対して許可され、ロールはドメインに対して承認され、ロールは、ドメインと SELinux ユーザーの仲介として機能する。
・入力可能なロールによって入力できるドメインが決まり、最終的には、アクセス可能なオブジェクトタイプを制御する。
　
〇type（Type Enforcement の属性）
・タイプは、プロセスのドメインとファイルのタイプを定義する。
・SELinux ポリシールールは、タイプにアクセスするドメインであるか、別のドメインにアクセスするドメインであるかにかかわらず、タイプが相互にアクセスできる方法を定義する。
・アクセスは、それを許可する特定の SELinux ポリシールールが存在する場合にのみ許可される。
　
〇level（MLS と MCS の属性）
・MLS(Multi-Level Security) および Multi-Category Security(MCS) で使用される属性。
　
３）ユーザーの SELinux コンテキストの確認例
　
〇確認例
# id -Z
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
　
# semanage login -l
ログイン名 SELinux ユーザー MLS/MCS 範囲 サービス
__default__ unconfined_u s0-s0:c0.c1023 *
root unconfined_u s0-s0:c0.c1023 *
　
〇RHELのデフォルト動作
・RHEL、Linux ユーザーはデフォルトで制限なしで実行される。
・上記コンテキストは、Linux ユーザーが SELinux unconfined_u ユーザーにマップされ、unconfined_r ロールとして実行され、unconfined_t ドメインで実行されていることを示している。
・Linux ユーザーはデフォルトで SELinux の __default__ ログインにマッピングされ、SELinux unconfined_u ユーザーにマッピングされる。
・useradd コマンドで Linux ユーザーを作成し、オプションを指定しないと、SELinux unconfined_u ユーザーにマッピングされる。
　
４）プロセスの SELinux コンテキストの確認例
　

# ps -eZ
LABEL                               PID TTY          TIME CMD
system_u:system_r:init_t:s0           1 ?        00:00:03 systemd
system_u:system_r:firewalld_t:s0    585 ?        00:00:00 firewalld
system_u:system_r:sshd_t:s0-s0:c0.c1023 1098 ?   00:00:00 sshd
system_u:system_r:systemd_logind_t:s0 1253 ?     00:00:00 systemd-logind
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 3949 ? 00:00:00 sshd
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 3950 pts/0 00:00:00 bash
system_u:system_r:httpd_t:s0       4047 ?        00:00:00 httpd
system_u:system_r:httpd_t:s0       4262 ?        00:00:00 php-fpm
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 4267 pts/0 00:00:00 ps

１）主なロール
　
・auditadm_r：auditサブシステムに関連するプロセスの管理が可能
・dbadm_r：データベース管理システムに関連するSELinuxタイプの管理が可能
・logadm_r：syslogおよびauditlogプロセスに関連するSELinuxタイプの管理が可能
・secadm_r：SELinuxの管理が可能
・webadm_r：Webサーバに関連するSELinuxタイプの管理が可能
　
〇利用可能なロールのリストを表示

# seinfo -u

Users: 8
   guest_u
   root
   staff_u
   sysadm_u
   system_u
   unconfined_u
   user_u
   xguest_u

　
※seinfo コマンドは、setools-console パッケージにより提供される。
　
２）主なSELinuxユーザー
　
〇unconfined_u
・デフォルトでマッピングされるユーザー。
・unconfined_u が実行するプロセスはすべて、unconfined_t ドメイン内にあり、システム全体にアクセスできる。
　
〇system_u
・システムプロセスおよびオブジェクトの特別なユーザー ID。
・Linux ユーザーに関連付けることはできない。
　
〇sysadm_u
・su、sudoが可能。
　
〇staff_u
・sudoが可能。
　
〇guest_u
・sudo不可。
　
●利用可能なSELinuxユーザーを表示

# seinfo -u

Users: 8
   guest_u
   root
   staff_u
   sysadm_u
   system_u
   unconfined_u
   user_u
   xguest_u