의 토토 캔 모델Selinux모든 액세스 제어 규칙을 대상 엔티티 (일반적으로 데이터베이스의 클라이언트)와 객체 엔티티 (예 : 데이터베이스 개체) 간의 관계로 설명합니다. 표지되지 않은 물체에 대한 액세스가 시도되면 객체가 레이블이 할당 된 것처럼 취급됩니다.unlabeled_t.

현재,Sepgsql스키마, 테이블, 열, 시퀀스, 뷰 및 기능에 토토 캔 레이블을 할당 할 수 있습니다. 언제sepgsql사용 중이며, 토토 캔 레이블은 생성 시간에 지원되는 데이터베이스 개체에 자동으로 할당됩니다. 이 레이블은 기본 토토 캔 레이블이라고하며 시스템 보안 정책에 따라 결정됩니다. 시스템 보안 정책에 따라 결정됩니다. 시스템 보안 정책에 따라 결정됩니다. 시스템 보안 정책에 따라 결정됩니다.이 레이블은 Creator의 레이블을 입력하고 새 개체의 상위 객체에 할당 된 레이블 및 선택적으로 구성된 개체의 이름을 입력합니다..

새 데이터베이스 개체는 기본적으로 유형 변환 규칙으로 알려진 특수 규칙을 가진 경우를 제외하고는 부모 객체의 토토 캔 레이블을 상속합니다.이 경우 다른 레이블을 적용 할 수 있습니다. Schemas의 경우, 부모 객체는 현재 데이터베이스입니다. 테이블, 시퀀스, 뷰 및 기능의 경우 포함 스키마입니다. 열의 경우 포함 테이블입니다.

테이블 용db_table : select, db_table : 삽입, db_table : 업데이트또는db_table : delete진술의 종류에 따라 참조 된 모든 대상 테이블에 대해 확인됩니다. 게다가,db_table : select|여기서또는반환조항, 데이터 소스로업데이트등.

열 수준의 권한도 참조 된 각 열에 대해 확인합니다.db_column : select를 사용하여 읽는 열만 확인할 수 없습니다select, 그러나 다른 DML 문에서 참조되는 것들;DB_COLUMN : 업데이트또는db_column : insert에 의해 수정되는 열을 확인합니다업데이트또는삽입.

예를 들어 다음과 같이 고려하십시오.

업데이트 T1 세트 x = 2, y = func1 (y) 여기서 z = 100;

여기,DB_COLUMN : 업데이트확인t1.x, 업데이트 중이기 때문에DB_COLUMN : SELECT indud확인T1.Y, 업데이트되고 참조되었으므로db_column : select확인T1.Z, 참조되므로.db_table : update테이블 레벨에서도 확인됩니다.

시퀀스 용DB_SEVESSENCE : get_value를 사용하여 시퀀스 객체를 참조 할 때 확인됩니다select; 그러나 현재와 같은 해당 기능 실행에 대한 권한을 확인하지 않습니다.lastVal ().

보기,db_view : 확장가 점검되면, 기타 필요한 권한은보기에서 개별적으로 확장되는 개체에 대한 확인됩니다..

함수,db_procedure : execute사용자가 쿼리의 일부로 함수를 실행하거나 빠른 경로 호출을 사용하려고 할 때 확인됩니다. 이 기능이 신뢰할 수있는 절차 인 경우 확인도 확인합니다.db_procedure : EntryPoint신뢰할 수있는 절차의 진입 지점으로 수행 할 수 있는지 확인할 수있는 권한.

스키마 개체에 액세스하려면DB_SCHEMA : 검색포함 된 스키마에 권한이 필요합니다. 객체가 스키마 자격없이 참조되면이 권한이없는 스키마는 검색되지 않습니다 (사용자가없는 것처럼usage스키마의 권한). 명시 적 스키마 자격이있는 경우 사용자가 명명 된 스키마에 필요한 권한이없는 경우 오류가 발생합니다.

클라이언트는 모든 참조 된 테이블과 열에 액세스 할 수 있어야합니다.이 뷰에서 시작된 경우에도 확장 된 뷰에서 시작하여 테이블 내용이 참조되는 방식과 독립적 인 일관된 액세스 제어 규칙을 적용합니다..

기본 데이터베이스 권한 시스템을 통해 데이터베이스 슈퍼 사용자는 DML 명령을 사용하여 시스템 카탈로그를 수정하고 토스트 테이블을 참조하거나 수정할 수 있습니다. 이러한 작업은Sepgsql활성화되었습니다.

Selinux각 객체 유형에 대한 공통 작업을 제어하기위한 몇 가지 권한을 정의합니다. 토토 캔 레이블의 생성, Alter, Drop 및 Relabel과 같은. 또한, 여러 객체 유형에는 특징적인 작업을 제어 할 수있는 특별한 권한이 있습니다. 특정 스키마 내에서 이름 항목의 추가 또는 삭제와 같은.

새 데이터베이스 개체 생성생성허가.Selinux클라이언트의 토토 캔 레이블 및 새 개체에 대한 제안 된 토토 캔 레이블을 기반 으로이 권한을 부여하거나 거부합니다. 경우에 따라 추가 권한이 필요합니다.

언제드롭명령이 실행됩니다,드롭제거중인 객체에서 확인됩니다. 권한은 또한 간접적으로 삭제 된 객체에 대해서도캐스케이드. 특정 스키마 (테이블, 뷰, 시퀀스 및 절차)에 포함 된 객체의 삭제 추가로 필요합니다.remove_name스키마에서.

언제Alter명령이 실행됩니다,setattr테이블의 인덱스 또는 트리거와 같은 자회사 개체를 제외하고 각 객체 유형에 대해 수정되는 객체에서 확인됩니다. 경우에 따라 추가 권한이 필요합니다.

신뢰할 수있는 절차는 보안 정의 기능 또는 setUID 명령과 유사합니다.Selinux| 일반적으로 민감한 데이터에 대한 고도로 제어 된 액세스를 제공하기 위해 클라이언트와 다른 토토 캔 레이블을 사용하여 신뢰할 수있는 코드가 실행할 수있는 기능을 제공합니다 (예 : 행이 생략되거나 저장된 값의 정밀도가 줄어들 수 있음). 기능이 신뢰할 수있는 절차 역할을하는지 여부는 토토 캔 레이블과 운영 체제 보안 정책에 의해 제어됩니다. 예를 들어:

postgres =# 테이블 고객 생성 (
               CID int 기본 키,
               cname 텍스트,
               신용 텍스트
           );
테이블을 만듭니다
Postgres =# 열 고객의 토토 캔 레이블
               'system_u : object_r : sepgsql_secret_table_t : s0';
토토 캔 레이블
postgres =# function show_credit (int) 텍스트를 반환합니다
             'regexp_replace를 선택하십시오 (신용', '-[0-9]+$' ','-xxxx '', 'g' ')
                        CID = $ 1 '에서 고객에게서
           언어 SQL;
기능을 만듭니다
postgres =# function show_credit (int)의 토토 캔 레이블
               'system_u : object_r : sepgsql_trusted_proc_exec_t : s0';
토토 캔 레이블

위의 작업은 관리 사용자가 수행해야합니다.

postgres =# 고객에서 선택 *;
오류 : SELINUX : 토토 캔 정책 위반
Postgres =# 고객에서 CID, CNAME, SHOW_CREDIT (CID)를 선택하십시오.
 cid | cname |     show_credit
-----+--------+--------------------------
   1 | 타로 | 1111-222-3333-xxxx
   2 | 하나코 | 5555-6666-7777-xxxx
(2 줄)

이 경우 일반 사용자는 참조 할 수 없습니다customer.credit직접적이지만 신뢰할 수있는 절차show_credit사용자는 일부 숫자가 마스킹 된 일부 고객의 신용 카드 번호를 인쇄 할 수 있습니다.

Selinux의 동적 도메인 전환 기능을 사용하여 클라이언트 프로세스의 토토 캔 레이블 인 클라이언트 도메인을 새로운 컨텍스트로 전환 할 수 있습니다. 클라이언트 도메인에는가 필요합니다.SetCurrent허가 및 또한Dyntransition구식에서 새 도메인까지.

동적 도메인 전환은 시스템이 의무화 된대로 (신뢰할 수있는 절차의 경우와 같이)가 아닌 자신의 옵션에 따라 레이블을 전환 할 수 있기 때문에 신중하게 고려해야합니다. 따라서Dyntransition허가는 원래 권한보다 작은 권한 세트가있는 도메인으로 전환하는 데 사용될 때만 안전한 것으로 간주됩니다. 예를 들어:

회귀 =# SEPGSQL_GETCON ();
                    sepgsql_getcon
---------------------------------------------------------------------
 UnconFined_U : UnconFined_R : UnconFined_T : S0-S0 : C0.C1023
(1 줄)

회귀 =# sepgsql_setcon ( 'unconfined_u : unconfined_r : unconfined_t : s0-s0 : c1.c4');
 sepgsql_setcon
---------------
 티
(1 줄)

회귀 =# sepgsql_setcon ( 'unconfined_u : unconfined_r : unconfined_t : s0-s0 : c1.c1023');
오류 : Selinux : 보안 정책 위반

위 의이 예에서 우리는 더 큰 MCS 범위에서 전환 할 수있었습니다C1.C1023더 작은 범위C1.C4, 그러나 뒤로 스위치가 거부되었습니다.

동적 도메인 전환과 신뢰할 수있는 절차의 조합은 Connection Pooling 소프트웨어의 일반적인 프로세스 수명주기에 적합한 흥미로운 사용 사례를 가능하게합니다. 연결 풀링 소프트웨어가 대부분의 SQL 명령을 실행할 수 없더라도를 사용하여 클라이언트의 토토 캔 레이블을 전환 할 수 있습니다.sepgsql_setcon ()신뢰할 수있는 절차 내에서 기능; 클라이언트 레이블을 전환하라는 요청을 승인하려면 자격 증명이 필요합니다. 그 후,이 세션에는 연결 풀러가 아닌 대상 사용자의 권한이 있습니다. 연결 풀러는 나중에를 사용하여 토토 캔 레이블 변경을 되돌릴 수 있습니다.sepgsql_setcon ()withNULL인수는 적절한 권한 점검을 통해 신뢰할 수있는 절차 내에서 다시 호출되었습니다. 여기서 요점은 신뢰할 수있는 절차 만 실제로 효과적인 토토 캔 레이블을 변경할 수있는 권한이 있으며 적절한 자격 증명이 제공 될 때만 그렇게한다는 것입니다. 물론 보안 운영의 경우 자격 증명 저장소 (테이블, 절차 정의 또는 무엇이든)는 무단 액세스로부터 보호되어야합니다.

우리는를 거부합니다로드토토 캔 정책 집행을 쉽게 우회 할 수 있기 때문에 전반적으로 전반적으로 명령.