.. каждый раз, когда я бегу sudo
через NRPE
, Я получаю следующее сообщение на свой /var/log/secure
, и я не могу понять, как это решить.
sudo: PAM audit_log_acct_message() failed: Permission denied
пожалуйста, порекомендуйте.
* ОБНОВИТЬ *
[root@XXXXX ~]# ausearch -m avc -ts today | tail
type=SYSCALL msg=audit(1381429383.104:128936): arch=c000003e syscall=44 success=no exit=-13 a0=8 a1=7fffd40dfac0 a2=8 a3=0 items=0 ppid=24708 pid=24711 auid=4294967295 uid=0 gid=496 euid=0 suid=0 fsuid=0 egid=496 sgid=496 fsgid=496 tty=(none) ses=4294967295 comm="sudo" exe="/usr/bin/sudo" subj=system_u:system_r:nrpe_t:s0 key=(null)
type=AVC msg=audit(1381429383.104:128936): avc: denied { sendto } for pid=24711 comm="sudo" scontext=system_u:system_r:nrpe_t:s0 tcontext=system_u:system_r:nrpe_t:s0 tclass=unix_dgram_socket
----
time->Thu Oct 10 14:23:03 2013
type=SYSCALL msg=audit(1381429383.125:128937): arch=c000003e syscall=44 success=no exit=-13 a0=8 a1=7fff6a74a1f0 a2=8 a3=0 items=0 ppid=24710 pid=24712 auid=4294967295 uid=0 gid=496 euid=0 suid=0 fsuid=0 egid=496 sgid=496 fsgid=496 tty=(none) ses=4294967295 comm="sudo" exe="/usr/bin/sudo" subj=system_u:system_r:nrpe_t:s0 key=(null)
type=AVC msg=audit(1381429383.125:128937): avc: denied { sendto } for pid=24712 comm="sudo" scontext=system_u:system_r:nrpe_t:s0 tcontext=system_u:system_r:nrpe_t:s0 tclass=unix_dgram_socket
----
time->Thu Oct 10 14:23:02 2013
type=SYSCALL msg=audit(1381429382.133:128935): arch=c000003e syscall=44 success=no exit=-13 a0=8 a1=7fff549492e0 a2=8 a3=0 items=0 ppid=24699 pid=24700 auid=4294967295 uid=0 gid=496 euid=0 suid=0 fsuid=0 egid=496 sgid=496 fsgid=496 tty=(none) ses=4294967295 comm="sudo" exe="/usr/bin/sudo" subj=system_u:system_r:nrpe_t:s0 key=(null)
type=AVC msg=audit(1381429382.133:128935): avc: denied { sendto } for pid=24700 comm="sudo" scontext=system_u:system_r:nrpe_t:s0 tcontext=system_u:system_r:nrpe_t:s0 tclass=unix_dgram_socket
[root@XXXXX ~]#
* ОБНОВЛЕНИЕ # 2 *
[root@XXXXX ~]# ausearch -m avc -ts today | audit2allow
#============= nrpe_t ==============
#!!!! This avc is allowed in the current policy
allow nrpe_t self:capability sys_nice;
#!!!! This avc is allowed in the current policy
allow nrpe_t self:key write;
#!!!! This avc is allowed in the current policy
allow nrpe_t self:unix_dgram_socket sendto;
#!!!! This avc is allowed in the current policy
allow nrpe_t tmp_t:dir read;
[root@XXXX ~]#
* ОБНОВЛЕНИЕ 3 *
[root@XXXXX ~]# semanage permissive -a npre_t
libsepol.print_missing_requirements: permissive_npre_t's global requirements were not met: type/attribute npre_t (No such file or directory).
libsemanage.semanage_link_sandbox: Link packages failed (No such file or directory).
/usr/sbin/semanage: Could not commit semanage transaction
[root@XXXXX ~]#
Это все равно не сработает. Глядя на политику NRPE, вы не можете использовать sudo. Чтобы разрешить это, вам нужно изменить политику.
Так что исправление ошибки в вашем случае вряд ли что-то изменит.
Самый быстрый (и хитрый) способ решить эту проблему - сделать этот тип разрешающим. Обратите внимание, что вы, вероятно, получите целую кучу предупреждений SELlinux для этого типа.
semanage permissive -a nrpe_t
В противном случае это был бы вопрос создания большой политики для поддержки sudoing.
Если вы уже используете RHEL 7, эта ошибка исправлена (https://bugzilla.redhat.com/show_bug.cgi?id=1201054)
Вы можете включить / отключить sudo для nrpe с помощью следующих команд.
setsebool nagios_run_sudo on
setsebool nagios_run_sudo off