F.38. sepgsql

F.38.1. 概要

このモジュールは、PostgreSQLが標準で提供しているものに加えて、SELinuxと統合されたアクセス制御のレイヤーを追加します。 SELinuxの視点からは、このモジュールがPostgreSQLをユーザ空間オブジェクトマネージャとして機能することを可能にします。 すなわち、DMLクエリによる個々のテーブルや関数へのアクセスは、オペレーティングシステムのセキュリティポリシーによってチェックされます。 このチェックは、PostgreSQLによる通常のSQLパーミッションチェックに対して追加的に実施されます。

SELinuxにおけるアクセス制御の意思決定は、system_u:object_r:sepgsql_table_t:s0のような書式を持ったセキュリティラベルと呼ばれる文字列を用いて行われます。 個々のアクセス制御の意思決定には、２種類のラベルが利用されます。 すなわち、ある操作を行おうとする主体（サブジェクト）のラベルと、その操作の対象となるオブジェクトのラベルです。 これらのラベルはあらゆる種類のオブジェクトに対して適用されるため、（このモジュールを用いる事で）データベースに格納されたオブジェクトに対するアクセス制御は、他の一般的なオブジェクト、例えばファイルに対するものと同一の基準に従って意思決定される事になります。 このデザインは、情報資産を格納する方法とは独立に、一元管理されたセキュリティポリシーによって情報資産を保護することを意図しています。

SECURITY LABELを用いてデータベースオブジェクトにセキュリティラベルを設定することができます。

F.38.2. インストール

このモジュールはSELinuxが有効なLinuxカーネル 2.6.28 以上で動作します。その他のプラットフォーム上では利用する事はできません。 加えて、libselinux 2.0.93以上、selinux-policy 3.9.13以上（ディストリビューションによっては、必要なルールを古いバージョンのポリシーにバックポートしているか可能性があります）が必要で、--with-selinuxオプションによって明示的に有効化しなければいけません。

sestatusコマンドを用いてSELinuxの状態を確認することができます。典型的な出力例は以下の通りです。

$ sestatus
SELinux status:                 enabled
SELinuxfs mount:                /selinux
Current mode:                   enforcing
Mode from config file:          enforcing
Policy version:                 24
Policy from config file:        targeted

SELinuxが無効化されている、あるいはインストールされていない場合、このモジュールのインストールの前に、SELinuxのセットアップを行わねばなりません。

このモジュールをビルドするには、PostgreSQLのconfigure コマンドに--with-selinuxオプションを追加してください。 これは、ビルド時にlibselinux-develパッケージがインストール されている事を確認します。

このモジュールを利用するには、shared_preload_libraries パラメータに sepgsql を追記する必要があります。これ以外の方法で ロードされた場合、このモジュールは機能しません。 このモジュールのロード後、各データベースに対してsepgsql.sqlを 実行し、セキュリティラベル管理のための関数のインストールや、初期セキュリティ ラベルの設定を行うべきです。

以下にsepgsql関数およびセキュリティラベルと共にデータベース クラスタを初期化する手順を示します。 インストール先に応じて、適宜パス名を読み替えるようにしてください。

$ export PGDATA=/path/to/data/directory
$ initdb
$ vi $PGDATA/postgresql.conf
  change
    #shared_preload_libraries = ''                # (change requires restart)
  to
    shared_preload_libraries = 'sepgsql'          # (change requires restart)
$ for DBNAME in template0 template1 postgres; do
    postgres --single -F -c exit_on_error=true $DBNAME \
      </usr/local/pgsql/share/contrib/sepgsql.sql >/dev/null
  done

libselinuxとselinux-policyのバージョンに よっては以下のようなメッセージが出力される事があります。

/etc/selinux/targeted/contexts/sepgsql_contexts:  line 33 has invalid object type db_blobs
/etc/selinux/targeted/contexts/sepgsql_contexts:  line 36 has invalid object type db_language
/etc/selinux/targeted/contexts/sepgsql_contexts:  line 37 has invalid object type db_language
/etc/selinux/targeted/contexts/sepgsql_contexts:  line 38 has invalid object type db_language
/etc/selinux/targeted/contexts/sepgsql_contexts:  line 39 has invalid object type db_language
/etc/selinux/targeted/contexts/sepgsql_contexts:  line 40 has invalid object type db_language

これらのメッセージは無害ですので無視してください。

インストール手順が正常に終了したら、通常通り、サーバを起動することができます。

F.38.3. リグレッションテスト

SELinuxの性質上、sepgsqlのリグレッションテストを 実行するには、いくつかの追加的な設定が必要で、そのうちの幾つかはrootで 実行する必要があります。 リグレッションテストは通常のmake checkやmake installcheck コマンドで実行する事はできません。必要な設定を行い、テスト用スクリプトを手動で 実行する必要があります。 このテストはPostgreSQLビルドツリーのcontrib/sepgsqlディレクトリで 実行する必要があります。しかしビルドツリーを必要とする一方、このテストは インストールされたサーバに対して実行する必要があります。 これは、make checkではなく、make installcheckに よく似ています。

最初に、項F.38.2に従ってsepgsqlを データベースにセットアップします。 使用するOS上のユーザは、認証無しでデータベース特権ユーザとして接続できる 必要があることに留意してください。

次に、リグレッションテスト用のポリシーパッケージのビルドとインストールを 行ってください。sepgsql-regtest.ppはリグレッションテストの実行に 必要な一連のルールを含む特別な目的のポリシーパッケージです。 ポリシーのソースファイルであるsepgsql-regtest.teから、SELinuxの 提供するMakefileを用いてmakeコマンドでビルドする事ができます。 この時、インストール先システムにおいて、適切なMakefileの位置を 指定する必要があります。以下の例で示されているパスは一例です。 ビルドが完了したら、semoduleを用いてこのポリシーパッケージを インストールする事ができます。このコマンドは、指定されたポリシーパッケージを リンクし、カーネル空間にロードする役割を果たします。 インストールが正常終了したら、semodule -lにより 有効なパッケージの一覧としてsepgsql-regtestが表示されるはずです。

$ cd .../contrib/sepgsql
$ make -f /usr/share/selinux/devel/Makefile
$ sudo semodule -u sepgsql-regtest.pp
$ sudo semodule -l | grep sepgsql
sepgsql-regtest 1.03

次に、sepgsql_regression_test_modeブーリアンを有効化して ください。安全のため、デフォルトではsepgsql-regtest.ppに 含まれる全てのルールが有効化されている訳ではありません。 sepgsql_regression_test_modeブーリアンはリグレッションテストを 起動するための幾つかのルールに関連付けされており、setsebool コマンドによって有効化する事ができます。

$ sudo setsebool sepgsql_regression_test_mode on
$ getsebool sepgsql_regression_test_mode
sepgsql_regression_test_mode --> on

次に、シェルがunconfined_tドメインで動作している事を確認して下さい。

idコマンドを使って現在のドメインを確認する事ができます。 以下のように、シェルプロセスがunconfined_tドメインで動作している事を確認してください。

$ id -Z
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

利用者の動作ドメインを設定する方法について、必要であれば、 詳細は項F.38.7をご覧ください。

最後に、リグレッションテストのスクリプトを実行します。

$ ./test_sepgsql

このスクリプトは全ての設定ステップが正常に行われていることを確認し、 その後、sepgsqlモジュールに対するリグレッションテストを 実行します。

テストの実行後はsepgsql_regression_test_modeブーリアンを 無効化する事をお勧めします。

$ sudo setsebool sepgsql_regression_test_mode off

sepgsql-regtestポリシーをアンロードする際は、以下のコマンドを 実行してください。

$ sudo semodule -r sepgsql-regtest

F.38.4. GUCパラメータ

F.38.5. 機能

UPDATE t1 SET x = 2, y = md5sum(y) WHERE z = 100;

UPDATE t1 SET x = 2, y = md5sum(y) WHERE z = 100;

postgres=# CREATE TABLE customer (
               cid     int primary key,
               cname   text,
               credit  text
           );
CREATE TABLE
postgres=# SECURITY LABEL ON COLUMN customer.credit
               IS 'system_u:object_r:sepgsql_secret_table_t:s0';
SECURITY LABEL
postgres=# CREATE FUNCTION show_credit(int) RETURNS text
             AS 'SELECT regexp_replace(credit, ''-[0-9]+$'', ''-xxxx'', ''g'')
                        FROM customer WHERE cid = $1'
           LANGUAGE sql;
CREATE FUNCTION
postgres=# SECURITY LABEL ON FUNCTION show_credit(int)
               IS 'system_u:object_r:sepgsql_trusted_proc_exec_t:s0';
SECURITY LABEL

postgres=# SELECT * FROM customer;
ERROR:  SELinux: security policy violation
postgres=# SELECT cid, cname, show_credit(cid) FROM customer;
 cid | cname  |     show_credit
-----+--------+---------------------
   1 | taro   | 1111-2222-3333-xxxx
   2 | hanako | 5555-6666-7777-xxxx
(2 rows)

F.38.6. 制限事項

F.38.7. 外部リソース

F.38.8. 著者

KaiGai Kohei <kaigai@ak.jp.nec.com>