ソフトウェアエンジニアリング

audit.logを読み解くと

• logrotateプロセスのSELinuxコンテキストは
  system_u system_r logrotate_t
• /var/lib/redmine/log/production.logふぁいるのSELinuxコンテキストは
  unconfined_u object_r var_lib_t

ここで、通常logrotate対象のログファイルが置かれている/var/logディレクトリ以下のログファイルのSELinuxコンテキストを調べてみると、var_log_tが付いているものが多い。

解決方針案として、/var/lib/remdine/log/ディレクトリ下のファイルに対して var_log_t コンテキストを永続的に付与する方法がありそうだ。
他には、logrotate_tのプロセスからvar_lib_tのファイルにアクセスできるようにするか・・・。

semanageでディレクトリ・ファイルにコンテキストを追加する。

$ sudo semanage fcontext -a -t var_log_t '/var/lib/redmine/log(/.*)?'

この設定は次のファイルに記載される。

• /etc/selinux/targeted/contexts/files/file_contexts.local

# This file is auto-generated by libsemanage
# Do not edit directly.

/var/lib/git(/.*)?    system_u:object_r:httpd_git_rw_content_t:s0
/var/lib/git/[^/]+/hooks(/.*)?    system_u:object_r:httpd_git_script_exec_t:s0
/var/lib/redmine/log(/.*)?    system_u:object_r:var_log_t:s0

次に既存のディレクトリ・ファイルにコンテキストを設定する。

$ sudo restorecon -Frvv /var/lib/redmine/log
restorecon reset /var/lib/redmine-3.4-stable/log context unconfined_u:object_r:var_lib_t:s0->system_u:object_r:var_lib_t:s0
restorecon reset /var/lib/redmine-3.4-stable/log/unicorn.stdout.log context unconfined_u:object_r:var_lib_t:s0->system_u:object_r:var_lib_t:s0
restorecon reset /var/lib/redmine-3.4-stable/log/unicorn.stderr.log context unconfined_u:object_r:var_lib_t:s0->system_u:object_r:var_lib_t:s0
restorecon reset /var/lib/redmine-3.4-stable/log/delete.me context unconfined_u:object_r:var_lib_t:s0->system_u:object_r:var_lib_t:s0
restorecon reset /var/lib/redmine-3.4-stable/log/production.log context unconfined_u:object_r:var_lib_t:s0->system_u:object_r:var_lib_t:s0

うーむ、本来はvar_log_tが設定されるはずが、var_lib_tとなっている。また、対象ファイルがシンボリックリンク先の実体になっているのも気になる・・・。

要調査

logrotateされるようになった。

なお、シンボリックリンクの/var/lib/redmine にはvar_log_tのラベルが付いているが、実体の/var/lib/redmine-3.4-stableには付いていない。

Redmineの画像がダウンロードできなくなってしまった。
Wikiなどで画像は表示されるが、画像をクリックしダウンロードしようとするとエラー（403）になる。
redmineのログ上は、正常に完了（200）している。

Started GET "/attachments/download/624/idea_start-1.png" for 127.0.0.1 at 2018-02-27 21:13:01 +0900
Processing by AttachmentsController#download as HTML
  Parameters: {"id"=>"624", "filename"=>"idea_start-1.png"}
  Current user: torutk (id=3)
Sent file /var/lib/redmine-3.4-stable/files/2017/06/170611005222_idea_start-1.png (0.1ms)
Completed 200 OK in 17ms (ActiveRecord: 5.1ms)

nginxのログを見ると、

2018/02/27 21:13:02 [error] 12926#12926: *7978595 open() "/var/lib/redmine/files
/2017/06/170611005222_idea_start-1.png" failed (13: Permission denied), client: 
116.0.158.34, server: www.torutk.com, request: "GET /attachments/download/624/id
ea_start-1.png HTTP/1.1", upstream: "http://unix:/tmp/unicorn_redmine.sock/attac
hments/download/624/idea_start-1.png", host: "www.torutk.com", referrer: "http:/
/www.torutk.com/attachments/624" 

と、エラーになっている。
他にも多数のファイルがnginxでエラーになっているので、今回の処置は「まずい」。

タイプ var_log_t の設定を削除することとします。

/etc/selinux/targetd/contexts/files/file_contexts.local には、今回の設定で次が追加されている。

/var/lib/redmine.*/log(/.*)?    system_u:object_r:var_log_t:s0
/var/lib/redmine    system_u:object_r:var_log_t:s0

まず、これを削除する。

$ sudo semanage fcontext -d /var/lib/redmine
$ sudo semanage fcontext -d '/var/lib/redmine.*/log(/.*)?'
$ sudo restorecon -Frvv /var/lib/redmine

これで画像のサムネイルから原寸表示、画像のダウンロードなどができるようになりました。

logrotateの問題は再度取り組みとします。