Что такое контекст безопасности в Linux и на что он влияет?

Question

[WSGlebKavash]

О чём речь

При настройке nginx на Red Hat Enterprice Linux столкнулся с ошибкой:

Failed to start nginx.service: Unit nginx.service not found.

Система нам заявляет о том, что файл юнита не найден, однако он есть и его можно прочитать. Я перепробовал все способы, но ничего не помогало. Потом обратил внимание на поле "Контекст безопасности". У файла nginx.service он был "unconfined_u:object_r:user_home_t:s0", в то время как у остальных: "system_u:object_r:systemd_unit_file_t:s0". Чисто ради сапёрского интереса решил сменить контекст безопасности у юнита для nginx. Удивительно, но это помогло и теперь всё работает как положено. Ни в одном другом дистрибутиве я не встречался с таким поведением.
Что такое контекст безопасности и зачем он нужен? Как это работает?

Comments

[Everything_is_bad]

почему ты побежал сюда, а не пошел читаешь документацию?

[WSGlebKavash]

Everything_is_bad,

почему ты побежал сюда, а не пошел читаешь документацию?

Потому что я вообще ничего не понял.
Подскажите, пожалуйста, какой раздел документации читать. Дальше я и сам справлюсь.

[Everything_is_bad]

WSGlebKavash, начни с основ selinux

[WSGlebKavash]

Everything_is_bad,

начни с основ selinux

Хорошо, спасибо за наводку.
Слышал про SELinux, но кроме андройда нигде его не использовал

[mayton2019]

Red Han Enterprise это не игрушки. Обычно перед тем как тебя брать на
работу, ты должен был пройти сертификацию или обучение. А если тебе для дома и для семьи
то возмьи Fedora. Она будет попроще для изучения.

[Saboteur]

Selinux это вообще на всех Линуксах есть

[CityCat4]

Everything_is_bad, Потому что это Глеб. Он видать повзрослел малость и тот факт, что он не ищет легких путей, все успели призабыть :) Но тем не менее, своим принципам он по-прежнему верен, крутит все ручки, до которых дотягивается а потом спрашивает - а почему меня тут йопнуло?

[CityCat4]

mayton2019, На торрентах нашел видать.

[shurshur]

Если nginx ставился из пакетов дистрибутива, то почитай про restorecon.

[WSGlebKavash]

shurshur,

Если nginx ставился из пакетов дистрибутива

Нет, nginx собирался руками из исходных кодов с необходимыми модулями.

[shurshur]

WSGlebKavash, тогда курить настройку селинукса, или ваять правильные контексты, или автогенерацию осваивать (но она тоже не всегда надёжно работает). Ну и audit-логи учиться читать.

Конечно, есть и хардкор - выключить нафиг.