第２章： TOMOYO Linux の初期化

file_pattern というキーワードを使用して、パス名のパターンを登録します。アクセス許可を学習する際に、要求されたパス名が file_pattern というキーワードを使用して登録されたパス名のパターンと一致した場合、パターン化されたパス名でアクセス許可が学習されます。
目安としては以下のものが挙げられます。

• /proc/PID/ ディレクトリ以下に存在するファイルのパス名
• /sys/ ディレクトリ以下に存在するファイルのパス名（カーネル 2.6 系の場合のみ）
• /dev/ ディレクトリ以下の一部のパス名
• /etc/ccs/ ディレクトリ以下のポリシーファイルのパス名
• マニュアルページのパス名
• スプールディレクトリのパス名
• メールの送受信時に作成されるテンポラリファイルのパス名
• man コマンドが作成するテンポラリファイルのパス名
• mount コマンドが作成するテンポラリファイルのパス名

システムにインストールされているアプリケーションやその設定により、上記以外にもパターン化されたパス名が必要になります。不足しているパターンは、実際にどのようなアクセスが行われるかを観察してから、適切にパターン化して追加します。

path_group というキーワードを使用して、パス名のパターンを登録します。これは、複数のパス名を集約することでポリシーの記述量を減らすためのマクロです。使い方は後述します。

number_group というキーワードを使用して、数値のパターンを登録します。これは、複数の数値を集約することでポリシーの記述量を減らすためのマクロです。使い方は後述します。

address_group というキーワードを使用して、 IPv4 または IPv6 アドレスのパターンを登録します。これは、複数の IP アドレスを集約することでポリシーの記述量を減らすためのマクロです。使い方は後述します。

allow_read というキーワードを使用して、全てのプログラムへの読み込みアクセスを許可するファイルのパス名を登録します。パターンも使用できます。読み込みモードで要求されたパス名が allow_read というキーワードを使用して登録されたパス名と一致した場合、ドメインポリシーで明示的に許可が与えられていなかった場合でも読み込みアクセスが許可されます。
目安としては以下のものが挙げられます。

• ldconfig に登録されている共有ライブラリ
• /proc/ ディレクトリ以下に存在するファイルの一部
• /usr/share/locale/ ディレクトリ以下に存在するロケールデータの一部

システムにインストールされているアプリケーションやその設定により、上記以外にも常に読み込みアクセスを許可したいファイルがあるかもしれません。不足しているファイルは、実際にどのようなファイルを読み込むかを観察してから、必要に応じてその都度追加していきます。

allow_env というキーワードを使用して、全てのプログラムが受け取ってよい環境変数の名前を登録します。パターンも使用できます。プログラムの実行時に渡された環境変数の名前が allow_env というキーワードを使用して登録された名前と一致した場合、ドメインポリシーで明示的に許可が与えられていなかった場合でも受け取りが許可されます。
目安としては以下のものが挙げられます。

• PATH や HOME のように、どのようなプログラムに渡されても構わないような環境変数名

システムにインストールされているアプリケーションやその設定により、上記以外にも常に許可したい環境変数名があるかもしれません。不足している環境変数名は、実際にどのような環境変数名が使われているかを観察してから、必要に応じてその都度追加していきます。

deny_rewrite というキーワードを使用して、既に記録されている部分の書き換えを禁止したいファイル（ログファイル等）のパス名を登録します。パターンが使用できます。 deny_rewrite というキーワードを使用して登録されたファイルは、後述するドメインポリシーの中で明示的に allow_rewrite というキーワードを用いて許可が与えられない限り、追記ではない書き込みモードでのオープンとファイルの切り詰めが禁止されます。
目安としては以下のものが挙げられます。

• /var/log/ ディレクトリ以下のファイル

システムにインストールされているアプリケーションやその設定により、上記以外にも書き換えを禁止したいファイルがあるかもしれません。不足しているファイルは、実際にどのようなファイルが追記専用で使われているかを観察してから、必要に応じてその都度追加していきます。

複数のプログラムを単一のプログラム名で扱うには、 aggregator というキーワードに続けて集約前のプログラム名と集約後のプログラム名を指定します。集約前のプログラム名にはパターンを使用できます。
例えば、 /usr/bin/tac と /bin/cat は似ているので、 aggregator /usr/bin/tac /bin/cat という指定をすることで /usr/bin/tac を /bin/cat のドメインで実行することができるようになります。

initialize_domain というキーワードを使用して、ドメイン遷移履歴をリセットするプログラムのパス名を登録します。パターンは使用できません。 initialize_domain というキーワードを使用して登録されたパス名のプログラムが実行された場合、そのプログラムは <kernel> 直下のドメインで動作します。
目安としては以下のものが挙げられます。

• /etc/init.d/ ディレクトリ以下にあるデーモンプログラム等を起動・終了させるためのスクリプト
• 上記スクリプトから起動されるデーモンプログラムの内、ドメイン名を短くしたいもの（httpd や sshd など）

システムにインストールされているアプリケーションやその設定により、上記以外にもドメイン遷移履歴をリセットさせたいプログラムがあるかもしれません。最初にドメイン遷移履歴を作成して、実際にどのようなプログラムを指定したらよいかを考慮しながら、必要に応じてその都度追加していきます。その際、他のドメインへの影響に注意してください。例えば、ドメインポリシーとして

というポリシーが既に存在している状態で /bin/tcsh を initialize_domain として追加した場合、 /bin/tcsh は <kernel> /bin/tcsh というドメインへ遷移することになるため、 <kernel> ・・・ /bin/bash /bin/tcsh というドメインへは遷移できなくなってしまいます。そのような場合は、以下のように、 <kernel> ・・・ /bin/bash /bin/tcsh で始まる部分を <kernel> /bin/tcsh で始まるようにドメインポリシーを変更してやる必要があります。

no_initialize_domain というキーワードを使うことで、 initialize_domain キーワードの効果を打ち消すことができます。特定の条件下ではドメイン遷移を初期化させたくない場合に使用します。

keep_domain というキーワードを使用して、ドメイン遷移を行わないドメインを指定することができます。
例えば、 keep_domain <kernel> /usr/sbin/sshd /bin/tcsh という行が含まれている場合、 <kernel> /usr/sbin/sshd /bin/tcsh というドメインに属しているプロセスは、 initialize_domain というキーワードで指定されたプログラムが実行されない限り、そのドメインに留まります。

no_keep_domain というキーワードを使うことで、 keep_domain キーワードの効果を打ち消すことができます。特定の条件下でドメイン遷移を行わせたい場合に使用します。

deny_autobind というキーワードを使用して、ポートの自動選択機能によって割り当てられてしまうことを防ぐことができます。
特定のサービスが使用するポート番号が、ポートの自動選択機能によって割り当てられてしまうことで、そのサービスの動作に影響を与える場合があります。 このキーワードを使うことで、ポートの自動選択機能によって割り当てられてしまうことを防ぐことができます。