tomoyotitle.png

TOMOYO Linux LiveCD Tutorial for CentOS 6

このページについて

このページでは TOMOYO Linux の LiveCD の使い方について解説します。 TOMOYO Linux LiveCD は、 CD で起動できる Linux ディストリビューションである CentOS に、 TOMOYO Linux カーネルとツールをインストールして基本的な設定を行った状態で配布している CD イメージです。 TOMOYO Linux LiveCD を使うことで、既存の環境に影響を与えることなく手軽に TOMOYO Linux を体験できます。

LiveCD を入手する

TOMOYO Linux LiveCD の ISO イメージは、 TOMOYO Linux プロジェクトの ダウンロードページから入手できます。

ダウンロードした ISO イメージは書き込みソフトで CD-R に焼いてください。 CD-R に焼きたくない場合、 VMware Player を使うことで ISO イメージのまま TOMOYO Linux LiveCD を起動することもできます。

LiveCD で起動する

CD-R に焼いた LiveCD を CD-ROM ドライブに入れてマシンを起動するか、前節で紹介した方法で VMware Player 上で ISO イメージから起動してください。 以下のようなデスクトップが表示されれば起動完了です。 通常の CentOS LiveCD とほとんど同じですが、デスクトップに TOMOYO Linux 関連のアイコンが追加されています：

desktop.png

「 Keyboard 」アイコンをダブルクリックすると、キーボードの種類を指定できます。例えば、日本語用のキーボードを使いたい場合、 Layouts タブの中にある Add ボタンをクリックし、 Country 選択欄に Japan を指定して Add ボタンをクリックします：

kbdselect-1.png

Japan という項目がリストに追加されるので、それを Default に選択し、 Close ボタンをクリックします：

kbdselect-2.png

LiveCD を使ってみる

まずは「 TOMOYO Linux Policy Violation Log 」アイコンをダブルクリックしてみてください。 以下のようなウィンドウが表示されます：

reject_log.png

この画面は TOMOYO Linux のポリシーに違反したアクセスログを表示しています。 新たなポリシー違反が発生すればすぐに表示されるようになっています。 LiveCD では何の許可も与えていないポリシーで起動されるので、全てのアクセスがポリシー違反ログとして出力されます。 ウィンドウを開いたままで、さまざまな操作をしてみてください。 どんなプロセスがどんな資源にアクセスしたかが逐次表示されます。

続けて、「 TOMOYO Linux Policy Editor 」アイコンをダブルクリックしてみてください。 以下のようなウィンドウが表示されます：

editpolicy.png

この画面には今までにどのようなプロセスが起動されたかを木構造で表示しており、それぞれの行はドメインと呼ばれます。 システム起動時から、実行されたすべてのプロセスがTOMOYO Linuxカーネルで監視されています。 どんなプロセスがどんな資源にアクセスしたかなどの情報が、すべてポリシーとして記録されています。 ポリシーエディタを使ってポリシーをブラウズするだけで、システムの挙動を手に取るように把握することができます。 これが TOMOYO Linux の最大の特徴です。

ポリシーエディタの最初の画面では、 <kernel> を基点として、どんなプロセスがどんなプロセスを起動したのかが木構造で表示されます。 カーソルキーや PageUp ／ PageDown キーで適当にスクロールして、システム内でどんなプロセスが起動されたかを調べてみてください。

試しに gnome-terminal というプロセスを探してみましょう。 'F' キーを押すと最下行に検索のための１行入力が表示されます。 そこに 'gnome-terminal' と入力して Enter キーを押してください：

find.png

gnome-terminal の下には /usr/bin/sudo という行が存在し、さらにその下に、 /usr/bin/tail や /usr/sbin/ccs-editpolicy という行が存在するのが見てとれます：

domain_gnome-terminal.png

表示されている /usr/bin/tail の行にカーソルを合わせて Enter キーを押してみましょう：

acl_tail.png

それぞれの行の一番左が行番号で、その次に表示されている単語はアクセスの種類を表しています。 file execute が実行を許可、 file write が書き込みモードでのオープンを許可、 file read が読み込みモードでのオープンを許可、 misc env が環境変数名の受け取り許可を表しています。 画面から、 tail コマンドがロケールファイルと、 /var/log/tomoyo/reject_000.log /var/log/tomoyo/reject_001.log /var/log/tomoyo/reject_002.log /var/log/tomoyo/reject_003.log というファイルを読み込んだことが読み取れます。 これはデスクトップの「 TOMOYO Linux Policy Violation Log 」というアイコンをダブルクリックして実行した結果学習されたポリシーです。

もとのドメインの木構造の画面に戻るためには Enter キーを押します。 プロセスがどういう履歴で起動され、どんな資源にアクセスしているかをブラウズしてみてください。

アクセスを制限してみる

学習されたポリシーを見るだけでなく、 TOMOYO Linux によるアクセス制御を体験してみましょう。 先ほどのポリシーエディタの画面は閉じずにそのままにしておいて、画面上端に表示されている「 Applications 」メニューから、「 System Tools 」「 Terminal 」を起動してください：

menu_terminal.png

端末が起動できたら、先ほどのポリシーエディタの画面に戻り、ドメインの木構造が表示されている状態で、 'R' キーを押してポリシーを再読み込みしてください。 そして、 gnome-terminal 以下の /bin/bash を探して見てください。 検索は先ほどと同じく 'F' キーで行えます：

domain_bash.png

これは先ほど起動した端末内で実行されている bash です。 grep や id などのプログラムが bash の開始時に自動的に実行されたことにより、それらのプログラムのためのドメインが作成されています。 端末の画面で、以下のコマンドを実行してください：

$ head /etc/passwd
$ bash
$ tail /etc/passwd
$ exit

bash_learning.png

再度ポリシーエディタの画面に戻って 'R' キーを押すと、実行したプログラムが追加されていることが分かります：

bash_learned.png

この画面で、行番号の次に表示されている数字に注目してください。 今は全ての行で '1' と表示されています：

all_learning.png

これはそのプロセスが動いている TOMOYO Linux のモードを表しており、プロファイル番号とよばれる数値です。 プロファイルとして以下の４種類が定義されており、 LiveCD ではあらかじめ全て 1 （学習モード）に設定されています：

プロファイル番号意味
0無効モード（ TOMOYO Linux は何もしない）
1学習モード（ポリシー違反のアクセス要求を容認して、その要求をポリシーに追加する）
2確認モード（ポリシー違反のアクセス要求を容認する）
3強制モード（ポリシー違反のアクセス要求を拒否する）

TOMOYO Linux のアクセス制御を有効にするには、プロファイル番号 3 をドメインに割り当てる必要があります。 今回は gnome-terminal から起動された bash での操作をアクセス制御の対象としてみましょう。 まず、 gnome-terminal 直下の bash にカーソルを合わせてスペースキーを押します。 すると、行番号の左側に '&' マークが表示され、この行が選択された状態になります：

select-1.png

この状態で 'C' キーを押すと、 '&' マークの有無がカーソル行以下全部にコピーされます：

select-2.png

次に、 sudo にカーソルを合わせてスペースキーを押します。すると、行番号の左側の '&' マークが消えます：

select-3.png

この状態で 'C' キーを押すと、 '&' マークの有無がカーソル行以下全部にコピーされます：

select-4.png

この状態で 'S' キーを押すと、ポリシーエディタの最下行にプロファイル番号を入力する 1 行入力が表示されます。 アクセス制御を体験するために、プロファイル 3 （強制モード）を割り当てましょう：

setprofile.png

'&' マークが付いていたドメインにプロファイル番号 3 が割り当てられました：

bash_enforced.png

これでもう gnome-terminal から起動された bash に対しては強制モードで動いています。 端末の画面で適当なコマンドを入力してみてください。 先ほど学習モードで実行したコマンド以外は拒否されるはずです。 以下の画面では、 head /etc/passwd の実行には成功していますが、 ls や ps コマンドの実行は拒否されています：

1st_bash.png

また、１段階目の bash では tail /etc/passwd は拒否されますが、 bash をもう１段起動した場合には許可されます：

2nd_bash.png

これは、 TOMOYO Linux がプロセスをその実行履歴によって区別していることに起因しています。 ポリシーエディタを見ると、以下の２種類の bash が存在します。

head コマンドは１つ目の、 tail コマンドは２つ目の bash のみにしか許可されていないことが分かります。 TOMOYO Linux はシステム起動時から起動されたすべてのプロセスを監視しており、プロセスは実行履歴によって細かく区別されます。

/var/log/tomoyo/reject_003.log には、以下のように mode=enforcing という行を含んだログを見つけることができます。実行履歴と要求されたファイルのパス名だけでなく、プロセスの情報／コマンドライン引数／環境変数など詳細な情報を含んだログが記録されています。より厳密なアクセス制御を行いたい場合には、必要に応じてこれらの情報を条件として指定することもできます。

#2011/08/01 07:00:39# profile=3 mode=enforcing granted=no (global-pid=2042) task={ pid=2042 ppid=1993 uid=500 gid=500 euid=500 egid=500 suid=500 sgid=500 fsuid=500 fsgid=500 type!=execute_handler } path1={ uid=0 gid=0 ino=131163 major=253 minor=0 perm=0755 type=file } path1.parent={ uid=0 gid=0 ino=131073 perm=0555 } exec={ realpath="/bin/ls" argc=2 envc=39 argv[]={ "ls" "--color=auto" } envp[]={ "ORBIT_SOCKETDIR=/tmp/orbit-centoslive" "HOSTNAME=livecd.centos" "TERM=xterm" "SHELL=/bin/bash" "XDG_SESSION_COOKIE=e1c8312ed0c853f35e9450b00000001c-1312180993.341784-251714811" "HISTSIZE=1000" "GTK_RC_FILES=/etc/gtk/gtkrc:/home/centoslive/.gtkrc-1.2-gnome2" "WINDOWID=39847010" "QTDIR=/usr/lib/qt-3.3" "QTINC=/usr/lib/qt-3.3/include" "USER=centoslive" "LS_COLORS=rs=0:di=01;34:ln=01;36:mh=00:pi=40;33:so=01;35:do=01;35:bd=40;33;01:cd=40;33;01:or=40;31;01:mi=01;05;37;41:su=37;41:sg=30;43:ca=30;41:tw=30;42:ow=34;42:st=37;44:ex=01;32:*.tar=01;31:*.tgz=01;31:*.arj=01;31:*.taz=01;31:*.lzh=01;31:*.lzma=01;31:*.tlz=01;31:*.txz=01;31:*.zip=01;31:*.z=01;31:*.Z=01;31:*.dz=01;31:*.gz=01;31:*.lz=01;31:*.xz=01;31:*.bz2=01;31:*.tbz=01;31:*.tbz2=01;31:*.bz=01;31:*.tz=01;31:*.deb=01;31:*.rpm=01;31:*.jar=01;31:*.rar=01;31:*.ace=01;31:*.zoo=01;31:*.cpio=01;31:*.7z=01;31:*.rz=01;31:*.jpg=01;35:*.jpeg=01;35:*.gif=01;35:*.bmp=01;35:*.pbm=01;35:*.pgm=01;35:*.ppm=01;35:*.tga=01;35:*.xbm=01;35:*.xpm=01;35:*.tif=01;35:*.tiff=01;35:*.png=01;35:*.svg=01;35:*.svgz=01;35:*.mng=01;35:*.pcx=01;35:*.mov=01;35:*.mpg=01;35:*.mpeg=01;35:*.m2v=01;35:*.mkv=01;35:*.ogm=01;35:*.mp4=01;35:*.m4v=01;35:*.mp4v=01;35:*.vob=01;35:*.qt=01;35:*.nuv=01;35:*.wmv=01;35:*.asf=01;35:*.rm=01;35:*.rmvb=01;35:*.flc=01;35:*.avi=01;35:*.fli=01;35:*.flv=01;35:*.gl=01;35:*.dl=01;35:*.xcf=01;35:*.xwd=01;35:*.yuv=01;35:*.cgm=01;35:*.emf=01;35:*.axv=01;35:*.anx=01;35:*.ogv=01;35:*.ogx=01;35:*.aac=01;36:*.au=01;36:*.flac=01;36:*.mid=01;36:*.midi=01;36:*.mka=01;36:*.mp3=01;36:*.mpc=01;36:*.ogg=01;36:*.ra=01;36:*.wav=01;36:*.axa=01;36:*.oga=01;36:*.spx=01;36:*.xspf=01;36:" "GNOME_KEYRING_SOCKET=/tmp/keyring-XbuReL/socket" "SSH_AUTH_SOCK=/tmp/keyring-XbuReL/socket.ssh" "SESSION_MANAGER=local/unix:@/tmp/.ICE-unix/1758,unix/unix:/tmp/.ICE-unix/1758" "USERNAME=centoslive" "DESKTOP_SESSION=gnome" "MAIL=/var/spool/mail/centoslive" "PATH=/usr/lib/qt-3.3/bin:/usr/local/bin:/usr/bin:/bin:/usr/local/sbin:/usr/sbin:/sbin:/home/centoslive/bin" "PWD=/home/centoslive" "GDM_KEYBOARD_LAYOUT=us" "LANG=en_US.utf8" "GDM_LANG=en_US.utf8" "GDMSESSION=gnome" "SSH_ASKPASS=/usr/libexec/openssh/gnome-ssh-askpass" "HISTCONTROL=ignoredups" "HOME=/home/centoslive" "SHLVL=2" "GNOME_DESKTOP_SESSION_ID=this-is-deprecated" "LOGNAME=centoslive" "QTLIB=/usr/lib/qt-3.3/lib" "DBUS_SESSION_BUS_ADDRESS=unix:abstract=/tmp/dbus-9vNQlAt24u,guid=a665836d3e76b05bca57ea0f00000044" "LESSOPEN=|/usr/bin/lesspipe.sh\040%s" "WINDOWPATH=1" "DISPLAY=:0.0" "G_BROKEN_FILENAMES=1" "XAUTHORITY=/var/run/gdm/auth-for-centoslive-LfnKBA/database" "COLORTERM=gnome-terminal" "_=/bin/ls" } }
<kernel> /sbin/init /etc/X11/prefdm /usr/sbin/gdm /usr/sbin/gdm-binary /usr/libexec/gdm-simple-slave /usr/libexec/gdm-session-worker /etc/gdm/Xsession /bin/bash /usr/bin/gnome-session /usr/bin/nautilus /usr/bin/gnome-terminal /bin/bash
file execute /bin/ls

#2011/08/01 07:00:39# profile=3 mode=enforcing granted=no (global-pid=2042) task={ pid=2042 ppid=1993 uid=500 gid=500 euid=500 egid=500 suid=500 sgid=500 fsuid=500 fsgid=500 type!=execute_handler } path1={ uid=0 gid=0 ino=131163 major=253 minor=0 perm=0755 type=file } path1.parent={ uid=0 gid=0 ino=131073 perm=0555 }
<kernel> /sbin/init /etc/X11/prefdm /usr/sbin/gdm /usr/sbin/gdm-binary /usr/libexec/gdm-simple-slave /usr/libexec/gdm-session-worker /etc/gdm/Xsession /bin/bash /usr/bin/gnome-session /usr/bin/nautilus /usr/bin/gnome-terminal /bin/bash
file read /bin/ls

#2011/08/01 07:00:43# profile=3 mode=enforcing granted=no (global-pid=2043) task={ pid=2043 ppid=1993 uid=500 gid=500 euid=500 egid=500 suid=500 sgid=500 fsuid=500 fsgid=500 type!=execute_handler } path1={ uid=0 gid=0 ino=131170 major=253 minor=0 perm=0755 type=file } path1.parent={ uid=0 gid=0 ino=131073 perm=0555 } exec={ realpath="/bin/ps" argc=1 envc=39 argv[]={ "ps" } envp[]={ "ORBIT_SOCKETDIR=/tmp/orbit-centoslive" "HOSTNAME=livecd.centos" "TERM=xterm" "SHELL=/bin/bash" "XDG_SESSION_COOKIE=e1c8312ed0c853f35e9450b00000001c-1312180993.341784-251714811" "HISTSIZE=1000" "GTK_RC_FILES=/etc/gtk/gtkrc:/home/centoslive/.gtkrc-1.2-gnome2" "WINDOWID=39847010" "QTDIR=/usr/lib/qt-3.3" "QTINC=/usr/lib/qt-3.3/include" "USER=centoslive" "LS_COLORS=rs=0:di=01;34:ln=01;36:mh=00:pi=40;33:so=01;35:do=01;35:bd=40;33;01:cd=40;33;01:or=40;31;01:mi=01;05;37;41:su=37;41:sg=30;43:ca=30;41:tw=30;42:ow=34;42:st=37;44:ex=01;32:*.tar=01;31:*.tgz=01;31:*.arj=01;31:*.taz=01;31:*.lzh=01;31:*.lzma=01;31:*.tlz=01;31:*.txz=01;31:*.zip=01;31:*.z=01;31:*.Z=01;31:*.dz=01;31:*.gz=01;31:*.lz=01;31:*.xz=01;31:*.bz2=01;31:*.tbz=01;31:*.tbz2=01;31:*.bz=01;31:*.tz=01;31:*.deb=01;31:*.rpm=01;31:*.jar=01;31:*.rar=01;31:*.ace=01;31:*.zoo=01;31:*.cpio=01;31:*.7z=01;31:*.rz=01;31:*.jpg=01;35:*.jpeg=01;35:*.gif=01;35:*.bmp=01;35:*.pbm=01;35:*.pgm=01;35:*.ppm=01;35:*.tga=01;35:*.xbm=01;35:*.xpm=01;35:*.tif=01;35:*.tiff=01;35:*.png=01;35:*.svg=01;35:*.svgz=01;35:*.mng=01;35:*.pcx=01;35:*.mov=01;35:*.mpg=01;35:*.mpeg=01;35:*.m2v=01;35:*.mkv=01;35:*.ogm=01;35:*.mp4=01;35:*.m4v=01;35:*.mp4v=01;35:*.vob=01;35:*.qt=01;35:*.nuv=01;35:*.wmv=01;35:*.asf=01;35:*.rm=01;35:*.rmvb=01;35:*.flc=01;35:*.avi=01;35:*.fli=01;35:*.flv=01;35:*.gl=01;35:*.dl=01;35:*.xcf=01;35:*.xwd=01;35:*.yuv=01;35:*.cgm=01;35:*.emf=01;35:*.axv=01;35:*.anx=01;35:*.ogv=01;35:*.ogx=01;35:*.aac=01;36:*.au=01;36:*.flac=01;36:*.mid=01;36:*.midi=01;36:*.mka=01;36:*.mp3=01;36:*.mpc=01;36:*.ogg=01;36:*.ra=01;36:*.wav=01;36:*.axa=01;36:*.oga=01;36:*.spx=01;36:*.xspf=01;36:" "GNOME_KEYRING_SOCKET=/tmp/keyring-XbuReL/socket" "SSH_AUTH_SOCK=/tmp/keyring-XbuReL/socket.ssh" "SESSION_MANAGER=local/unix:@/tmp/.ICE-unix/1758,unix/unix:/tmp/.ICE-unix/1758" "USERNAME=centoslive" "DESKTOP_SESSION=gnome" "MAIL=/var/spool/mail/centoslive" "PATH=/usr/lib/qt-3.3/bin:/usr/local/bin:/usr/bin:/bin:/usr/local/sbin:/usr/sbin:/sbin:/home/centoslive/bin" "PWD=/home/centoslive" "GDM_KEYBOARD_LAYOUT=us" "LANG=en_US.utf8" "GDM_LANG=en_US.utf8" "GDMSESSION=gnome" "SSH_ASKPASS=/usr/libexec/openssh/gnome-ssh-askpass" "HISTCONTROL=ignoredups" "HOME=/home/centoslive" "SHLVL=2" "GNOME_DESKTOP_SESSION_ID=this-is-deprecated" "LOGNAME=centoslive" "QTLIB=/usr/lib/qt-3.3/lib" "DBUS_SESSION_BUS_ADDRESS=unix:abstract=/tmp/dbus-9vNQlAt24u,guid=a665836d3e76b05bca57ea0f00000044" "LESSOPEN=|/usr/bin/lesspipe.sh\040%s" "WINDOWPATH=1" "DISPLAY=:0.0" "G_BROKEN_FILENAMES=1" "XAUTHORITY=/var/run/gdm/auth-for-centoslive-LfnKBA/database" "COLORTERM=gnome-terminal" "_=/bin/ps" } }
<kernel> /sbin/init /etc/X11/prefdm /usr/sbin/gdm /usr/sbin/gdm-binary /usr/libexec/gdm-simple-slave /usr/libexec/gdm-session-worker /etc/gdm/Xsession /bin/bash /usr/bin/gnome-session /usr/bin/nautilus /usr/bin/gnome-terminal /bin/bash
file execute /bin/ps

#2011/08/01 07:00:43# profile=3 mode=enforcing granted=no (global-pid=2043) task={ pid=2043 ppid=1993 uid=500 gid=500 euid=500 egid=500 suid=500 sgid=500 fsuid=500 fsgid=500 type!=execute_handler } path1={ uid=0 gid=0 ino=131170 major=253 minor=0 perm=0755 type=file } path1.parent={ uid=0 gid=0 ino=131073 perm=0555 }
<kernel> /sbin/init /etc/X11/prefdm /usr/sbin/gdm /usr/sbin/gdm-binary /usr/libexec/gdm-simple-slave /usr/libexec/gdm-session-worker /etc/gdm/Xsession /bin/bash /usr/bin/gnome-session /usr/bin/nautilus /usr/bin/gnome-terminal /bin/bash
file read /bin/ps

#2011/08/01 07:00:51# profile=3 mode=enforcing granted=no (global-pid=2044) task={ pid=2044 ppid=1993 uid=500 gid=500 euid=500 egid=500 suid=500 sgid=500 fsuid=500 fsgid=500 type!=execute_handler } path1={ uid=0 gid=0 ino=1312 major=253 minor=0 perm=0644 type=file } path1.parent={ uid=0 gid=0 ino=8196 perm=0755 }
<kernel> /sbin/init /etc/X11/prefdm /usr/sbin/gdm /usr/sbin/gdm-binary /usr/libexec/gdm-simple-slave /usr/libexec/gdm-session-worker /etc/gdm/Xsession /bin/bash /usr/bin/gnome-session /usr/bin/nautilus /usr/bin/gnome-terminal /bin/bash /usr/bin/head
file read /etc/fstab

#2011/08/01 07:00:51# profile=3 mode=enforcing granted=no (global-pid=2044) task={ pid=2044 ppid=1993 uid=500 gid=500 euid=500 egid=500 suid=500 sgid=500 fsuid=500 fsgid=500 type!=execute_handler } path1={ uid=0 gid=0 ino=162696 major=253 minor=0 perm=0644 type=file } path1.parent={ uid=0 gid=0 ino=162695 perm=0755 }
<kernel> /sbin/init /etc/X11/prefdm /usr/sbin/gdm /usr/sbin/gdm-binary /usr/libexec/gdm-simple-slave /usr/libexec/gdm-session-worker /etc/gdm/Xsession /bin/bash /usr/bin/gnome-session /usr/bin/nautilus /usr/bin/gnome-terminal /bin/bash /usr/bin/head
file read /usr/share/locale/en/LC_MESSAGES/coreutils.mo

#2011/08/01 07:01:23# profile=3 mode=enforcing granted=no (global-pid=2045) task={ pid=2045 ppid=1993 uid=500 gid=500 euid=500 egid=500 suid=500 sgid=500 fsuid=500 fsgid=500 type!=execute_handler } path1={ uid=0 gid=0 ino=24603 major=253 minor=0 perm=0755 type=file } path1.parent={ uid=0 gid=0 ino=24093 perm=0555 } exec={ realpath="/usr/bin/tail" argc=2 envc=39 argv[]={ "tail" "/etc/passwd" } envp[]={ "ORBIT_SOCKETDIR=/tmp/orbit-centoslive" "HOSTNAME=livecd.centos" "TERM=xterm" "SHELL=/bin/bash" "XDG_SESSION_COOKIE=e1c8312ed0c853f35e9450b00000001c-1312180993.341784-251714811" "HISTSIZE=1000" "GTK_RC_FILES=/etc/gtk/gtkrc:/home/centoslive/.gtkrc-1.2-gnome2" "WINDOWID=39847010" "QTDIR=/usr/lib/qt-3.3" "QTINC=/usr/lib/qt-3.3/include" "USER=centoslive" "LS_COLORS=rs=0:di=01;34:ln=01;36:mh=00:pi=40;33:so=01;35:do=01;35:bd=40;33;01:cd=40;33;01:or=40;31;01:mi=01;05;37;41:su=37;41:sg=30;43:ca=30;41:tw=30;42:ow=34;42:st=37;44:ex=01;32:*.tar=01;31:*.tgz=01;31:*.arj=01;31:*.taz=01;31:*.lzh=01;31:*.lzma=01;31:*.tlz=01;31:*.txz=01;31:*.zip=01;31:*.z=01;31:*.Z=01;31:*.dz=01;31:*.gz=01;31:*.lz=01;31:*.xz=01;31:*.bz2=01;31:*.tbz=01;31:*.tbz2=01;31:*.bz=01;31:*.tz=01;31:*.deb=01;31:*.rpm=01;31:*.jar=01;31:*.rar=01;31:*.ace=01;31:*.zoo=01;31:*.cpio=01;31:*.7z=01;31:*.rz=01;31:*.jpg=01;35:*.jpeg=01;35:*.gif=01;35:*.bmp=01;35:*.pbm=01;35:*.pgm=01;35:*.ppm=01;35:*.tga=01;35:*.xbm=01;35:*.xpm=01;35:*.tif=01;35:*.tiff=01;35:*.png=01;35:*.svg=01;35:*.svgz=01;35:*.mng=01;35:*.pcx=01;35:*.mov=01;35:*.mpg=01;35:*.mpeg=01;35:*.m2v=01;35:*.mkv=01;35:*.ogm=01;35:*.mp4=01;35:*.m4v=01;35:*.mp4v=01;35:*.vob=01;35:*.qt=01;35:*.nuv=01;35:*.wmv=01;35:*.asf=01;35:*.rm=01;35:*.rmvb=01;35:*.flc=01;35:*.avi=01;35:*.fli=01;35:*.flv=01;35:*.gl=01;35:*.dl=01;35:*.xcf=01;35:*.xwd=01;35:*.yuv=01;35:*.cgm=01;35:*.emf=01;35:*.axv=01;35:*.anx=01;35:*.ogv=01;35:*.ogx=01;35:*.aac=01;36:*.au=01;36:*.flac=01;36:*.mid=01;36:*.midi=01;36:*.mka=01;36:*.mp3=01;36:*.mpc=01;36:*.ogg=01;36:*.ra=01;36:*.wav=01;36:*.axa=01;36:*.oga=01;36:*.spx=01;36:*.xspf=01;36:" "GNOME_KEYRING_SOCKET=/tmp/keyring-XbuReL/socket" "SSH_AUTH_SOCK=/tmp/keyring-XbuReL/socket.ssh" "SESSION_MANAGER=local/unix:@/tmp/.ICE-unix/1758,unix/unix:/tmp/.ICE-unix/1758" "USERNAME=centoslive" "DESKTOP_SESSION=gnome" "MAIL=/var/spool/mail/centoslive" "PATH=/usr/lib/qt-3.3/bin:/usr/local/bin:/usr/bin:/bin:/usr/local/sbin:/usr/sbin:/sbin:/home/centoslive/bin" "PWD=/home/centoslive" "GDM_KEYBOARD_LAYOUT=us" "LANG=en_US.utf8" "GDM_LANG=en_US.utf8" "GDMSESSION=gnome" "SSH_ASKPASS=/usr/libexec/openssh/gnome-ssh-askpass" "HISTCONTROL=ignoredups" "HOME=/home/centoslive" "SHLVL=2" "GNOME_DESKTOP_SESSION_ID=this-is-deprecated" "LOGNAME=centoslive" "QTLIB=/usr/lib/qt-3.3/lib" "DBUS_SESSION_BUS_ADDRESS=unix:abstract=/tmp/dbus-9vNQlAt24u,guid=a665836d3e76b05bca57ea0f00000044" "LESSOPEN=|/usr/bin/lesspipe.sh\040%s" "WINDOWPATH=1" "DISPLAY=:0.0" "G_BROKEN_FILENAMES=1" "XAUTHORITY=/var/run/gdm/auth-for-centoslive-LfnKBA/database" "COLORTERM=gnome-terminal" "_=/usr/bin/tail" } }
<kernel> /sbin/init /etc/X11/prefdm /usr/sbin/gdm /usr/sbin/gdm-binary /usr/libexec/gdm-simple-slave /usr/libexec/gdm-session-worker /etc/gdm/Xsession /bin/bash /usr/bin/gnome-session /usr/bin/nautilus /usr/bin/gnome-terminal /bin/bash
file execute /usr/bin/tail

#2011/08/01 07:01:23# profile=3 mode=enforcing granted=no (global-pid=2045) task={ pid=2045 ppid=1993 uid=500 gid=500 euid=500 egid=500 suid=500 sgid=500 fsuid=500 fsgid=500 type!=execute_handler } path1={ uid=0 gid=0 ino=24603 major=253 minor=0 perm=0755 type=file } path1.parent={ uid=0 gid=0 ino=24093 perm=0555 }
<kernel> /sbin/init /etc/X11/prefdm /usr/sbin/gdm /usr/sbin/gdm-binary /usr/libexec/gdm-simple-slave /usr/libexec/gdm-session-worker /etc/gdm/Xsession /bin/bash /usr/bin/gnome-session /usr/bin/nautilus /usr/bin/gnome-terminal /bin/bash
file read /usr/bin/tail

（参考）ハードディスクにインストールする

設定や学習させたポリシーは LiveCD で起動している間のみで有効で、システムを終了させると失われてしまいます。 継続的に使用したい場合はハードディスクにインストールしてください。 デスクトップの「 Install to Hard Drive 」アイコンをダブルクリックしてあとの指示に従えば、 TOMOYO Linux が導入された状態の CentOS をハードディスクにインストールできます。 LiveCD として起動する分には既存の環境に影響を与えません。 しかし、ハードディスクにインストールすると既存の OS 領域を上書きしてしまう可能性があります。くれぐれも注意ください。

root ユーザ権限で ccs-savepolicy コマンドを実行すればポリシーを保存することができます。 保存されたポリシーは次回起動時に参照されます。

さらに TOMOYO Linux を使いこなす

上記手順で解説した内容で、 TOMOYO Linux の基本的なアクセス制御を体験できました。 TOMOYO Linux にはさまざまな機能があります。さらに TOMOYO Linux を使いこなしたいという方は、このページの先頭にあるリンクを辿ってください。