FrontPage > 製品 > セキュリティ > アクセス制御 > SELinux

SELinux（Security-Enhanced Linux）

• 開発元：アメリカ国家安全保障局（NSA）
• URL：http://www.nsa.gov/research/selinux/

SELinux(Security-Enhanced Linux)は、アメリカ国家安全保障局がGPL下で提供しているLinuxのカーネルに強制アクセス制御 (MAC)機能を付加するモジュールの名称。名前から勘違いされることが多いが Linuxディストリビューションの一つではない。

製品概要

SELinux(Security-Enhanced Linux)は、アメリカ国家安全保障局がGPL下で提供しているLinuxのカーネルに強制アクセス制御 (MAC)機能を付加するモジュールの名称。名前から勘違いされることが多いが Linuxディストリビューションの一つではない。

SELinux の内容

従来の Linux（もっと広くいえばUNIX全体）のシステムでは、ディレクトリやファイルといったリソースに対するアクセス制限は各ファイルに割り当てられているパーミッションに基づいている。

このパーミッションは「オーナー」、「グループ」、「その他のユーザ」に対してそれぞれ「読み込み」、「書き込み」、「実行」の許可を設定するものであり、これらのパーミッションを「無視して」アクセス可能なユーザとして root（スーパーユーザー） がある。 すなわち全ての権限が root に集中しているといえる。このため一度 root のパスワードが漏洩するとシステムに致命的な被害を及ぼすという欠点がある。

SELinux はこのことに注目しセキュリティの対象に応じてHTTP、FTPといったプロセスごとにアクセス制限をかける Type Enforcement (TE)と、rootも含む全てのユーザに関して制限をかけるロールベースアクセス制御(RBAC)などで制御し、rootに権限が集中することを防ぐことでセキュリティの高いシステムの構築の提供を目的としてる。

TE

TE では全てのプロセスに対して「ドメイン」と呼ばれるラベルを付加する。またリソースに対しても同じく「タイプ」と呼ばれるラベルを付与する。さらに各リソースには「アクセス・ベクタ」が割り当てられる。アクセス・ベクタとは「読み込み」、「書き込み」といったリソースに対して行える操作の種類のことである。 これにより各ドメインとタイプに対して許可されるアクセス・ベクタを、セキュリティーポリシーとして設定可能にしている。

RBAC

RBAC は「ロール」と呼ばれるいくつかのドメインを束ねたものを設定し、それをユーザに付与する仕組みである。ユーザは付与されたロール内のドメインの権限でのみファイルにアクセス可能である。この機能により各ユーザ毎に細かく権限を付与、制限することが可能である。このため例えば Web管理者には Web管理に必要なファイルのみにアクセス可能にする、という風にユーザに応じて権限の役割分担が行える。このことにより仮にあるユーザのパスワードが漏洩しても、被害を受けるのはそのユーザが持つ権限に対してのみであり、被害を最小限に押さえることができる。

（Wikipediaより転載）

SELinuxの関連製品／サービス

製品

サービス