Provided by: selinux-utils_3.0-1build2_amd64 
ИМЯ
selabel_x - интерфейс проставления меток SELinux в пространстве пользователя и формат
файла конфигурации для внутренней службы контекстов оконной системы X Window System. Эта
внутренняя служба также используется для определения контекста по умолчанию, который
следует присвоить подключённым удалённо клиентам X
ОБЗОР
#include <selinux/label.h>
int selabel_lookup(struct selabel_handle *hnd,
char **context,
const char *object_name, int object_type);
int selabel_lookup_raw(struct selabel_handle *hnd,
char **context,
const char *object_name, int object_type);
ОПИСАНИЕ
Внутренняя служба контекстов X сопоставляет имена объектов X Window System с контекстами
безопасности. Это действие служит для нахождения правильного контекста для объектов X
Window System, значимость и/или семантика использования которых в основном определяются
именем. Необходимо освободить возвращённый context с помощью freecon(3).
selabel_lookup(3) описывает функцию с её возвращаемыми значениями и кодами ошибок.
Эта внутренняя служба также используется для определения контекста по умолчанию, который
следует назначить для подключённых удалённо клиентов X.
Для аргумента object_type необходимо установить одно из следующих значений:
SELABEL_X_PROP
Аргумент object_name указывает имя свойства окна, например, "WM_NAME".
SELABEL_X_SELN
Аргумент object_name указывает имя выделения, например, "PRIMARY".
SELABEL_X_EXT
Аргумент object_name указывает имя расширения протокола, например, "RENDER".
SELABEL_X_EVENT
Аргумент object_name указывает имя типа события, например,
"X11:ButtonPress".
SELABEL_X_CLIENT
Аргумент object_name игнорируется, но его значением необходимо установить
либо * (звёздочка, 'подстановочный знак': будет выбрана запись по
умолчанию), либо конкретную запись, такую как "remote" в файле контекстов X,
как показано в разделе ПРИМЕР. В этом случае будет возвращён контекст по
умолчанию, который следует присвоить удалённым клиентам X.
SELABEL_X_POLYPROP
Работает аналогично SELABEL_X_PROP, но проверяет, было ли свойство отмечено
как многоэкземплярное. См. ПРИМЕЧАНИЯ далее.
SELABEL_X_POLYSELN
Аналогично SELABEL_X_SELN, но проверяет, было ли выделение отмечено как
многоэкземплярное. См. ПРИМЕЧАНИЯ далее.
Все сообщения, созданные selabel_lookup(3), по умолчанию отправляются в stderr. Это
поведение можно изменить с помощью selinux_set_callback(3).
selabel_lookup_raw работает аналогично selabel_lookup, но не выполняет преобразование
контекста.
В разделе ФАЙЛЫ приводится описание файлов конфигурации, которые используются для
определения контекстов объектов Х.
ПАРАМЕТРЫ
Помимо глобальных параметров, описание которых приведено в selabel_open(3), эта внутренняя
служба распознаёт следующие параметры:
SELABEL_OPT_PATH
Значение этого параметра, отличное от null, определяет путь к файлу, который
будет открыт вместо стандартного файла контекстов Х (подробные сведения см.
в разделе ФАЙЛЫ).
ФАЙЛЫ
То, какой файл контекста Х будет использоваться для получения контекста по умолчанию,
зависит от параметра SELABEL_OPT_PATH, переданного в selabel_open(3). Если NULL, то
значением SELABEL_OPT_PATH по умолчанию станет расположение контекстов Х активной политики
(возвращённое selinux_x_context_path(3)). В ином случае будет использовано фактическое
указанное значение SELABEL_OPT_PATH.
Файл контекстов объектов Х по умолчанию:
/etc/selinux/{SELINUXTYPE}/contexts/x_contexts
Где {SELINUXTYPE} - запись из файла конфигурации selinux config (см. selinux_config(5)).
Записи, находящиеся внутри файла контекстов X, показаны в разделах Значения строки имени
объекта и ФОРМАТ ФАЙЛА.
Значения строки имени объекта
Имена строк, назначенные аргументам object_type, которые могут присутствовать в файле
контекстов X:
┌───────────────────┬────────────────┐
│object_type │ Текстовое имя │
├───────────────────┼────────────────┤
│SELABEL_X_PROP │ property │
├───────────────────┼────────────────┤
│SELABEL_X_SELN │ selection │
├───────────────────┼────────────────┤
│SELABEL_X_EXT │ extension │
├───────────────────┼────────────────┤
│SELABEL_X_EVENT │ event │
├───────────────────┼────────────────┤
│SELABEL_X_CLIENT │ client │
├───────────────────┼────────────────┤
│SELABEL_X_POLYPROP │ poly_property │
├───────────────────┼────────────────┤
│SELABEL_X_POLYSELN │ poly_selection │
└───────────────────┴────────────────┘
ФОРМАТ ФАЙЛА
Каждая строка внутри файла контекстов X имеет следующий вид:
object_type object_name context
Где:
object_type
Это строковое представление типа объекта, показанное в разделе Значения
строки имени объекта. Несколько строк с одной и той же строкой object_type
сформируют блок записей (каждая со своей строкой object_name).
object_name
Это имена объектов конкретного ресурса сервера X, например, PRIMARY,
CUT_BUFFER0 и т.д. Обычно они определены в исходном коде сервера X
(protocol.txt и BuiltInAtoms в каталоге dix исходного пакета xorg-server).
Запись может содержать подстановочные знаки '*' или '?' для выполнения
сопоставления с дополнением или подстановкой. Следует учитывать, что при
использовании '*' важен порядок записей в файле. '*' в отдельном виде
используется для того, чтобы обеспечить назначение резервного контекста по
умолчанию, это должна быть последняя запись в блоке object_type.
context
Контекст безопасности, который будет применён к объекту.
Пример 1:
# object_type object_name context
selection PRIMARY system_u:object_r:clipboard_xselection_t:s0
selection * system_u:object_r:xselection_t:s0
Пример 2 - этот пример показывает, как можно настроить запись клиента таким образом, чтобы
она всегда находилась:
# object_type object_name context
client * system_u:object_r:remote_t:s0
ПРИМЕЧАНИЯ
1. Свойства и выделения отмечаются как многоэкземплярные или нет. Для этих типов имён
параметр "POLY" выполняет поиск только имён, которые отмечены как многоэкземплярные, в
то время как другой параметр выполняет поиск только имён, которые отмечены как не
многоэкземплярные. Пользователям этого интерфейса следует проверить оба сопоставления
и затем (необязательно) действовать на основе полученного результата (например,
сделать объект многоэкземплярным).
2. Если контексты должны быть проверены, необходимо указать глобальный параметр
SELABEL_OPT_VALIDATE перед вызовом selabel_open(3). Если этот параметр не указан,
может быть возвращён недействительный контекст.
СМОТРИТЕ ТАКЖЕ
selinux(8), selabel_open(3), selabel_lookup(3), selabel_stats(3), selabel_close(3),
selinux_set_callback(3), selinux_x_context_path(3), freecon(3), selinux_config(5)
АВТОРЫ
Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.