ИМЯ

       setfiles - установить SELinux-контексты безопасности файлов.

ОБЗОР

       setfiles  [-c  policy] [-d] [-l] [-m] [-n] [-e directory] [-p] [-s] [-v] [-W] [-F] [-I|-D]
       spec_file pathname ...

ОПИСАНИЕ

       На этой странице руководства приводится описание программы setfiles.

       Эта программа используется в  основном  для  инициализации  полей  контекста  безопасности
       (расширенных  атрибутов)  в одной или нескольких файловых системах (или их частях). Обычно
       она впервые запускается как часть процесса установки  SELinux  (этап,  который  называется
       проставлением меток).

       Также  можно  запустить  её  в  любой  другой  момент, чтобы исправить некорректные метки,
       добавить поддержку для  недавно  установленной  политики  или,  используя  параметр  -n  ,
       пассивно  проверить,  соответствуют  ли  установленные  контексты  файлов  тем контекстам,
       которые указаны в активной политике (поведение  по  умолчанию)  или  в  какой-либо  другой
       политике (см. параметр -c ).

       Если объект файла не имеет контекста, setfiles запишет контекст по умолчанию в расширенные
       атрибуты объекта файла. Если объект файла имеет контекст, setfiles изменит только ту часть
       контекста  безопасности,  которая  относится  к типу.  Параметр -F позволяет принудительно
       заменить контекст целиком.

ПАРАМЕТРЫ

       -c     проверить действительность контекстов относительно указанной двоичной политики.

       -d     показать, какая спецификация соответствует каждому из файлов.

       -e directory
              исключить каталог (чтобы исключить более одного каталога, этот параметр  необходимо
              использовать соответствующее количество раз).

       -f infilename
              infilename содержит список файлов для обработки. Используйте “-” для stdin.

       -F     принудительно  сбросить  контекст,  чтобы  обеспечить соответствие file_context для
              настраиваемых файлов и соответствие контексту файлов  по  умолчанию  для  остальных
              файлов  (меняются  части контекста, связанные с пользователем, ролью, диапазоном, а
              также тип).

       -h, -? показать сведения об использовании и выйти.

       -i     игнорировать файлы, которые не существуют.

       -I     игнорировать дайджест, чтобы принудительно  проверить  метки,  даже  если  хранимый
              дайджест  SHA1 соответствует дайджесту SHA1 файлов спецификации. Затем (при условии
              отсутствия ошибок) дайджест будет обновлён. Более  подробные  сведения  доступны  в
              разделе ПРИМЕЧАНИЯ.

       -D     установить  или  обновить  дайджесты  SHA1  для  любых  каталогов. Используйте этот
              параметр,     чтобы     включить      использование      расширенного      атрибута
              security.restorecon_last.

       -l     записывать изменения меток файлов в системный журнал.

       -m     не  выполнять  чтение  /proc/mounts для получения списка монтирований без seclabel,
              которые следует исключить из проверок с повторным  проставлением  меток.  Установка
              этого параметра полезна при наличии смонтированной файловой системы без seclabel, в
              которой в расположенном ниже каталоге смонтирована файловая система с seclabel.

       -n     не изменять метки файлов (пассивная проверка).

       -o outfilename
              этот параметр устарел и больше не поддерживается.

       -p     показывать ход выполнения, выводя количество обработанных файлов (единица измерения
              -   блок  размером  1  КБ  (то  есть  1000  файлов)).  Если  выполняется  повторное
              проставление меток во всей ОС, будет показан примерный процент выполнения. Обратите
              внимание, что параметры -p и -v являются взаимоисключающими.

       -q     этот  параметр  устарел,  ранее  использовался  для  прекращения  вывода параметров
              ассоциаций индексных дескрипторов (inode).

       -r rootpath
              использовать альтернативный корневой путь. Используется в meta-selinux  для  сборок
              OpenEmbedded/Yocto,  чтобы  проставить  метки  для файлов в каталоге rootpath таким
              образом, как если бы они были в /

       -s     взять список файлов из стандартного ввода, а  не  использовать  путь  из  командной
              строки (эквивалентно “-f -” ).

       -v     показать  изменения  меток  для  файлов  и  вывести  параметры ассоциаций индексных
              дескрипторов  (inode).   Обратите  внимание,  что  параметры  -v  и   -p   являются
              взаимоисключающими.

       -W     показать предупреждения о записях, для которых не обнаружены соответствующие файлы,
              с помощью вывода результатов selabel_stats(3).

       -0     предполагается, что разделителем для элементов ввода является символ  нуля  (вместо
              пробела).   Символы  кавычек  и  обратной  косой  черты  также  считаются  обычными
              символами,  которые  могут  формировать  допустимый  ввод.   Этот  параметр   также
              отключает  строку  конца  файла (end-of-file string), она обрабатывается, как любой
              другой аргумент. Это полезно, если элементы ввода  содержат  пробелы,  кавычки  или
              обратные  косые  черты.  Параметр  -print0 GNU find производит ввод, подходящий для
              этого режима.

АРГУМЕНТЫ

       spec_file
              Файл спецификации, содержащий строки следующего вида:

              regexp [type] context | <<none>>
                     Регулярное выражение привязывается с обоих концов. Необязательное поле  type
                     указывает  тип  файла  (показывается  в  поле  режима  по  команде  ls(1) ),
                     например, -- для соответствия только обычным файлам или -d для  соответствия
                     только  каталогам.   context  может быть обычным контекстом безопасности или
                     строкой <<none>> (чтобы указать, что контекст файла не следует изменять).
                     Используется последняя соответствующая спецификация. Если  на  файл  имеется
                     несколько  жёстких ссылок, которые соответствуют разным спецификациям, и эти
                     спецификации  означают  разные  контексты   безопасности,   будет   показано
                     предупреждение,  но  для  файла  всё равно будет проставлена метка на основе
                     последней соответствующей спецификации, отличной от <<none>>.

       pathname ...
              Путь к корневому каталогу каждой  файловой  системы,  в  которой  следует  повторно
              проставить  метки,  или  конкретный каталог в файловой системе, по которому следует
              рекурсивно спуститься и повторно проставить метки, или путь к файлу,  для  которого
              следует  повторно проставить метку.  Не используется, если используется параметр -f
              или -s .

ПРИМЕЧАНИЯ

       1.  setfiles следует по символическим ссылкам и рекурсивно применяется к каталогам.

       2.  Если в pathname указан корневой каталог, установлен параметр -v  ,  а  также  запущена
           система  аудита,  в  журнал  с  меткой сообщения FS_RELABEL автоматически записывается
           событие аудита, которое содержит сообщение о том, что  произошло  "массовое  повторное
           проставление меток".

       3.  Для  повышения  производительности  при  рекурсивном  повторном  проставлении  меток в
           файловых системах  используется  параметр  -D  команды  setfiles  .   Он  обеспечивает
           сохранение дайджеста SHA1 файла спецификации spec_file в расширенном атрибуте с именем
           security.restorecon_last для каталога, указанного в соответствующем пути  pathname ...
           ,  после  успешного  завершения  повторного  проставления  меток.  Этот дайджест будет
           проверен, если команда setfiles -D будет перезапущена с теми же параметрами  spec_file
           и pathname Подробные сведения доступны в selinux_restorecon(3).

           Параметр  -I  позволяет  игнорировать  дайджест SHA1 из каждого каталога, указанного в
           pathname ...  , и, при условии, что НЕ установлен  параметр  -n  ,  для  файлов  будут
           необходимым  образом повторно проставлены метки, а дайджест затем будет обновлён (если
           не будет ошибок).

СМОТРИТЕ ТАКЖЕ

       restorecon(8), load_policy(8), checkpolicy(8)

АВТОРЫ

       Эта man-страница была  написана  Russell  Coker  <russell@coker.com.au>.   Программа  была
       написана   Stephen   Smalley  <sds@tycho.nsa.gov>.   Перевод  на  русский  язык  выполнила
       Герасименко Олеся <gammaray@basealt.ru>

                                           10 июня 2016                               setfiles(8)