F.33. sepgsql

F.33.5.1. 控制对象类

SELinux的安全模型描述了所有的访问控制规则， 作为主体的实体（通常，数据库的一个客户端）和客体的实体（比如一个数据库对象） 的关系，每一个都由安全标签来鉴别。如果尝试访问一个没有标签的对象， 那么该对象被当做是分配了unlabeled_t标签。

目前，sepgsql允许分配安全标签给模式、表、字段、序列、 视图和函数。当正在使用sepgsql， 创建对象时会自动分配安全标签给支持的数据库对象。 这个标签被称为缺省的安全标签，并且是根据系统的安全策略决定的。 系统的安全策略使用创建人的标签，分配给新对象的父对象的标签以及可选的被构造对象的名称作为输入。

一个新的数据库对象基本上继承父对象的安全标签，除了安全策略有特殊的类型转换规则时， 会应用一个不同的标签。对于模式来说，父对象是当前数据库；对于表、序列、视图和函数， 是包含的模式；对于字段，是包含的表。

F.33.5.2. DML 权限

对于表，根据语句的类型，db_table:select、db_table:insert、 db_table:update或db_table:delete会为所有引用的目标表做检查； 另外，db_table:select 也为所有包含WHERE或RETURNING子句中的引用字段的表做检查， UPDATE的数据源也是如此，等等。

也将为每个引用的字段检查字段级别的权限。db_column:select 不只是检查被SELECT读取的字段，也检查在其他DML语句中引用的字段； db_column:update或db_column:insert 也将检查被UPDATE或INSERT修改的字段。

例如，考虑：

UPDATE t1 SET x = 2, y = md5sum(y) WHERE z = 100;

这里，db_column:update将为t1.x做检查， 因为它被更新了，db_column:{select update} 将为t1.y做检查，因为它被更新和引用了， db_column:select将为t1.z做检查， 因为它被引用了。db_table:{select update} 也将在表级别做检查。

对于序列，当我们使用SELECT引用一个序列对象时，对 db_sequence:get_value做检查；不过，请注意， 我们当前不对相应的函数的执行做权限检查，如lastval()。

对于视图，将检查db_view:expand， 然后任何其它需要的权限都将分别在从视图扩展的对象上做检查。

对于函数，当用户尝试将函数作为查询的一部分执行，或使用fast-path调用时， 会对db_procedure:{execute}做检查。如果这个函数是一个受信任的程序， 那么也会检查db_procedure:{entrypoint}的权限， 看看它是否可以作为受信任的程序的入口点来执行。

为了访问任何模式对象，在包含的模式上需要有db_schema:search权限。 当被引用的对象没有模式限定时，没有这个权限的模式将不会被搜索 （就好像用户在这个模式上没有USAGE权限）。 如果给出了明确的模式限定，并且用户在命名的模式上没有必需的权限， 那么将会引发一个错误。

客户端必须被允许访问所有引用的表和字段，即使它们起源于随后扩张的视图， 所以我们应用一致的访问控制规则，独立于引用表内容的方式。

缺省的数据库权限系统允许数据库超级用户使用DML命令修改系统表， 引用和修改toast表。当启用sepgsql时，禁止这些操作。

F.33.5.3. DDL 权限

SELinux为每个对象类型定义了几个控制一般操作的权限；比如创建、 修改、删除和重新贴安全标签。另外，几个对象类型有特殊的权限控制它们的典型操作； 如在一个特定的模式中添加或删除名称条目。

创建一个新的数据库对象需要create权限。SELinux 将根据客户端的安全标签授予或拒绝这个权限，并且为新的对象拟建安全标签。 在某些情况下，需要额外的权限：

• CREATE DATABASE还需要源或模板数据库的getattr权限。

• 创建一个模式对象还需要在父模式上有add_name权限。

• 创建一个表还需要有权限创建每个单独的表字段，就好像每个表字段是一个独立的顶级对象。

• 创建一个标记为LEAKPROOF的函数还需要install权限。 （当为一个现有的函数设置LEAKPROOF时，也需要检查这个权限。）

当执行DROP命令时，将在要被删除的对象上检查drop权限。 也要检查通过CASCADE间接删除的对象的权限。 包含在特定模式（表、视图、序列和程序）中对象的删除还需要在该模式上的remove_name权限。

当执行ALTER命令时，将为每个对象类型的被修改的对象检查setattr， 除了附属的对象，如表的索引或触发器。这里的权限是在父对象上检查的。 在某些情况下，需要额外的权限：

• 移动一个对象到新的模式还需要在旧的模式上有remove_name权限， 和在新的模式上有add_name权限。

• 在一个函数上设置LEAKPROOF属性需要install权限。

• 在一个对象上使用SECURITY LABEL还需要在与老的安全标签结合的该对象上有 relabelfrom权限，以及在与新的安全标签结合的该对象上有relabelto权限。 （在安装了多个标签提供者的情况下，用户如果尝试设置一个不被SELinux 管理的安全标签，应该只检查setattr。这是由于实现的限制，目前没有做到的。）

F.33.5.4. 受信任的程序

受信任的程序类似于安全定义函数或setuid命令。SELinux 提供一个特性，允许受信任的代码使用一个不同于客户端的安全标签运行， 通常是为了提供到敏感数据的高度控制的访问（例如，可能会忽略行， 或者存储值的精度可能会减少）。一个函数是否作为受信任的程序动作， 是由它的安全标签和操作系统安全策略控制的。例如：

postgres=# CREATE TABLE customer (
               cid     int primary key,
               cname   text,
               credit  text
           );
CREATE TABLE
postgres=# SECURITY LABEL ON COLUMN customer.credit
               IS 'system_u:object_r:sepgsql_secret_table_t:s0';
SECURITY LABEL
postgres=# CREATE FUNCTION show_credit(int) RETURNS text
             AS 'SELECT regexp_replace(credit, ''-[0-9]+$'', ''-xxxx'', ''g'')
                        FROM customer WHERE cid = $1'
           LANGUAGE sql;
CREATE FUNCTION
postgres=# SECURITY LABEL ON FUNCTION show_credit(int)
               IS 'system_u:object_r:sepgsql_trusted_proc_exec_t:s0';
SECURITY LABEL

以上的操作应该由管理员用户执行。

postgres=# SELECT * FROM customer;
ERROR:  SELinux: security policy violation
postgres=# SELECT cid, cname, show_credit(cid) FROM customer;
 cid | cname  |     show_credit
-----+--------+---------------------
   1 | taro   | 1111-2222-3333-xxxx
   2 | hanako | 5555-6666-7777-xxxx
(2 rows)

在这种情况下，普通用户不能直接引用customer.credit， 但是一个受信任的程序show_credit允许他输出客户的信用卡号码，但其中某些数字做了掩码处理。

F.33.5.5. 动态域转换

使用SELinux的动态域转换特性来转换客户端程序、客户端域的安全标签到一个新的内容是可能的， 如果安全策略允许这么做。客户端域需要setcurrent权限， 还有从老的到新的域的dyntransition权限。

动态域转换应该仔细考虑，因为它们允许用户按照自己的意愿转换他们的标签，也因此转换了他们的权限， 而不受系统的强制托管（在受信任的程序的情况下）。 因此，dyntransition权限只在用于转换一个域到更小的权限集合时认为是安全的。 例如：

regression=# select sepgsql_getcon();
                    sepgsql_getcon
-------------------------------------------------------
 unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
(1 row)

regression=# SELECT sepgsql_setcon('unconfined_u:unconfined_r:unconfined_t:s0-s0:c1.c4');
 sepgsql_setcon 
----------------
 t
(1 row)

regression=# SELECT sepgsql_setcon('unconfined_u:unconfined_r:unconfined_t:s0-s0:c1.c1023');
ERROR:  SELinux: security policy violation

在上面的例子中，允许我们从较大的MCS范围c1.c1023 转换到较小的范围c1.c4，但是反过来转换就被拒绝了。

动态域转换和受信任的程序的组合可以实现一个有趣的用例，用于满足连接池软件的典型的生命周期过程。 尽管你的连接池软件不能运行大多数的SQL命令，但是你可以允许它使用sepgsql_setcon() 函数从一个受信任的程序里面切换客户端的安全标签；可能需要一些证书批准切换客户端标签的请求。 之后，这个会话将会拥有目标用户的权限，而不是连接池的权限。该连接池可以稍后使用带有 NULL参数的sepgsql_setcon()函数恢复安全标签的改变， 需要再次从受信任的程序里面用适当的权限检查调用。 这里的要点是只有那个受信任的程序实际上拥有改变有效的安全标签的权限，并且给出适当的证书。 当然，对于安全的操作，证书的存储（表、过程定义或其他东西）必须防止越权访问。

F.33.5.6. 其他

我们彻底拒绝LOAD命令， 因为加载的任何模块都能很容易的绕开安全策略实施。