Скинути пароль кореневого пароля SELinux

Відмова від відповідальності: Це питання не вирішує проблему зміни кореневого пароля, коли SELinux активний, тому що існує вже багато посібників для вирішення цього питання. Це більше, як SELinux робить це внутрішньо.

Я останній користувач SELinux, але останнім часом я з ним більше контактую. Був момент, коли хтось запитав мене, як я можу скинути пароль root у випадку його забуття.

Тому я завантажив свій CentOS, відредагував груб запис на щось подібне

linux16 <kernel_location> root=/dev/mapper/centos-root rw init=/bin/bash

Я біг, passwdа потім біг syncі примусово перезавантажувався. Після перезавантаження вхід із новим паролем був відхилений, як і зі старим, звичайно.

Перезавантажився знову і передав ядро ​​параметр, щоб відключити SELinux ( selinux=0). Спробував увійти з новим паролем, і воно спрацювало. Після цього я змусив автоматичну відновлення fs (через файл .autorelabel), і при активному використанні SELinux тепер можна було увійти.

Моє запитання: чому це відбувається? Чому ретрансляція впливає на вхід у систему, коли була лише зміна пароля, а не користувачів або об’єктів?

Дякую за увагу.

TL; DR: Звичайний скидання пароля root не працює в SELinux. Чому?

Редагувати: це було протестовано на віртуальній машині під управлінням CentOS7 з KVM як гіпервізор.

Мені вдалося дублювати цю проблему в щойно встановленій системі CentOS 7.5.

Ось що відбувається:

Під час завантаження з init=/bin/bashвами можуть виникнути дві проблеми:

• Коренева файлова система може бути змонтована лише заново. У цьому випадку passwdбуде скаржитися на Authentication token manipulation error.

  Це досить очевидно: якщо файлова система не змонтована для читання-запису, записувати на неї неможливо.

• Політика SELinux не може бути завантажена. У цьому випадку passwdпароль буде успішно змінено, але у вас виникне проблема, описана в первинному питанні вище: ніхто не зможе увійти.

  Хеші паролів зберігаються у /etc/shadowфайлі. Цей файл зазвичай має тип SELinux shadow_t. Однак зміна файлу, поки не завантажується політика SELinux, призводить до того, що тип файлу SELinux буде видалений з файла, залишаючи його як unlabeled_t. Таким чином, служби, які намагаються прочитати файл для аутентифікації вхідних даних, більше не можуть його прочитати.

Щоб змінити кореневий пароль на RHEL / CentOS 7, тому вам потрібно дотримуватися цього процесу:

1. Додайте init=/bin/bashдо кінця командного рядка ядра в grub, як раніше.
2. У рядку bash завантажте політику SELinux /usr/sbin/load_policy -i.
3. Змонтуйте кореневу файлову систему зчитування та запису mount -o remount,rw /.
4. Тепер поміняйте пароль, і це вдасться. passwd root
5. Повторно перезавантажте файлову систему, щоб здійснити зміни та мати чисту файлову систему при наступному завантаженні mount -o remount,ro /.
6. Вийдіть з оболонки або перезавантажте систему за допомогою exec /sbin/init 6.

Тепер ви можете увійти за допомогою зміненого пароля root.

Більше роз'яснення цієї процедури доступне в Red Hat (необхідна підписка).