如何配置SELinux使user_t类型用户可使用sudo执行预定义命令（RHEL9+FreeIPA环境）

嘿，我明白你的需求——不想新建SELinux用户类型，只想基于现有的user_t来配置，让这类用户能免密sudo执行指定命令，甚至可以通过newrole切换补充角色不用输密码对吧？刚好在RHEL9+FreeIPA环境下有现成的方法，咱们一步步来：

第一步：先搞定sudo的基础规则（结合FreeIPA） #

因为你用了FreeIPA，sudo规则直接在IPA里配置更省心，还能统一管理：

• 先创建一条sudo规则，指定允许哪些user_t用户（或者对应的用户组）执行你预定义的命令，同时开启免密选项。比如用这些命令：

  # 创建sudo规则
  ipa sudorule-add --desc "Allow user_t users to run specific commands without password" user_t_sudo_rule
  # 添加允许执行的命令（替换成你的预定义命令）
  ipa sudorule-add-allow-command user_t_sudo_rule --command /usr/bin/your-predefined-command1
  ipa sudorule-add-allow-command user_t_sudo_rule --command /usr/bin/your-predefined-command2
  # 开启免密选项
  ipa sudorule-add-option user_t_sudo_rule --option NOPASSWD:true
  # 把规则关联到目标用户/组
  ipa sudorule-add-user user_t_sudo_rule --user your-user-name
  # 或者关联组
  # ipa sudorule-add-group user_t_sudo_rule --group your-user-group
  

• 这一步先把sudo本身的权限搞定，接下来再处理SELinux的上下文过渡问题。

第二步：配置SELinux上下文过渡（用现成宏省事儿） #

你注意到staff_sudo_t有sudodomain属性，其实SELinux policy里有现成的user_sudo宏，能帮你自动配置user_t的sudo权限，不用手动写一堆复杂规则：

方法1：启用user_sudo_t类型 #

默认的targeted policy里没启用user_sudo_t，咱们自己写个简单的自定义policy模块就能搞定：

1. 创建一个名为user_sudo.te的policy文件：

   policy_module(user_sudo, 1.0.0)
   gen_require(`
       type user_t;
       type sudo_exec_t;
       role user_r;
   ')
   # 调用user_sudo宏，自动配置所需的类型和权限
   user_sudo(user_t, user_r)
   

2. 编译并加载这个模块：

   # 用系统自带的SELinux开发Makefile编译
   make -f /usr/share/selinux/devel/Makefile user_sudo.pp
   # 加载到SELinux policy中
   semodule -i user_sudo.pp
   

   这个宏会自动创建user_sudo_t类型，给它加上sudodomain属性，同时允许user_t执行sudo二进制文件（sudo_exec_t）时过渡到user_sudo_t，还会赋予user_sudo_t执行指定命令所需的基础权限。

方法2：免密切换补充角色（如果需要） #

如果你想让user_t用户能免密通过newrole切换到补充角色，比如user_sudo_r，可以这么做：

1. 先在FreeIPA里给目标用户配置这个角色的SELinux上下文（避免本地文件修改被IPA覆盖），或者临时修改/etc/selinux/targeted/contexts/users/user_u，添加一行：

   user_sudo_r:user_r:user_sudo_t:s0
   

2. 然后在刚才的user_sudo.te里添加这两行规则，允许角色过渡：

   allow user_t user_sudo_r:role transition;
   allow user_r user_sudo_r:role;
   

3. 重新编译加载模块，再开启一个SELinux布尔值允许用户切换角色：

   setsebool -P allow_user_exec_content on
   

   注意：这个布尔值会放宽一些权限，按需开启，确认符合你的安全要求。

第三步：验证配置是否生效 #

1. 切换到user_t用户，执行sudo -l，看看输出里是否显示允许的命令，并且标注NOPASSWD: ALL（或者对应的命令）。
2. 执行sudo id -Z，应该看到上下文是user_u:user_r:user_sudo_t:s0，说明SELinux过渡成功。
3. 如果配置了newrole，执行newrole -r user_sudo_r，应该不用输密码就能切换，再用id -Z验证角色是否切换成功。

补充说明 #

你看到/etc/selinux/targeted/contexts/users/user_u里的user_sudo_t是预留的类型，默认policy没启用，所以咱们通过自定义模块启用它是完全正确的做法。另外，因为用了FreeIPA，所有用户的SELinux属性尽量在IPA里管理，这样不会和本地配置冲突。

备注：内容来源于stack exchange，提问作者okapi