SELinuxがrootパスワードをリセット

免責事項：この質問は、SELinuxがアクティブな間にrootパスワードを変更する問題を解決するものではありません。既に解決している多くのガイドがあります。これは、SELinuxが内部的に行う方法の詳細です。

私は最近SELinuxを使用していますが、最近はもっと連絡を取り合っています。rootパスワードを忘れた場合にリセットする方法を誰かから尋ねられた瞬間がありました。

だから私はCentOSを起動し、grubエントリを次のように編集しました

linux16 <kernel_location> root=/dev/mapper/centos-root rw init=/bin/bash

私が走ったpasswd後、走っsyncて強制的に再起動しました。再起動後、新しいパスワードでのログインはもちろん、古いパスワードでのログインも拒否されました。

再起動し、カーネルにSELinuxを無効にするパラメーターを渡しました（selinux=0）。新しいパスワードでログインしてみましたが、うまくいきました。その後、（ファイルを介して.autorelabel）fs自動ラベル変更を強制し、SELinuxがアクティブな状態でログインできるようになりました。

私の質問は：なぜ起こるのですか？ユーザーまたはオブジェクトの変更ではなく、パスワードの変更のみが行われたときに、再ラベル付けがログインに影響を及ぼすのはなぜですか？

ご清聴ありがとうございました。

TL; DR：通常のルートパスワードのリセットは、SELinuxでは機能しません。どうして？

編集：これは、ハイパーバイザーとしてKVMを使用してCentOS7を実行している仮想マシンでテストされました。

新しくインストールしたCentOS 7.5システムでこの問題を再現できました。

ここで何が起こっているのですか：

起動するとinit=/bin/bash、次の2つの問題が発生する可能性があります。

• ルートファイルシステムは、読み取り専用でマウントできます。この場合passwd、Authentication token manipulation error。

  これは非常に明白です。ファイルシステムが読み書き可能にマウントされていない場合、ファイルシステムに書き込むことはできません。

• SELinuxポリシーがロードされていない可能性があります。この場合passwd、パスワードは正常に変更されますが、上記の最初の質問で説明されている問題が発生します。誰もログインできません。

  パスワードハッシュは/etc/shadowファイルに保存されます。通常、このファイルのタイプはSELinuxですshadow_t。ただし、SELinuxポリシーがロードされていない状態でファイルを変更すると、SELinuxタイプがファイルから削除され、そのまま残りますunlabeled_t。したがって、ログインを認証するためにファイルを読み取ろうとするサービスは、それを読み取ることができなくなります。

したがって、RHEL / CentOS 7でルートパスワードを変更するには、次のプロセスに従う必要があります。

1. init=/bin/bash以前のように、grubのカーネルコマンドラインの最後に追加します。
2. bashプロンプトで、を使用してSELinuxポリシーをロードし/usr/sbin/load_policy -iます。
3. でルートファイルシステムを読み書き可能にマウントしますmount -o remount,rw /。
4. ここでパスワードを変更すると、成功します。 passwd root
5. ファイルシステムを読み取り専用で再マウントして変更をコミットし、次のブート時にクリーンなファイルシステムを使用しますmount -o remount,ro /。
6. でシェルを終了するか、システムを再起動しますexec /sbin/init 6。

これで、変更したrootパスワードでログインできます。

この手順の長い説明は、 Red Hatの（サブスクリプションが必要）から入手可能です。