rootのときにsystemctlアクセスが拒否されました

走るとき

sudo systemctl disable avahi-daemon.socket

私は得る

Failed to execute operation: Access denied

しかし、それはルートとして実行されますが、アクセスを拒否するにはどうすればよいですか？（CentOS 7）

私もCentOS 7で作業しており、同様の問題がありました：

# systemctl unmask tmp.mount
Failed to execute operation: Access denied

拒否はSELinuxに関係しています。これは、enforcingモードでSELinuxを実行している場合に当てはまります。

# getenforce
Enforcing

私の場合、systemctlエラーUSER_AVCによりSELinuxログファイルに拒否が生成されました/var/log/audit/audit.log。

type=USER_AVC msg=audit(1475497680.859:2656): pid=1 uid=0 auid=4294967295 ses=4294967295 subj=system_u:system_r:init_t:s0 msg='avc:  denied  { enable } for auid=0 uid=0 gid=0 path="/dev/null" cmdline="systemctl unmask tmp.mount" scontext=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 tcontext=system_u:object_r:null_device_t:s0 tclass=service  exe="/usr/lib/systemd/systemd" sauid=0 hostname=? addr=? terminal=?'

解決

この記事では、systemdのバグが原因であると述べ、回避策を提供します。

systemctl daemon-reexec

二次解決策

上記が機能しない場合は、SELinuxモードをpermissive次のように設定できます。

setenforce 0

そしてそれは正常に動作するはずです。ただし、この2番目のソリューションにはセキュリティ上の意味があります。

私の場合、アップグレードsystemdしたばかりで、systemctlコマンドが失敗していました。

# systemctl daemon-reexec
Failed to reload daemon: Access denied
# systemctl status
Failed to read server status: Access denied

ただし、initマンページによると、SIGTERMPID 1として動作するデーモンに送信することで同じことができます。

kill -TERM 1

これによりデーモンがリロードされ、その後すべてのsystemctlコマンドが再び機能し始めました。

どちらの解決策も役に立たなかった。.serviceファイルの行の1つに=記号が欠落していることがわかりました。/ var / log / messagesを見ることでこれを発見しましたが、そこにはより説明的なエラーが見つかりました。したがって、アクセス拒否は誤解を招くものでした。それは本当にセキュリティの問題ではありませんでした。