mysql datadir + selinux

1) выключить selinux нахрен
2) написать свой модуль политики

данные пункты - мое личное ИМХО, после которых я завязал с SELinux наглухо и перешел на grsec там где надо...

можно попробовать удалить неправильный контекст:

semanage fcontext -d "/media/data/mysql(/.*)?"

semanage fcontext -a -t mysqld_db_t "/media/data/mysql(/.*)?"

у меня на рахате5 стандартный путь маркирован так:

ll -dZ /var/lib/mysql
drwxr-xr-x  mysql mysql system_u:object_r:mysqld_db_t    /var/lib/mysql

насяльника думает по другому.

не завелось.

кстати datadir указывает на папку на другом харде.

с mysqld_db_t я тоже пробовала. эффект тот же.

drwxr-xr-x mysql mysql system_u:object_r:mysqld_db_t /media/data/mysql/

/var/log/audit/audit.log что скажет?

что то вроде этого:

type=AVC msg=audit(1314817374.095:470): avc: denied { search } for pid=1186 comm=«mysqld» name=«media» dev=dm-0 ino=10780673 scontext=root:system_r:mysqld_t:s0 tcontext=system_u:object_r:mnt_t:s0 tclass=dir

type=SYSCALL msg=audit(1314817374.095:470): arch=c000003e syscall=2 success=yes exit=28 a0=40186a20 a1=0 a2=0 a3=0 items=0 ppid=1130 pid=1186 auid=0 uid=27 gid=27 euid=27 suid=27 fsuid=27 egid=27 sgid=27 fsgid=27 tty=pts5 ses=29 comm=«mysqld» exe=«/usr/libexec/mysqld» subj=root:system_r:mysqld_t:s0 key=(null)

у /media установлено system_u:object_r:mnt_t, a myqsl не может в mnt_t. нужно system_u:object_r:mysqld_db_t для media как и для data. т.е.

semanage fcontext -a -t mysqld_db_t "/media/(/.*)?"

audit2allow -M mysqlmnt <<< 'type=AVC msg=audit(1314817374.095:470): avc: denied { search } for pid=1186 comm="mysqld" name="media" dev=dm-0 ino=10780673 scontext=root:system_r:mysqld_t:s0 tcontext=system_u:object_r:mnt_t:s0 tclass=dir'

semodule -i mysqlmnt.pp

если чо это были альтернативы. То есть или 1), или 2)

верно. есть еще и 3-й вариант - исключить mysql из selinux не выключая selinux полность.

setsebool -P mysqld_disable_trans 1

замечание:

In even more detail: the boolean disables the transition from the initrc_t domain to the mysqld_t domain at the time mysqld is started by the init daemon during boot, or the transition from unconfined_t to mysqld_t if it is started manually after boot. So mysqld is not running outside of SELinux at all, but in a domain that has much less restrictions than mysqld_t has.

при установке этого флага mysql будет запускаться в другом домене с меньшими ограничениями.

Eсли на /media поставить system_u:object_r:mysqld_db_t, то уже апач не запускается с mysql за компанию, что конечно же, логично.

setsebool -P mysqld_disable_trans 1 помогло.

So mysqld is not running outside of SELinux at all, but in a domain that has much less restrictions than mysqld_t has.

Уже не волнует.

Спасибо за помошь.