extras/selinux/vpp-custom.te

   1 policy_module(vpp-custom,1.0)
   2
   3 ########################################
   4 #
   5 # Declarations
   6 #
   7
   8 gen_require(`
   9     type hugetlbfs_t;
  10     type svirt_t;
  11     type svirt_image_t;
  12     type systemd_sysctl_t;
  13     class capability sys_admin;
  14 ')
  15
  16 type vpp_t;
  17 type vpp_exec_t;
  18 init_daemon_domain(vpp_t, vpp_exec_t)
  19
  20 type vpp_config_rw_t;
  21 files_config_file(vpp_config_rw_t)
  22
  23 type vpp_lib_t; # if there is vpp_var_lib_t, we don't need vpp_lib_t
  24 files_type(vpp_lib_t)
  25
  26 type vpp_log_t;
  27 logging_log_file(vpp_log_t)
  28
  29 type vpp_var_run_t;
  30 files_type(vpp_var_run_t)
  31
  32 type vpp_unit_file_t;
  33 systemd_unit_file(vpp_unit_file_t)
  34
  35 type vpp_tmpfs_t;
  36 files_tmpfs_file(vpp_tmpfs_t)
  37
  38 type vpp_tmp_t;
  39 files_tmp_file(vpp_tmp_t)
  40
  41 ########################################
  42 #
  43 # vpp local policy
  44 #
  45
  46 allow vpp_t self:capability { dac_override ipc_lock setgid sys_rawio net_raw sys_admin net_admin }; # too benevolent
  47 dontaudit vpp_t self:capability2 block_suspend;
  48 allow vpp_t self:process { execmem execstack setsched signal }; # too benevolent
  49 allow vpp_t self:packet_socket { bind create setopt ioctl };
  50 allow vpp_t self:tun_socket { create relabelto relabelfrom };
  51 allow vpp_t self:udp_socket { create ioctl };
  52 allow vpp_t self:unix_dgram_socket { connect create ioctl };
  53 allow vpp_t self:unix_stream_socket { create_stream_socket_perms connectto };
  54 allow vpp_t self:netlink_route_socket { bind create nlmsg_write read write };
  55
  56 manage_dirs_pattern(vpp_t, vpp_lib_t, vpp_lib_t)
  57 manage_files_pattern(vpp_t, vpp_lib_t, vpp_lib_t)
  58 allow vpp_t vpp_lib_t:file execute;
  59 files_var_lib_filetrans(vpp_t, vpp_lib_t, {file dir})
  60
  61 manage_dirs_pattern(vpp_t, vpp_log_t, vpp_log_t)
  62 manage_files_pattern(vpp_t, vpp_log_t, vpp_log_t)
  63 logging_log_filetrans(vpp_t, vpp_log_t, {file dir})
  64
  65 manage_dirs_pattern(vpp_t, vpp_var_run_t, vpp_var_run_t)
  66 manage_files_pattern(vpp_t, vpp_var_run_t, vpp_var_run_t)
  67 manage_sock_files_pattern(vpp_t, vpp_var_run_t, vpp_var_run_t)
  68 allow vpp_t vpp_var_run_t:dir mounton;
  69 files_pid_filetrans(vpp_t, vpp_var_run_t, { dir sock_file file })
  70
  71 manage_dirs_pattern(vpp_t, vpp_tmp_t, vpp_tmp_t)
  72 manage_files_pattern(vpp_t, vpp_tmp_t, vpp_tmp_t)
  73 manage_sock_files_pattern(vpp_t, vpp_tmp_t, vpp_tmp_t)
  74 allow vpp_t vpp_tmp_t:dir mounton;
  75 files_tmp_filetrans(vpp_t, vpp_tmp_t, { dir sock_file file })
  76
  77 manage_dirs_pattern(vpp_t, vpp_tmpfs_t, vpp_tmpfs_t)
  78 manage_files_pattern(vpp_t, vpp_tmpfs_t, vpp_tmpfs_t)
  79 fs_tmpfs_filetrans(vpp_t, vpp_tmpfs_t, { dir file })
  80
  81 read_files_pattern(vpp_t, vpp_config_rw_t, vpp_config_rw_t)
  82
  83 kernel_read_system_state(vpp_t)
  84 kernel_read_network_state(vpp_t)
  85 kernel_dgram_send(vpp_t)
  86 kernel_request_load_module(vpp_t)
  87
  88 auth_read_passwd(vpp_t)
  89
  90 corenet_rw_tun_tap_dev(vpp_t)
  91
  92 dev_rw_userio_dev(vpp_t)
  93 dev_rw_sysfs(vpp_t)
  94 dev_read_cpuid(vpp_t)
  95 dev_rw_vfio_dev(vpp_t)
  96 dev_rw_vhost( vpp_t )
  97
  98 domain_obj_id_change_exemption(vpp_t)
  99
 100 fs_manage_hugetlbfs_dirs(vpp_t)
 101 fs_manage_hugetlbfs_files(vpp_t)
 102 allow vpp_t hugetlbfs_t:filesystem { getattr mount unmount };
 103 fs_getattr_tmpfs(vpp_t)
 104
 105 logging_send_syslog_msg(vpp_t)
 106
 107 miscfiles_read_generic_certs(vpp_t)
 108
 109 userdom_list_user_home_content(vpp_t)
 110
 111 optional_policy(`
 112     virt_stream_connect_svirt(vpp_t)
 113 ')
 114
 115 optional_policy(`
 116     unconfined_attach_tun_iface(vpp_t)
 117 ')
 118
 119
 120 ########################################
 121 #
 122 # svirt local policy for vpp
 123 #
 124
 125 allow svirt_t vpp_t:unix_stream_socket connectto;
 126
 127 manage_dirs_pattern(svirt_t, vpp_var_run_t, vpp_var_run_t)
 128 manage_files_pattern(svirt_t, vpp_var_run_t, vpp_var_run_t)
 129 manage_sock_files_pattern(svirt_t, vpp_var_run_t, vpp_var_run_t)
 130
 131 allow vpp_t svirt_image_t:file { read write };
 132
 133
 134 ########################################
 135 #
 136 # systemd_sysctl_t local policy for vpp
 137 #
 138
 139 read_files_pattern(systemd_sysctl_t, vpp_config_rw_t, vpp_config_rw_t)
 140
 141