extras/selinux/vpp-custom.te

   1 policy_module(vpp-custom,1.0)
   2
   3 ########################################
   4 #
   5 # Declarations
   6 #
   7
   8 gen_require(`
   9     type hugetlbfs_t;
  10     type svirt_t;
  11     type svirt_image_t;
  12     type systemd_sysctl_t;
  13     class capability sys_admin;
  14 ')
  15
  16 type vpp_t;
  17 type vpp_exec_t;
  18 init_daemon_domain(vpp_t, vpp_exec_t)
  19
  20 type vpp_config_rw_t;
  21 files_config_file(vpp_config_rw_t)
  22
  23 type vpp_lib_t; # if there is vpp_var_lib_t, we don't need vpp_lib_t
  24 files_type(vpp_lib_t)
  25
  26 type vpp_log_t;
  27 logging_log_file(vpp_log_t)
  28
  29 type vpp_var_run_t;
  30 files_type(vpp_var_run_t)
  31
  32 type vpp_unit_file_t;
  33 systemd_unit_file(vpp_unit_file_t)
  34
  35 type vpp_tmpfs_t;
  36 files_tmpfs_file(vpp_tmpfs_t)
  37
  38 type vpp_tmp_t;
  39 files_tmp_file(vpp_tmp_t)
  40
  41 ########################################
  42 #
  43 # vpp local policy
  44 #
  45
  46 allow vpp_t self:capability { dac_override ipc_lock setgid sys_rawio net_raw sys_admin }; # too benefolent
  47 dontaudit vpp_t self:capability2 block_suspend;
  48 allow vpp_t self:process { execmem execstack setsched signal }; # too benefolent
  49 allow vpp_t self:packet_socket { bind create setopt ioctl };
  50 allow vpp_t self:tun_socket { create relabelto relabelfrom };
  51 allow vpp_t self:udp_socket { create ioctl };
  52 allow vpp_t self:unix_dgram_socket { connect create ioctl };
  53 allow vpp_t self:unix_stream_socket { create_stream_socket_perms connectto };
  54
  55 manage_dirs_pattern(vpp_t, vpp_lib_t, vpp_lib_t)
  56 manage_files_pattern(vpp_t, vpp_lib_t, vpp_lib_t)
  57 allow vpp_t vpp_lib_t:file execute;
  58 files_var_lib_filetrans(vpp_t, vpp_lib_t, {file dir})
  59
  60 manage_dirs_pattern(vpp_t, vpp_log_t, vpp_log_t)
  61 manage_files_pattern(vpp_t, vpp_log_t, vpp_log_t)
  62 logging_log_filetrans(vpp_t, vpp_log_t, {file dir})
  63
  64 manage_dirs_pattern(vpp_t, vpp_var_run_t, vpp_var_run_t)
  65 manage_files_pattern(vpp_t, vpp_var_run_t, vpp_var_run_t)
  66 manage_sock_files_pattern(vpp_t, vpp_var_run_t, vpp_var_run_t)
  67 allow vpp_t vpp_var_run_t:dir mounton;
  68 files_pid_filetrans(vpp_t, vpp_var_run_t, { dir sock_file file })
  69
  70 manage_dirs_pattern(vpp_t, vpp_tmp_t, vpp_tmp_t)
  71 manage_files_pattern(vpp_t, vpp_tmp_t, vpp_tmp_t)
  72 manage_sock_files_pattern(vpp_t, vpp_tmp_t, vpp_tmp_t)
  73 allow vpp_t vpp_tmp_t:dir mounton;
  74 files_tmp_filetrans(vpp_t, vpp_tmp_t, { dir sock_file file })
  75
  76 manage_dirs_pattern(vpp_t, vpp_tmpfs_t, vpp_tmpfs_t)
  77 manage_files_pattern(vpp_t, vpp_tmpfs_t, vpp_tmpfs_t)
  78 fs_tmpfs_filetrans(vpp_t, vpp_tmpfs_t, { dir file })
  79
  80 read_files_pattern(vpp_t, vpp_config_rw_t, vpp_config_rw_t)
  81
  82 kernel_read_system_state(vpp_t)
  83 kernel_read_network_state(vpp_t)
  84 kernel_dgram_send(vpp_t)
  85 kernel_request_load_module(vpp_t)
  86
  87 auth_read_passwd(vpp_t)
  88
  89 corenet_rw_tun_tap_dev(vpp_t)
  90
  91 dev_rw_userio_dev(vpp_t)
  92 dev_rw_sysfs(vpp_t)
  93 dev_read_cpuid(vpp_t)
  94 dev_rw_vfio_dev(vpp_t)
  95
  96 domain_obj_id_change_exemption(vpp_t)
  97
  98 fs_manage_hugetlbfs_dirs(vpp_t)
  99 fs_manage_hugetlbfs_files(vpp_t)
 100 allow vpp_t hugetlbfs_t:filesystem { getattr mount unmount };
 101 fs_getattr_tmpfs(vpp_t)
 102
 103 logging_send_syslog_msg(vpp_t)
 104
 105 miscfiles_read_generic_certs(vpp_t)
 106
 107 userdom_list_user_home_content(vpp_t)
 108
 109 optional_policy(`
 110     virt_stream_connect_svirt(vpp_t)
 111 ')
 112
 113 optional_policy(`
 114     unconfined_attach_tun_iface(vpp_t)
 115 ')
 116
 117
 118 ########################################
 119 #
 120 # svirt local policy for vpp
 121 #
 122
 123 allow svirt_t vpp_t:unix_stream_socket connectto;
 124
 125 manage_dirs_pattern(svirt_t, vpp_var_run_t, vpp_var_run_t)
 126 manage_files_pattern(svirt_t, vpp_var_run_t, vpp_var_run_t)
 127 manage_sock_files_pattern(svirt_t, vpp_var_run_t, vpp_var_run_t)
 128
 129 allow vpp_t svirt_image_t:file { read write };
 130
 131
 132 ########################################
 133 #
 134 # systemd_sysctl_t local policy for vpp
 135 #
 136
 137 read_files_pattern(systemd_sysctl_t, vpp_config_rw_t, vpp_config_rw_t)
 138
 139