extras/selinux/vpp-custom.te

   1 policy_module(vpp-custom,1.0)
   2
   3 ########################################
   4 #
   5 # Declarations
   6 #
   7
   8 gen_require(`
   9     type hugetlbfs_t;
  10     type svirt_t;
  11     type svirt_image_t;
  12     type systemd_sysctl_t;
  13     type hugetlbfs_t;
  14     type sysfs_t;
  15     class capability sys_admin;
  16 ')
  17
  18 type vpp_t;
  19 type vpp_exec_t;
  20 init_daemon_domain(vpp_t, vpp_exec_t)
  21
  22 type vpp_config_rw_t;
  23 files_config_file(vpp_config_rw_t)
  24
  25 type vpp_lib_t; # if there is vpp_var_lib_t, we don't need vpp_lib_t
  26 files_type(vpp_lib_t)
  27
  28 type vpp_log_t;
  29 logging_log_file(vpp_log_t)
  30
  31 type vpp_var_run_t;
  32 files_type(vpp_var_run_t)
  33
  34 type vpp_unit_file_t;
  35 systemd_unit_file(vpp_unit_file_t)
  36
  37 type vpp_tmpfs_t;
  38 files_tmpfs_file(vpp_tmpfs_t)
  39
  40 type vpp_tmp_t;
  41 files_tmp_file(vpp_tmp_t)
  42
  43 ########################################
  44 #
  45 # vpp local policy
  46 #
  47
  48 allow vpp_t self:capability { dac_override ipc_lock setgid sys_rawio net_raw sys_admin net_admin chown }; # too benevolent
  49 dontaudit vpp_t self:capability2 block_suspend;
  50 allow vpp_t self:process { execmem execstack setsched signal }; # too benevolent
  51 allow vpp_t self:packet_socket { bind create setopt ioctl map read write };
  52 allow vpp_t self:tun_socket { create relabelto relabelfrom };
  53 allow vpp_t self:udp_socket { create ioctl };
  54 allow vpp_t self:unix_dgram_socket { connect create ioctl };
  55 allow vpp_t self:unix_stream_socket { create_stream_socket_perms connectto };
  56 allow vpp_t self:netlink_route_socket { bind create nlmsg_write read write getattr setopt };
  57 allow vpp_t self:netlink_socket { bind create setopt };
  58
  59 manage_dirs_pattern(vpp_t, vpp_lib_t, vpp_lib_t)
  60 manage_files_pattern(vpp_t, vpp_lib_t, vpp_lib_t)
  61 allow vpp_t vpp_lib_t:file { execute map };
  62 files_var_lib_filetrans(vpp_t, vpp_lib_t, {file dir})
  63
  64 manage_dirs_pattern(vpp_t, vpp_log_t, vpp_log_t)
  65 manage_files_pattern(vpp_t, vpp_log_t, vpp_log_t)
  66 logging_log_filetrans(vpp_t, vpp_log_t, {file dir})
  67
  68 manage_dirs_pattern(vpp_t, vpp_var_run_t, vpp_var_run_t)
  69 manage_files_pattern(vpp_t, vpp_var_run_t, vpp_var_run_t)
  70 manage_sock_files_pattern(vpp_t, vpp_var_run_t, vpp_var_run_t)
  71 allow vpp_t vpp_var_run_t:dir mounton;
  72 files_pid_filetrans(vpp_t, vpp_var_run_t, { dir sock_file file })
  73
  74 manage_dirs_pattern(vpp_t, vpp_tmp_t, vpp_tmp_t)
  75 manage_files_pattern(vpp_t, vpp_tmp_t, vpp_tmp_t)
  76 manage_sock_files_pattern(vpp_t, vpp_tmp_t, vpp_tmp_t)
  77 allow vpp_t vpp_tmp_t:dir mounton;
  78 files_tmp_filetrans(vpp_t, vpp_tmp_t, { dir sock_file file })
  79
  80 manage_dirs_pattern(vpp_t, vpp_tmpfs_t, vpp_tmpfs_t)
  81 manage_files_pattern(vpp_t, vpp_tmpfs_t, vpp_tmpfs_t)
  82 allow vpp_t vpp_tmpfs_t:file map;
  83 fs_tmpfs_filetrans(vpp_t, vpp_tmpfs_t, { dir file })
  84
  85 read_files_pattern(vpp_t, vpp_config_rw_t, vpp_config_rw_t)
  86
  87 kernel_read_system_state(vpp_t)
  88 kernel_read_network_state(vpp_t)
  89 kernel_dgram_send(vpp_t)
  90 kernel_request_load_module(vpp_t)
  91
  92 auth_read_passwd(vpp_t)
  93
  94 corenet_rw_tun_tap_dev(vpp_t)
  95
  96 dev_rw_infiniband_dev(vpp_t)
  97 dev_rw_userio_dev(vpp_t)
  98 dev_rw_sysfs(vpp_t)
  99 dev_read_cpuid(vpp_t)
 100 dev_rw_vfio_dev(vpp_t)
 101 dev_rw_vhost( vpp_t )
 102 dev_rw_generic_chr_files(vpp_t)
 103
 104 domain_obj_id_change_exemption(vpp_t)
 105
 106 fs_manage_hugetlbfs_dirs(vpp_t)
 107 fs_manage_hugetlbfs_files(vpp_t)
 108 allow vpp_t hugetlbfs_t:filesystem { getattr mount unmount };
 109 fs_getattr_tmpfs(vpp_t)
 110
 111 logging_send_syslog_msg(vpp_t)
 112
 113 miscfiles_read_generic_certs(vpp_t)
 114
 115 userdom_list_user_home_content(vpp_t)
 116
 117 optional_policy(`
 118     virt_stream_connect_svirt(vpp_t)
 119 ')
 120
 121 optional_policy(`
 122     unconfined_attach_tun_iface(vpp_t)
 123 ')
 124
 125
 126 ########################################
 127 #
 128 # svirt local policy for vpp
 129 #
 130
 131 allow svirt_t vpp_t:unix_stream_socket connectto;
 132
 133 manage_dirs_pattern(svirt_t, vpp_var_run_t, vpp_var_run_t)
 134 manage_files_pattern(svirt_t, vpp_var_run_t, vpp_var_run_t)
 135 manage_sock_files_pattern(svirt_t, vpp_var_run_t, vpp_var_run_t)
 136
 137 allow vpp_t svirt_image_t:file { read write };
 138
 139
 140 ########################################
 141 #
 142 # systemd_sysctl_t local policy for vpp
 143 #
 144
 145 read_files_pattern(systemd_sysctl_t, vpp_config_rw_t, vpp_config_rw_t)
 146
 147 ########################################
 148 #
 149 # hugetlbfs
 150 #
 151
 152 allow vpp_t hugetlbfs_t:file map;
 153
 154 ########################################
 155 #
 156 # dpdk
 157 #
 158
 159 allow vpp_t sysfs_t:file map;