15.8. Solução de problemas do framework MAC
Anterior | Capítulo 15. Controle de acesso obrigatório | Próxima

## 15.8. Solução de problemas do framework MAC

Esta seção discute erros de configuração comuns e como resolvê-los.

O sinalizador `multilabel` não fica habilitado na partição raiz (`/`):

  As etapas a seguir podem resolver este erro transitório:

  1. Edite `/etc/fstab` e defina a partição raiz como somente leitura `ro`.

  2. Reinicie no modo single user.

  3. Execute `tunefs` `-l enable` no `/`.

  4. Reinicie o sistema.

  5. Execute `mount` `-urw` `/` e mude a opção `ro` de volta para `rw` no `/etc/fstab` e reinicie o sistema novamente.

  6. Verifique novamente a saída do `mount` para garantir que o `multilabel` tenha sido configurado corretamente no sistema de arquivos raiz.

Depois de estabelecer um ambiente seguro com o MAC, o Xorg não inicia mais:

  Isso pode ser causado pela política MAC `partition` ou por uma rotulagem incorreta em uma das políticas de rotulagem do MAC. Para depurar, tente o seguinte:

  1. Verifique a mensagem de erro. Se o usuário estiver na classe `insecure`, a política `partition` pode ser a culpada. Tente definir a classe do usuário de volta para a classe `default` e reconstrua o banco de dados com o `cap_mkdb`. Se isso não mitigar o problema, vá para a etapa dois.

  2. Verifique duas vezes se as políticas de rótulo estão definidas corretamente para o usuário, para o Xorg e para as entradas no `/dev`.

  3. Se nenhum destes resolver o problema, envie a mensagem de erro e uma descrição do ambiente para a lista de discussão de perguntas gerais sobre o FreeBSD.

O erro _secure_path: unable to stat .login_conf aparece:

  Esse erro pode aparecer quando um usuário tenta alternar do usuário `root` para outro usuário no sistema. Essa mensagem geralmente ocorre quando o usuário possui uma qualificação mais alta do que a do usuário que ele está tentando se tornar. Por exemplo, se `joe` tiver uma classificação padrão de `biba/low` e o `root` tiver uma classificação de `biba/high`, o `root` não poderá visualizar o diretório inicial de `joe`. Isso acontecerá independente se o `root` usou ou não o `su` para se tornar o `joe`, pois o modelo de integridade do Biba não permitirá que o `root` exiba objetos definidos em um nível de integridade mais baixo.

O sistema não reconhece mais o `root`:

  Quando isso ocorre, o `whoami` retorna `0` e `su` retorna who are you?.

  Isso pode acontecer se uma política de rotulagem foi desativada por sysctl(8) ou o módulo de política foi descarregado. Se a política estiver desativada, o banco de dados de recursos de login precisará ser reconfigurado. Verifique duas vezes o `/etc/login.conf` para garantir que todas as opções de `label` tenham sido removidas e reconstrua o banco de dados com `cap_mkdb`.

  Isso também pode acontecer se uma política restringir o acesso ao `master.passwd`. Isso geralmente é causado por um administrador que altera o arquivo sob um rótulo que entra em conflito com a política geral que está sendo usada pelo sistema. Nesses casos, as informações do usuário seriam lidas pelo sistema e o acesso seria bloqueado, pois o arquivo herdaria o novo rótulo. Desative a política usando o sysctl(8) e tudo deve retornar ao normal.

Anterior | Acima | Próxima
15.7. Nagios em Jail MAC | Principal | Capítulo 16. Auditoria de Evento de Segurança

All FreeBSD documents are available for download at https://download.freebsd.org/ftp/doc/

Questions that are not answered by the documentation may be sent to <freebsd-questions@FreeBSD.org>.
Send questions about this document to <freebsd-doc@FreeBSD.org>.