modules/pam_selinux/pam_selinux.8

   1 .\"     Title: pam_selinux
   2 .\"    Author: [see the "AUTHOR" section]
   3 .\" Generator: DocBook XSL Stylesheets v1.74.0 <http://docbook.sf.net/>
   4 .\"      Date: 08/15/2012
   5 .\"    Manual: Linux-PAM Manual
   6 .\"    Source: Linux-PAM Manual
   7 .\"  Language: English
   8 .\"
   9 .TH "PAM_SELINUX" "8" "08/15/2012" "Linux-PAM Manual" "Linux\-PAM Manual"
  10 .\" -----------------------------------------------------------------
  11 .\" * (re)Define some macros
  12 .\" -----------------------------------------------------------------
  13 .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  14 .\" toupper - uppercase a string (locale-aware)
  15 .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  16 .de toupper
  17 .tr aAbBcCdDeEfFgGhHiIjJkKlLmMnNoOpPqQrRsStTuUvVwWxXyYzZ
  18 \\$*
  19 .tr aabbccddeeffgghhiijjkkllmmnnooppqqrrssttuuvvwwxxyyzz
  20 ..
  21 .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  22 .\" SH-xref - format a cross-reference to an SH section
  23 .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  24 .de SH-xref
  25 .ie n \{\
  26 .\}
  27 .toupper \\$*
  28 .el \{\
  29 \\$*
  30 .\}
  31 ..
  32 .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  33 .\" SH - level-one heading that works better for non-TTY output
  34 .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  35 .de1 SH
  36 .\" put an extra blank line of space above the head in non-TTY output
  37 .if t \{\
  38 .sp 1
  39 .\}
  40 .sp \\n[PD]u
  41 .nr an-level 1
  42 .set-an-margin
  43 .nr an-prevailing-indent \\n[IN]
  44 .fi
  45 .in \\n[an-margin]u
  46 .ti 0
  47 .HTML-TAG ".NH \\n[an-level]"
  48 .it 1 an-trap
  49 .nr an-no-space-flag 1
  50 .nr an-break-flag 1
  51 \." make the size of the head bigger
  52 .ps +3
  53 .ft B
  54 .ne (2v + 1u)
  55 .ie n \{\
  56 .\" if n (TTY output), use uppercase
  57 .toupper \\$*
  58 .\}
  59 .el \{\
  60 .nr an-break-flag 0
  61 .\" if not n (not TTY), use normal case (not uppercase)
  62 \\$1
  63 .in \\n[an-margin]u
  64 .ti 0
  65 .\" if not n (not TTY), put a border/line under subheading
  66 .sp -.6
  67 \l'\n(.lu'
  68 .\}
  69 ..
  70 .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  71 .\" SS - level-two heading that works better for non-TTY output
  72 .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  73 .de1 SS
  74 .sp \\n[PD]u
  75 .nr an-level 1
  76 .set-an-margin
  77 .nr an-prevailing-indent \\n[IN]
  78 .fi
  79 .in \\n[IN]u
  80 .ti \\n[SN]u
  81 .it 1 an-trap
  82 .nr an-no-space-flag 1
  83 .nr an-break-flag 1
  84 .ps \\n[PS-SS]u
  85 \." make the size of the head bigger
  86 .ps +2
  87 .ft B
  88 .ne (2v + 1u)
  89 .if \\n[.$] \&\\$*
  90 ..
  91 .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  92 .\" BB/BE - put background/screen (filled box) around block of text
  93 .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  94 .de BB
  95 .if t \{\
  96 .sp -.5
  97 .br
  98 .in +2n
  99 .ll -2n
 100 .gcolor red
 101 .di BX
 102 .\}
 103 ..
 104 .de EB
 105 .if t \{\
 106 .if "\\$2"adjust-for-leading-newline" \{\
 107 .sp -1
 108 .\}
 109 .br
 110 .di
 111 .in
 112 .ll
 113 .gcolor
 114 .nr BW \\n(.lu-\\n(.i
 115 .nr BH \\n(dn+.5v
 116 .ne \\n(BHu+.5v
 117 .ie "\\$2"adjust-for-leading-newline" \{\
 118 \M[\\$1]\h'1n'\v'+.5v'\D'P \\n(BWu 0 0 \\n(BHu -\\n(BWu 0 0 -\\n(BHu'\M[]
 119 .\}
 120 .el \{\
 121 \M[\\$1]\h'1n'\v'-.5v'\D'P \\n(BWu 0 0 \\n(BHu -\\n(BWu 0 0 -\\n(BHu'\M[]
 122 .\}
 123 .in 0
 124 .sp -.5v
 125 .nf
 126 .BX
 127 .in
 128 .sp .5v
 129 .fi
 130 .\}
 131 ..
 132 .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
 133 .\" BM/EM - put colored marker in margin next to block of text
 134 .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
 135 .de BM
 136 .if t \{\
 137 .br
 138 .ll -2n
 139 .gcolor red
 140 .di BX
 141 .\}
 142 ..
 143 .de EM
 144 .if t \{\
 145 .br
 146 .di
 147 .ll
 148 .gcolor
 149 .nr BH \\n(dn
 150 .ne \\n(BHu
 151 \M[\\$1]\D'P -.75n 0 0 \\n(BHu -(\\n[.i]u - \\n(INu - .75n) 0 0 -\\n(BHu'\M[]
 152 .in 0
 153 .nf
 154 .BX
 155 .in
 156 .fi
 157 .\}
 158 ..
 159 .\" -----------------------------------------------------------------
 160 .\" * set default formatting
 161 .\" -----------------------------------------------------------------
 162 .\" disable hyphenation
 163 .nh
 164 .\" disable justification (adjust text to left margin only)
 165 .ad l
 166 .\" -----------------------------------------------------------------
 167 .\" * MAIN CONTENT STARTS HERE *
 168 .\" -----------------------------------------------------------------
 169 .SH "Name"
 170 pam_selinux \- PAM module to set the default security context
 171 .SH "Synopsis"
 172 .fam C
 173 .HP \w'\fBpam_selinux\&.so\fR\ 'u
 174 \fBpam_selinux\&.so\fR [open] [close] [restore] [nottys] [debug] [verbose] [select_context] [env_params] [use_current_range]
 175 .fam
 176 .SH "DESCRIPTION"
 177 .PP
 178 pam_selinux is a PAM module that sets up the default SELinux security context for the next executed process\&.
 179 .PP
 180 When a new session is started, the open_session part of the module computes and sets up the execution security context used for the next
 181 \fBexecve\fR(2)
 182 call, the file security context for the controlling terminal, and the security context used for creating a new kernel keyring\&.
 183 .PP
 184 When the session is ended, the close_session part of the module restores old security contexts that were in effect before the change made by the open_session part of the module\&.
 185 .PP
 186 Adding pam_selinux into the PAM stack might disrupt behavior of other PAM modules which execute applications\&. To avoid that,
 187 \fIpam_selinux\&.so open\fR
 188 should be placed after such modules in the PAM stack, and
 189 \fIpam_selinux\&.so close\fR
 190 should be placed before them\&. When such a placement is not feasible,
 191 \fIpam_selinux\&.so restore\fR
 192 could be used to temporary restore original security contexts\&.
 193 .SH "OPTIONS"
 194 .PP
 195 \fBopen\fR
 196 .RS 4
 197 Only execute the open_session part of the module\&.
 198 .RE
 199 .PP
 200 \fBclose\fR
 201 .RS 4
 202 Only execute the close_session part of the module\&.
 203 .RE
 204 .PP
 205 \fBrestore\fR
 206 .RS 4
 207 In open_session part of the module, temporarily restore the security contexts as they were before the previous call of the module\&. Another call of this module without the restore option will set up the new security contexts again\&.
 208 .RE
 209 .PP
 210 \fBnottys\fR
 211 .RS 4
 212 Do not setup security context of the controlling terminal\&.
 213 .RE
 214 .PP
 215 \fBdebug\fR
 216 .RS 4
 217 Turn on debug messages via
 218 \fBsyslog\fR(3)\&.
 219 .RE
 220 .PP
 221 \fBverbose\fR
 222 .RS 4
 223 Attempt to inform the user when security context is set\&.
 224 .RE
 225 .PP
 226 \fBselect_context\fR
 227 .RS 4
 228 Attempt to ask the user for a custom security context role\&. If MLS is on, ask also for sensitivity level\&.
 229 .RE
 230 .PP
 231 \fBenv_params\fR
 232 .RS 4
 233 Attempt to obtain a custom security context role from PAM environment\&. If MLS is on, obtain also sensitivity level\&. This option and the select_context option are mutually exclusive\&. The respective PAM environment variables are
 234 \fISELINUX_ROLE_REQUESTED\fR,
 235 \fISELINUX_LEVEL_REQUESTED\fR, and
 236 \fISELINUX_USE_CURRENT_RANGE\fR\&. The first two variables are self describing and the last one if set to 1 makes the PAM module behave as if the use_current_range was specified on the command line of the module\&.
 237 .RE
 238 .PP
 239 \fBuse_current_range\fR
 240 .RS 4
 241 Use the sensitivity level of the current process for the user context instead of the default level\&. Also suppresses asking of the sensitivity level from the user or obtaining it from PAM environment\&.
 242 .RE
 243 .SH "MODULE TYPES PROVIDED"
 244 .PP
 245 Only the
 246 \fBsession\fR
 247 module type is provided\&.
 248 .SH "RETURN VALUES"
 249 .PP
 250 PAM_SUCCESS
 251 .RS 4
 252 The security context was set successfully\&.
 253 .RE
 254 .PP
 255 PAM_SESSION_ERR
 256 .RS 4
 257 Unable to get or set a valid context\&.
 258 .RE
 259 .PP
 260 PAM_USER_UNKNOWN
 261 .RS 4
 262 The user is not known to the system\&.
 263 .RE
 264 .PP
 265 PAM_BUF_ERR
 266 .RS 4
 267 Memory allocation error\&.
 268 .RE
 269 .SH "EXAMPLES"
 270 .sp
 271 .if n \{\
 272 .RS 4
 273 .\}
 274 .fam C
 275 .ps -1
 276 .nf
 277 .if t \{\
 278 .sp -1
 279 .\}
 280 .BB lightgray adjust-for-leading-newline
 281 .sp -1
 282
 283 auth     required  pam_unix\&.so
 284 session  required  pam_permit\&.so
 285 session  optional  pam_selinux\&.so
 286
 287 .EB lightgray adjust-for-leading-newline
 288 .if t \{\
 289 .sp 1
 290 .\}
 291 .fi
 292 .fam
 293 .ps +1
 294 .if n \{\
 295 .RE
 296 .\}
 297 .SH "SEE ALSO"
 298 .PP
 299
 300 \fBexecve\fR(2),
 301 \fBtty\fR(4),
 302 \fBpam.d\fR(5),
 303 \fBpam\fR(8),
 304 \fBselinux\fR(8)
 305 .SH "AUTHOR"
 306 .PP
 307 pam_selinux was written by Dan Walsh <dwalsh@redhat\&.com>\&.