SELinux empêche Nginx de lire le file

J'ai nginx fonctionnant sur ma machine CentOS 7. Chaque jour, je cours un travail cron qui génère de nouveaux parameters Diffie-Hellman. Ils sont sauvegardés dans /etc/ssl/dh/dhparam.pem . Mais SELinux empêche Nginx de lire ce file.

C'est la ligne dans le journal des erreurs nginx:

nginx[3189]: nginx: [emerg] BIO_new_file("/etc/ssl/dh/dhparam.pem") failed (SSL: error:0200100D:system library:fopen:Permission denied:fopen('/etc/ssl/dh/dhparam.pem','r') error:2006D002:BIO routines:BIO_new_file:system lib)

Il s'agit du journal d'audit:

 type=AVC msg=audit(1473285202.181:334): avc: denied { open } for pid=1393 comm="nginx" path="/etc/ssl/dh/dhparam.pem" dev="dm-1" ino=101646309 scontext=system_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:user_tmp_t:s0 tclass=file type=AVC msg=audit(1473285832.647:743): avc: denied { open } for pid=2958 comm="nginx" path="/etc/ssl/dh/dhparam.pem" dev="dm-1" ino=101646309 scontext=system_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:user_tmp_t:s0 tclass=file type=AVC msg=audit(1473287010.821:803): avc: denied { open } for pid=3083 comm="nginx" path="/etc/ssl/dh/dhparam.pem" dev="dm-1" ino=101646316 scontext=system_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:user_tmp_t:s0 tclass=file type=AVC msg=audit(1473287142.871:826): avc: denied { open } for pid=3118 comm="nginx" path="/etc/ssl/dh/dhparam.pem" dev="dm-1" ino=101646309 scontext=system_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:user_tmp_t:s0 tclass=file type=AVC msg=audit(1473287172.480:843): avc: denied { open } for pid=3134 comm="nginx" path="/etc/ssl/dh/dhparam.pem" dev="dm-1" ino=101646309 scontext=system_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:user_tmp_t:s0 tclass=file type=AVC msg=audit(1473287681.994:866): avc: denied { open } for pid=3189 comm="nginx" path="/etc/ssl/dh/dhparam.pem" dev="dm-1" ino=101646309 scontext=system_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:user_tmp_t:s0 tclass=file 

Je ne suis pas très familier avec SELinux (je sais que je devrais apprendre cela): Comment puis-je accorder l'access nginx sans désactiver SELinux (ou le configurer comme permissif)?

SELinux vous refuse l'access au file, puisque vous avez déplacé au lieu de l'avoir copié d'un autre endroit sur le système de files vers son location final. Ainsi, il a conservé son context de security d'origine, ce qui n'a pas permis à Apache d'y accéder.

Pour résoudre le problème, relachez le file avec restorecon .

Pour éviter le problème à l'avenir, copyz les files (et supprimez l'original si nécessaire).