O analista José gerencia o servidor LServer que executa RHEL (Red Hat Enterprise Linux). O servidor LServer possui o sistema de controle de acesso nativo do RHEL, o SELinux (Security-Enhanced Linux), habilitado no modo Enforcing. José precisa mapear o usuário local user10 do LServer para um dos usuários SELinux nativos do RHEL de forma que o SELinux restrinja os direitos de acesso do user10 ao mínimo necessário. O user10 prescinde de qualquer acesso como superusuário, mas necessita efetuar login no ambiente gráfico. O acesso à rede do user10 se dá apenas com o uso de navegadores web. Portanto, José deve mapear user10 para o usuário SELinux:
- A)user_u;
Errada, porque user_u é um perfil genérico de usuário restrito, mas não é o mais adequado para o caso específico de login gráfico com navegação web limitada.
- B)staff_u;
Errada, porque staff_u dá um perfil menos restritivo e não traduz a exigência de acesso mínimo ao sistema.
- C)sysadm_u;
Errada, porque sysadm_u é ligado a privilégios administrativos e foge totalmente da ideia de usuário sem acesso de superusuário.
- D)system_u;
Errada, porque system_u é um contexto de sistema, não o mapeamento adequado para um usuário local comum.
- E)xguest_u.
Certa, porque xguest_u é o perfil SELinux de convidado para uso bem restrito, com login gráfico e navegação web como atividades típicas.
Gabarito: E
No SELinux, além dos usuários comuns do Linux, existem usuários SELinux nativos que funcionam como perfis de restrição de acesso. A ideia é simples: você mapeia o usuário local para um desses perfis e passa a limitar o que ele pode fazer no sistema, mesmo com o modo Enforcing ativo. Em prova, isso costuma aparecer como uma escolha entre perfis mais amplos e perfis mais restritivos. Aqui, o ponto-chave é o perfil pedido: o user10 não precisa de privilégio administrativo, mas deve conseguir fazer login no ambiente gráfico e usar a rede apenas por navegador. Esse cenário é exatamente o típico caso de uso do xguest_u, que é voltado para um usuário convidado com acesso bem limitado, normalmente para navegação web e sem permissões amplas no sistema. Os demais perfis não encaixam no enunciado. staff_u e sysadm_u são mais permissivos e não representam o mínimo necessário. system_u não é perfil de usuário comum para esse propósito, pois é associado a contextos do sistema. Já user_u é um perfil genérico de usuário restrito, mas não é o mais aderente ao cenário de acesso gráfico com navegação web controlada, que é a pista decisiva da questão. Em resumo: quando a banca descreve um usuário sem necessidade de superusuário, mas com login gráfico e uso basicamente via navegador, pense no perfil de convidado do SELinux. É uma restrição prática e bem clássica do RHEL, exatamente para reduzir a superfície de acesso sem impedir a atividade essencial do usuário.