RHEL 10 fapolicyd：应用白名单与信任库

fapolicyd 管的是“哪些可执行文件允许跑”，不是文件权限。它按信任库（rpm 安装的 + 手工加入的）判断；不在库里的二进制，非 root 执行会得到 Operation not permitted（126）。本页把这条链路跑通，并指出两个容易误判的点。

验证范围

在 PVE 390 rhel10-lab（RHEL 10.2 x86_64）上实际执行：

sudo dnf -y install fapolicyd
sudo systemctl start fapolicyd
systemctl is-active fapolicyd
sudo fapolicyd-cli --list | head
sudo cp /usr/bin/true /tmp/fap-demo && sudo chmod +x /tmp/fap-demo
/tmp/fap-demo; echo $?                 # 非 root，预期 126
sudo fapolicyd-cli --file add /tmp/fap-demo
sudo fapolicyd-cli --update
/tmp/fap-demo; echo $?                 # 等待后，预期 0
sudo fapolicyd-cli --file delete /tmp/fap-demo
sudo fapolicyd-cli --update
/tmp/fap-demo; echo $?                 # 预期又回到 126

E3 记录：plans/content-expansion/evidence/rhel/rhel-fapolicyd/run.json（11 步，含每步输出 sha256 与退出码）。

先给结论：信任库决定放行

permissive = 0 表示 enforcing；
默认规则里 allow perm=any uid=0 trust=1 : all 会给 root 很大空间；
普通用户执行未信任二进制 → 126；
fapolicyd-cli --file add/delete 改信任库，--update 通知重载。

规则里的 uid=0

fapolicyd-cli --list 的前几条：

1. allow perm=any uid=0 : dir=/var/tmp/
2. allow perm=any uid=0 trust=1 : all
3. allow perm=open exe=/usr/bin/rpm : all
...
9. allow perm=execute all : trust=1

第 2 条意味着 root 执行未信任文件也可能被放行。所以：

验证“拒绝”必须用普通用户，不要用 root 测试后误以为策略没生效；
生产上不要用 root 跑来路不明的二进制，fapolicyd 不会替你挡。

$ /tmp/fap-demo; echo $?
bash: /tmp/fap-demo: Operation not permitted
126
$ sudo /tmp/fap-demo; echo $?
0

信任库增删

sudo fapolicyd-cli --file add /tmp/fap-demo
sudo fapolicyd-cli --update
# 等待 1–2 秒或重启服务后再测
/tmp/fap-demo; echo $?          # 0

sudo fapolicyd-cli --file delete /tmp/fap-demo
sudo fapolicyd-cli --update
/tmp/fap-demo; echo $?          # 126