Bug 445709

Description of problem:
I'm trying the new F9 feature "Virt Manager PolicyKit integration"
http://fedoraproject.org/wiki/Features/VirtPolicyKit

I got some AVC denials and I had to switch to Permissive mode to allow
virt-manager to connect to the libvirtd daemon.

The first AVC denial occured when I set the Gnome VM applet to connect to
"localhost [qemu]":

SELinux is preventing libvirtd (virtd_t) "sys_nice" to <Neznámé> (virtd_t).

Kontext zdroje                system_u:system_r:virtd_t:s0
Kontext cíle                 system_u:system_r:virtd_t:s0
Objekty cíle                 None [ capability ]
Zdroj                         libvirtd
Cesta zdroje                  /usr/sbin/libvirtd
Port                          <Neznámé>
Počítač                    leela
RPM balíčky zdroje          libvirt-0.4.2-1.fc9
RPM balíčky cíle           
RPM politiky                  selinux-policy-3.3.1-42.fc9
Selinux povolen               True
Typ politiky                  targeted
MLS povoleno                  True
Vynucovací režim            Permissive
Název zásuvného modulu     catchall
Název počítače            leela
Platforma                     Linux leela 2.6.25-14.fc9.x86_64 #1 SMP Thu May 1
                              06:06:21 EDT 2008 x86_64 x86_64
Počet uporoznění           1
Poprvé viděno               Čt 8. květen 2008, 19:09:20 CEST
Naposledy viděno             Čt 8. květen 2008, 19:09:20 CEST
Místní ID                   6f8b1c4d-46ae-4401-a708-a96b84db4e41
Čísla řádků              

Původní zprávy auditu      

host=leela type=AVC msg=audit(1210266560.92:182): avc:  denied  { sys_nice } for
 pid=2013 comm="libvirtd" capability=23 scontext=system_u:system_r:virtd_t:s0
tcontext=system_u:system_r:virtd_t:s0 tclass=capability

host=leela type=SYSCALL msg=audit(1210266560.92:182): arch=c000003e syscall=0
success=yes exit=221 a0=c a1=7fff2d9d3a90 a2=1000 a3=3a2bb67a70 items=0 ppid=1
pid=2013 auid=4294967295 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0
tty=(none) ses=4294967295 comm="libvirtd" exe="/usr/sbin/libvirtd"
subj=system_u:system_r:virtd_t:s0 key=(null)



The second denial appeared when I connected to localhost in virt-manager:

SELinux is preventing libvirtd (virtd_t) "sys_ptrace" to <Neznámé> (virtd_t).

Kontext zdroje                system_u:system_r:virtd_t:s0
Kontext cíle                 system_u:system_r:virtd_t:s0
Objekty cíle                 None [ capability ]
Zdroj                         libvirtd
Cesta zdroje                  /usr/sbin/libvirtd
Port                          <Neznámé>
Počítač                    leela
RPM balíčky zdroje          libvirt-0.4.2-1.fc9
RPM balíčky cíle           
RPM politiky                  selinux-policy-3.3.1-42.fc9
Selinux povolen               True
Typ politiky                  targeted
MLS povoleno                  True
Vynucovací režim            Permissive
Název zásuvného modulu     catchall
Název počítače            leela
Platforma                     Linux leela 2.6.25-14.fc9.x86_64 #1 SMP Thu May 1
                              06:06:21 EDT 2008 x86_64 x86_64
Počet uporoznění           1
Poprvé viděno               Čt 8. květen 2008, 19:09:59 CEST
Naposledy viděno             Čt 8. květen 2008, 19:09:59 CEST
Místní ID                   0c9c5c53-7d0b-4cf7-a0b6-31c3b577deb7
Čísla řádků              

Původní zprávy auditu      

host=leela type=AVC msg=audit(1210266599.46:186): avc:  denied  { sys_ptrace }
for  pid=2013 comm="libvirtd" capability=19
scontext=system_u:system_r:virtd_t:s0 tcontext=system_u:system_r:virtd_t:s0
tclass=capability

host=leela type=AVC msg=audit(1210266599.46:186): avc:  denied  { ptrace } for 
pid=2013 comm="libvirtd" scontext=system_u:system_r:virtd_t:s0
tcontext=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 tclass=process

host=leela type=SYSCALL msg=audit(1210266599.46:186): arch=c000003e syscall=89
success=yes exit=15 a0=7fff2d9d38b0 a1=7fff2d9d39c0 a2=fff a3=8101010101010100
items=0 ppid=1 pid=2013 auid=4294967295 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0
sgid=0 fsgid=0 tty=(none) ses=4294967295 comm="libvirtd"
exe="/usr/sbin/libvirtd" subj=system_u:system_r:virtd_t:s0 key=(null)



Version-Release number of selected component (if applicable):
selinux-policy-targeted-3.3.1-42.fc9.noarch
libvirt-0.4.2-1.fc9.x86_64
virt-manager-0.5.4-3.fc9.x86_64
gnome-applet-vm-0.2.0-2.fc9.x86_64

How reproducible:
100%

Steps to Reproduce:
1. Add "VM Applet" to the Gnome panel.
2. Left-click on it, choose "Connections" in the popup menu.
3. Enable the checkbox for "localhost [qemu]". You'll get the first AVC denial.
4. Run virt-manager
5. Do not give userhelper the root password. Choose "Run unprivileged" instead.
6. Double-click on "localhost qemu". You'll get the second AVC denial.

  
Actual results:
AVC denials are generated, virt-manager is refused connection to libvirtd.

Expected results:
virt-manager should be allowed to connect to libvirtd.