SELinux初学者指南
SELinux（Security Enhanced Linux）是美国国家安全局2000年发布的一种高级MAC(Mandatory Access Control，强制访问控制)机制，用来预防恶意入侵。SELinux在DAC（Discretionary Access Control，自主访问控制）的基础上实现了强制访问控制，比如读、写和执行权限。
SElinux有三种模式，分别是Enforcing, permissive, disabled。
1. Enforcing，强制模式。该模式下会基于policy规则拒绝某些访问。
2. Permissive宽容模式。
3. Disabled，该模式下会关闭SELinux。
修改模式的默认配置文件为/etc/selinux/config。
改变SELinux模式
setenforce 1 设置SELinux 成为enforcing模式
setenforce 0 设置SELinux 成为permissive模式
运行$ getenforce可以看到当前运行模式：
$ getenforce运行下面的命令切换到Permissive 模式
$ setenforce 0运行下面命令从permissive模式切换到enforcing模式
$ setenforce 1如果想要关闭SELinux，可以通过配置文件修改。
$ vi /etc/selinux/config
SELINUX=disabled配置Selinux
每个文件或进程用SELinux上下文环境上下文环境中含有SELinux用户、角色、类型等额外的信息。如果第一次开启SELinux，需要配置上下文环境和标签。配置修复label和上下文环境的过程叫做relabeling。在relabeling时，首先要切换到permissive模式。
$ vi /etc/selinux/config
SELINUX=permissive模式切换到permissive时，会在目录/directory下创建一个隐藏的名为autorelabel的文件。
$ touch /.autorelabel重启机器
$ init 6注：选择用permissive模式而不是enforcing模式的原因是，enforcing模式下进行relabeling可能会造成系统奔溃。
Relabeling完成且系统重启后，可以更改到enforcing模式，并运行
$ setenforce 1这样就成功地配置并开启SELinux了。
监控日志
为了确保SELinux的正常运行，需要对日志进行监控。SELinux的日志文件保存在/var/log/audit/audit.log，日志文件中有很多条记录，但是检查错误信息时不需要阅读全部日志，有一个简单的工具是audit2why，运行下面的命令
$ audit2why < /var/log/audit/audit.log输出文件就是错误信息。如果没有错误，那么就不会有输出。
设定Selinux策略
SELinux策略是指导SELinux安全引擎的规则集。策略定义了特殊上下文环境下的规则集，下面是改变策略来允许对拒绝的服务的访问。
1. Booleans
Booleans允许运行时对策略进行改变而不需要写策略。这允许在不重新加载或者编译SELinux策略的同时，实现变化。
例1：
如果想要通过FTP分享用户home目录的读写权限，我们已经分享了该目录，但是尝试访问时看不到该目录。这是因为SELinux策略阻止了FTP守护进程在用户Home目录进行读写。我们需要对SELinux策略进行改变，这样FTP就可以访问home目录了。我们利用Booleans来完成这个功能。
$ semanage boolean –l该命令会生成一系列可用的Booleans和对应的实时状态和描述。可以通过grep命令找出关于ftp的结果：
$ semanage boolean –l | grep ftp
ftp_home_dir -> off 允许ftp在用户目录下进行读写状态则是off的状态，我们用setsebool来开启
$ setsebool ftp_home_dir on现在ftp守护进程就可以访问用户的Home目录了。
getsebool -a也可以获取可用的Booleans列表，但是不会显示Boolean的描述。
2. Labelling &Context
这是在服务器上实施SElinux策略的最常用方法。每个文件、文件夹、进程、端口都被SELinux context标记。
对于文件和文件夹，标签是以文件系统的扩展属性存储的，可以通过下面的命令进行查看
$ ls –Z /etc/httpd对于进程和端口，kernel负责管理标签，同样地，可以通过下面的命令查看对应的标签：
$ ps –auxZ | grephttpd (for process)
$ netstat –anpZ | grephttpd (for port)例2：
我们有一个web服务器，文件目录是/home/dan/html而不是默认的/var/www/html，这样SELinux就会认为违反了策略，这样就不能访问web页面。这是因为还没有设定与html文件相关的安全上下文环境。可以用下面的命令来检查html文件的默认安全上下文环境；
$ ls –lz /var/www/html
-rw-r—r—. root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/上面就是我们得到的html文件的安全上下文环境httpd_sys_content_t。同时需要设定当前目录 安全上下文环境为–rw-r—r—. root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/。
另一个检查文件或者目录的安全上下文环境的命令为：
$ semanage fcontext -l | grep ‘/var/www’当我们找到正确的安全上下文环境时，semanage命令同样可以用来改变安全上下文环境。可以用下面的semanage命令来改变/home/dan/html的安全上下文环境：
$ semanage fcontext -a -t httpd_sys_content_t ‘/home/dan/html(/.*)?’
$ semanage fcontext -l | grep ‘/home/dan/html’
/home/dan/html(/.*)? all files system_u:object_r:httpd_sys_content_t:s0
$ restorecon -Rv /home/dan/html一旦semange操作改变了安全上下文环境，restorecon就会加载文件和目录的默认上下文环境。Web服务器就可以从/home/dan/html文件夹读取文件，同时，文件的安全上下文环境就变成http_sys_content_t了。
3. 创建本地策略
如果上面的访问不能生效，而且audit.log中出现错误消息。当这种情况出现的话，我们需要创建本地策略来解决那些错误信息。同时，可以用上面提到的audit2why查看错误信息。当获取错误后，就可以创建本地策略（Local policy）来解决这些错误。比如，我们获取了httpd或smbd错误，我们可以用grep查找错误信息，并创建安全策略。
$ grep httpd_t /var/log/audit/audit.log | audit2allow -M http_policy (for apache)
$ grep smbd_t /var/log/audit/audit.log | audit2allow -M smb_policy (for samba)下面的http_policy和smb_policy是本地策略的名字。现在我们必须加载那些创建的本地策略到当前SELinux策略中，可以用semodule命令完成这个功能。
$ semodule –I http_policy.pp
$ semodule –I smb_policy.pp这样本地策略就加载了，audit.log中也就不会有错误信息了。
原文发布时间为：2018-05-30
本文来自云栖社区合作伙伴“嘶吼网”，了解相关信息可以关注“嘶吼网”。