Linux实用命令二十]SELinux基本配置

1、SELinux工作模式介绍这里不对SELinux做过多的介绍，下面是来自百度的一些介绍：SELinux(Security-Enhanced Linux) 是美国国家安全局（NSA）对于强制访问控制的实现，是2.6版本的Linux内核后提供的强制访问控制系统。简单的说SELinux增强了传统的UGO权限模型，使用SELinux的策略后，SELinux能够控制哪个进程只能访问哪个文件。SELinux有三个工作模式:-强制（enforcing）：对于违反策略的行为全部禁止，并且作内核记录。-允许（permission）：对违反策略的行为只给出警告。-禁用（disable）：关闭SELinux。

2、如何查看文件包含的SELinux信息使用”ps -Z”可以查看SELinux的域信息，使用”ls -Z”可以查看SELinux配置信息，请看下面的实例:

3、1/涯箨唁峦*命令返回信息中第一部分LABEL就是进程对应的SELinux信息*/2[root@QingSword.COM ~]# ps -Z3LABEL PID TTY TIME CMD4unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 1974 pts/0 00:00:00 su5unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 1981 pts/0 00:00:00 bash6unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 2035 pts/0 00:00:00 ps78/*9* 命令返回的第四部分是这个文件的SELinux信息,10* “unconfined_u:object_r:admin_home_t:s0” 用冒号分割的四部分解释如下：11* [用户user]:[角色role]:[类型type（SELinux默认预设规则）]:[MLS、MCS]12*/13[root@QingSword.COM ~]# ls -Z14-rw-------. root root unconfined_u:object_r:admin_home_t:s0 anaconda-ks.cfg15[root@QingSword.COM ~]#

4、如何修改SELinux模式配置文件SELinux的模式配置文件位置：-在Fedora、Red Hat、CentOS上的位置为“/etc/sysconfig/selinux”-在ubuntu、debian上的位置为“/etc/selinux/config”下面的实例演示如何查看与修改SELinux工作模式（使用CentOS举例）：

5、1/涯箨唁峦*查看SELinux工作模式，默认为Enforcing*/2[qing@QingSword.COM ~]$ getenforce3Enforcing45/*6* 切换到超级管理员，临时改变SELinux工作模式为Permissive，7* setenforce后面的参数1代表Enforcing，0代表Permissive8*/9[qing@QingSword.COM ~]$ su -10[root@QingSword.COM ~]# setenforce 011[root@QingSword.COM ~]# getenforce12Permissive1314/*上面的修改方法只是临时的，重启后失效，如果想永久改变SELinux工作模式，可以使用vim更改SELinux配置文件*/15[qing@QingSword.COM ~]$ vim /etc/sysconfig/selinux16....17SELINUX=enforcing//更改SELINUX=后的参数对应工作模式“强制、允许、禁用”18/*如果想彻底关闭SELinux，可以将上面这句改为:*/19SELINUX=disabled2021/*除此之外，SELinux的日志与报错信息保存位置为*/22[root@QingSword.COM ~]# tail /var/log/audit/audit.log

6、对SELinux配置文件的更改，需要重启计算机才能生效。

7、如何恢复文件SELinux上下文信息可以使用restorecon(restore context)命令来恢复某文件或文件夹的SELinux配置信息，为了让大家更好的理解，这里举一个例子，假设CentOS安装了apache，网页默认的主目录是/var/www/html，我们经常遇到这样的问题，在其他目录中创建了一个网页文件，然后用mv移动到网页默认目录/var/www/html中，但是在浏览器中却打不开这个文件，这很可能是因为这个文件的SELinux配置信息是继承原来那个目录的，与/var/www/html目录不同，使用mv移动的时候，这个SELinux配置信息也一起移动过来了，从而导致无法打开页面，具体请看下面的实例：

8、1/涯箨唁峦*使用CentOS举例,如果默认没有安装apache，确保网络连接，使用下面的命令安装*/2[root@QingSword.COM ~]# yum install httpd34/*我们在root的家目录新建一个html文件*/5[root@QingSword.COM ~]# pwd6/root7[root@QingSword.COM ~]# vi index.html8/*随便输入一段文字，保存退出*/9welcome to www.qingsword.com1011/*将这个文件mv到网页默认目录下*/12[root@QingSword.COM ~]# mv index.html /var/www/html/1314/*15* 这个时候我们使用firefox浏览器输入127.0.0.1/index.html发现打不开，16* 查看一下SELinux的日志文件，发现了下面这一段报错信息，从这个报错信息不难看出，17* 进程httpd访问网页主目录中的index.html时被SELinux阻止，原因是因为，SELinux配置信息不正确,18* 正确的SELinux配置信息应该是scontext=后面的部分，19* 而index.html文件的SELinux配置信息却是tcontext=后面的部分，20* 从tcontext=的第三段“admin_home_t”不难看出，这个文件的SELinux配置信息是root用户家目录的。21*/22type=AVC msg=audit(1378974214.610:465): avc: denied { open }forpid=2359 comm="httpd"path="/var/www/html/index.html"dev="sda1"ino=1317685 scontext=system_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:admin_home_t:s0 tclass=file2324/*使用ls -Z也可以看出,文件和目录的SELinux信息不匹配*/25[root@QingSword.COM html]# ls -Z /var/www/html/26.... unconfined_u:object_r:admin_home_t:s0 index.html27[root@QingSword.COM html]# ls -Zd /var/www/html/28.... system_u:object_r:httpd_sys_content_t:s0 /var/www/html/2930/*使用restorecon来恢复网页主目录中所有文件的SELinux配置信息(如果目标为一个目录，可以添加-R参数递归)*/31[root@QingSword.COM html]# restorecon -R /var/www/html/

9、恢复后，index.html页面就能正常打开了。

10、如何修改文件SELinux上下文信息可以根据某个参照文件去修改另外一个文件的SELinux配置信息：

11、1/*和文章第四部分介绍的restorecon效果相同，chcon可以根据一个参照文件或目录修改，将index.html的SELinux配置信息修改成和/var/www/html目录相同*/2[root@QingSword.COM html]# chcon --reference=/var/www/html /var/www/html/index.html