centos selinux如何修改默认策略

在CentOS系统中，SELinux（Security-Enhanced Linux）是一种安全模块，它提供了强制访问控制（MAC）功能。如果你需要修改SELinux的默认策略，可以通过以下步骤进行：

1. 查看当前SELinux状态：

   sestatus
   

   这将显示SELinux的当前状态（启用或禁用）以及模式（ enforcing 或 permissive）。

2. 临时更改SELinux模式： 如果你想临时将SELinux从enforcing模式更改为permissive模式，可以使用以下命令：

   setenforce 0
   

   要恢复为enforcing模式，使用：

   setenforce 1
   

3. 永久更改SELinux模式： 要永久更改SELinux模式，你需要编辑/etc/selinux/config文件：

   sudo vi /etc/selinux/config
   

   找到以下行：

   SELINUX=enforcing
   

   将其更改为：

   SELINUX=permissive
   

   或者如果你想完全禁用SELinux：

   SELINUX=disabled
   

   保存并退出编辑器。

4. 修改SELinux策略： SELinux策略通常以.pp文件的形式存在。你可以使用semodule命令来管理这些策略模块。

   • 查看已安装的策略模块：

     semodule -l
     

   • 启用一个策略模块：

     semodule -i your_policy_module.pp
     

   • 禁用一个策略模块：

     semodule -r your_policy_module.pp
     

   • 更新策略模块：

     checkmodule -M -m -o your_policy_module.mod your_policy_module.te
     semodule_package -o your_policy_module.pp -m your_policy_module.mod
     semodule -i your_policy_module.pp
     

5. 自定义策略： 如果你需要编写自定义策略，可以使用audit2allow工具从SELinux拒绝日志中生成策略模块。

   • 收集拒绝日志：

     ausearch -m avc -ts recent
     

   • 生成策略模块：

     ausearch -m avc -ts recent | audit2allow -M my_custom_policy
     

   • 编译并安装策略模块：

     semodule -i my_custom_policy.pp
     

通过以上步骤，你可以修改CentOS系统中SELinux的默认策略。请注意，更改SELinux策略可能会影响系统的安全性和功能，因此在生产环境中进行更改之前，请确保你了解所做的更改及其潜在影响。