SELinux（Security-Enhanced Linux）是一种内核安全模块，它通过强制访问控制（MAC）策略来限制进程的权限。以下是SELinux如何限制进程权限的一些关键点：
1. 定义安全上下文
- 每个文件、目录和进程都有一个安全上下文（Security Context），通常表示为
user:role:type。
- SELinux使用这些上下文来决定哪些操作是允许的。
2. 类型强制（Type Enforcement）
- SELinux的核心机制之一是类型强制，它根据预定义的策略规则来控制进程可以访问的资源。
- 如果一个进程试图执行不允许的操作，SELinux会阻止它。
3. 角色和用户映射
- 角色（Roles）定义了一组权限集合，可以被多个用户共享。
- 用户可以被分配到一个或多个角色，从而继承相应的权限。
4. 布尔值（Booleans）
- 布尔值是一些可配置的开关，允许管理员微调SELinux的行为。
- 例如，可以启用或禁用某些网络服务或文件系统的访问。
5. 策略文件
- SELinux策略通常存储在
/etc/selinux/目录下的文件中，如targeted/policy/policy.31。
- 这些文件包含了大量的规则，定义了哪些上下文可以相互交互。
6. 标签化（Labeling）
- 文件系统中的每个文件和目录都会被打上SELinux标签。
- 进程启动时也会被赋予一个初始的安全上下文。
7. 审计日志
- SELinux会记录所有被拒绝的操作，这些信息可以在
/var/log/audit/audit.log中查看。
- 审计日志对于排查问题和调整策略非常有帮助。
8. 运行模式
- SELinux有三种运行模式：Enforcing（强制）、Permissive（宽容）和Disabled（禁用）。
- 在Enforcing模式下，SELinux会实际阻止违规操作；而在Permissive模式下，它只会记录警告。
如何限制进程权限的具体步骤：
1. 查看当前的安全上下文
ls -Z /path/to/file
2. 修改文件或目录的安全上下文
chcon -t httpd_sys_content_t /path/to/file
3. 创建自定义策略模块
编写一个.te文件来定义新的策略规则，然后使用checkmodule和semodule工具编译和加载它。
4. 使用audit2allow生成策略模块
分析审计日志并生成相应的策略模块：
grep httpd /var/log/audit/audit.log | audit2allow -M mypol
semodule -i mypol.pp
5. 调整SELinux布尔值
setsebool -P httpd_can_network_connect 0
6. 监控和调试
使用ausearch和aureport工具来查询和分析SELinux事件。
注意事项：
- 修改SELinux策略可能会影响系统的安全性和稳定性，因此在进行更改之前应充分了解其影响。
- 建议在生产环境中使用Permissive模式进行测试，以避免意外中断服务。
总之，SELinux通过多层次的安全机制有效地限制了进程的权限，从而提高了系统的整体安全性。