centos selinux强制模式使用场景

CentOS SELinux 强制模式适用场景

一、适用场景清单

• 生产服务器与对外服务：面向公网或内部敏感业务的服务器（如 Web、数据库、FTP、DNS 等）应长期运行在 Enforcing，以落实最小权限、缩小攻击面。
• 合规与安全基线的落地：需要满足等保、PCI-DSS、HIPAA 等合规要求时，强制模式提供可审计的 MAC 控制与拒绝证据。
• 多用户与多服务共存的主机：通过类型强制（Type Enforcement）隔离 进程域/资源类型，避免越权访问。
• 端口与资源合规管控：对服务监听端口、文件类型、进程间访问进行策略化约束，例如仅允许 http_port_t 类型端口被 httpd_t 绑定。
• 出现异常访问时的阻断与取证：当检测到可疑行为（如进程尝试读取 /etc/shadow），强制模式会拒绝并写入 AVC 拒绝日志，便于审计与溯源。
• 容器与虚拟化宿主机的常规运行：在容器平台（如 Kubernetes）尚未完全适配或明确需要宿主机访问的场景之外，宿主机的业务容器通常建议保持 Enforcing 运行。

二、典型运维场景与处置要点

• Web 服务端口变更被拒：如将 httpd 改为 82 端口启动失败，应先确认该端口是否属于 http_port_t，必要时用 semanage port 将端口加入允许列表，再重启服务。
• 文件或目录上下文不当：内容发布目录未打上正确的 httpd_sys_content_t 等类型标签会导致访问被拒，使用 ls -Z/ps -eZ 排查，必要时用 chcon 修正或 restorecon 恢复默认上下文。
• 动态功能开关：部分行为可通过 SELinux 布尔值 调整（如启用家目录访问），临时用 setsebool，永久生效加 -P。
• 策略微调与排错：在 Permissive 下观察 AVC 日志并用 audit2allow 生成定制模块，验证无误后加载，避免直接放宽全局策略。

三、不建议使用强制模式的场景

• 兼容性极差的遗留应用：短期内无法完成策略适配时，可先在 Permissive 验证，再逐步修正；若必须绕过，才考虑 Disabled。
• 容器平台早期或特定场景：如 Kubernetes 某些版本/网络方案需要容器访问宿主机文件系统，官方文档曾建议在节点上临时设为 Permissive 或关闭 SELinux。
• 策略研发与问题定位阶段：需要观察哪些访问会被拒绝但不影响业务连续性时，使用 Permissive 更高效。

四、快速启用与回退建议

• 启用强制模式：
  • 临时切换：setenforce 1（立即生效，重启后失效）
  • 永久生效：编辑 /etc/selinux/config，设置 SELINUX=enforcing，重启后保持
• 验证状态：getenforce、sestatus -v
• 回退与排障：
  • 临时回退：setenforce 0（仅记录不阻断，便于定位）
  • 从 Disabled 切换到其他模式需重启；必要时执行文件系统重标记：restorecon -Rv /
• 变更注意：修改端口、布尔值或上下文后，重启相关服务并做基本连通性与功能测试。