Ubuntu SELinux策略修改技巧

在Ubuntu上修改SELinux策略可以通过以下步骤进行：

安装SELinux及相关工具

首先，确保系统已经安装了SELinux及相关工具。可以通过以下命令安装：

sudo apt-get update
sudo apt-get install selinux-basics selinux-policy-default auditd audispd-plugins

编辑SELinux配置文件

使用文本编辑器打开 /etc/selinux/config 文件，例如使用 nano：

sudo nano /etc/selinux/config

在此文件中，可以修改SELinux的模式。例如，将模式设置为 permissive：

SELINUX=permissive
SELINUXTYPE=targeted

保存并关闭文件，然后重启系统以使更改生效：

sudo reboot

使用 semanage 和 restorecon 命令

semanage 命令允许定义和修改SELinux上下文类型、用户和角色。例如，创建一个新的策略以允许对特定目录进行读写操作：

sudo semanage fcontext -a -t httpd_sys_rw_content_t "/path/to/your/custom/directory(/.*)?"

使用 restorecon 命令应用新策略：

sudo restorecon -Rv /path/to/your/custom/directory

创建自定义SELinux策略

1. 创建一个新的策略文件目录：

mkdir /selinux-custom-policy
cd /selinux-custom-policy

2. 创建并编辑 custom_policy.te 文件，添加相应的规则。例如，允许一个名为 my_script 的可执行文件访问 /var/www/html 目录：

policy_module(custom_policy, 1.0)
type my_script_t;
type my_script_exec_t;
init_daemon_domain(my_script_t, my_script_exec_t)
allow my_script_t httpd_sys_rw_content_t:dir { read write };

3. 编译并安装自定义策略：

make -f /usr/share/selinux/devel/Makefile
sudo semodule -i custom_policy.pp

4. 将自定义策略应用于系统：

sudo restorecon -Rv /path/to/your/directory

查看当前的SELinux模式

可以使用 getenforce 命令来查看当前的SELinux模式：

getenforce

更改SELinux模式

如果需要，可以通过编辑 /etc/selinux/config 文件并更改 SELINUX 变量的值来更改SELinux模式。例如，将模式设置为 permissive：

SELINUX=permissive

更改后，需要重新启动系统以使更改生效。

请注意，SELinux在Ubuntu上的支持有限，并非所有功能都可用。在某些情况下，可能需要考虑使用其他发行版，如CentOS或RHEL，以获得更好的SELinux支持。