SELinux（Security-Enhanced Linux）是一种在Linux操作系统中实现强制访问控制（MAC）的安全模块。它通过定义一套规则来限制进程和用户对系统资源的访问，从而提高系统的安全性。在CentOS中，SELinux默认是启用的。要使用SELinux限制CentOS服务权限，请按照以下步骤操作：
查看SELinux状态： 在终端中输入以下命令，查看SELinux的当前状态。
getenforce
如果输出结果为“Enforcing”，则表示SELinux正在强制执行安全策略。如果输出结果为“Disabled”，则表示SELinux已禁用。
修改SELinux配置：
如果需要修改SELinux的配置，可以编辑/etc/selinux/config文件。例如，要将SELinux设置为Permissive模式，可以将SELINUX=enforcing更改为SELINUX=permissive。保存更改后，重启系统以使更改生效。
为服务创建自定义SELinux策略：
要限制特定服务的权限，可以为该服务创建自定义SELinux策略。首先，需要安装policycoreutils-python包，以使用audit2allow工具生成策略模块。
sudo yum install policycoreutils-python
收集服务的SELinux拒绝日志：
当服务尝试访问受限制的资源时，SELinux会生成拒绝日志。可以使用ausearch工具搜索特定服务的拒绝日志。例如，要查找与httpd服务相关的拒绝日志，请运行以下命令：
sudo ausearch -m avc -ts recent -c httpd
生成自定义SELinux策略模块：
使用audit2allow工具根据收集到的拒绝日志生成自定义SELinux策略模块。例如，要为httpd服务生成策略模块，请运行以下命令：
sudo ausearch -m avc -ts recent -c httpd | audit2allow -M my_httpd_policy
这将生成一个名为my_httpd_policy.pp的策略模块文件。
安装并启用自定义SELinux策略模块：
使用semodule工具安装并启用生成的自定义策略模块。例如，要安装并启用my_httpd_policy模块，请运行以下命令：
sudo semodule -i my_httpd_policy.pp
验证策略模块是否生效：
使用sestatus命令查看自定义策略模块是否已启用。例如，要检查my_httpd_policy模块的状态，请运行以下命令：
sudo semodule -l | grep my_httpd_policy
如果输出结果显示模块已启用，则表示自定义策略模块已成功应用。
通过以上步骤，可以使用SELinux限制CentOS服务的权限。请注意，创建和修改SELinux策略需要对Linux安全模块和SELinux策略有一定的了解。在进行更改之前，请确保充分了解相关概念和潜在影响。