如何设置Debian Context

Debian 中的 Context 设置指南

一、概念与判断

• 在 Linux 安全领域，Context 通常指 SELinux 安全上下文，用于强制访问控制（MAC）。一个上下文由三元组组成：用户(user):角色(role):类型(type)，可用命令查看：
  • 查看文件/目录：ls -Z
  • 查看进程：ps -Z
  • 查看当前会话：id -Z
• 若你的系统并未启用 SELinux，命令如 getenforce/setenforce 不存在，或 ls -Z 不显示额外字段，说明当前未使用 SELinux。此时“设置 context”多半不适用，或应改用 AppArmor 等替代方案。

二、启用 SELinux 并配置上下文

• 安装工具与启用 SELinux（Debian 上需手动安装启用）：
  • 安装基础与策略包：
    • sudo apt update
    • sudo apt install selinux-basics selinux-policy-default
  • 启用 SELinux（临时切换为 Permissive 或 Enforcing）：
    • 查看状态：getenforce（返回 Permissive/Enforcing/Disabled）
    • 切换：sudo setenforce 1（Enforcing）或 sudo setenforce 0（Permissive）
  • 持久化启用：编辑 /etc/selinux/config，将 SELINUX= 设为 enforcing 或 permissive，保存后需重启生效。
• 查看与临时修改上下文：
  • 查看：ls -Z /path
  • 临时修改类型（重启或 restorecon 后可能恢复）：sudo chcon -t httpd_sys_content_t /path
• 永久修改上下文（推荐）：
  • 安装管理工具：sudo apt install policycoreutils-python-utils
  • 添加 fcontext 规则（示例为将某目录及其内容标记为 httpd 可读内容）：
    • sudo semanage fcontext -a -t httpd_sys_content_t “/var/www/myapp(/.*)?”
  • 应用规则：sudo restorecon -Rv /var/www/myapp
• 验证：ls -Z /var/www/myapp 应显示新的 type。

三、使用 AppArmor 的替代方案

• 若系统使用 AppArmor（Debian 常见默认 MAC 框架），“上下文”体现为进程的安全配置（profile）：
  • 查看与切换模式：
    • 查看状态：sudo aa-status
    • 切换为投诉模式（仅记录不阻断）：sudo aa-complain /usr/sbin/nginx
    • 切换为强制模式：sudo aa-enforce /usr/sbin/nginx
  • 加载或重新加载配置：
    • 编辑或新增配置于 /etc/apparmor.d/（如自定义 profile）
    • 加载/重载：sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.nginx
• AppArmor 以“profile”为核心，并非以文件“类型”为主，适合在不启用 SELinux 的 Debian 环境中进行进程访问控制。

四、Web 目录常见示例（以 Apache 为例）

• 场景：将网站目录 /var/www/myapp 标记为 httpd 可读内容，将 /var/www/myapp/storage 标记为 httpd 可写内容，以便 PHP 框架写入日志/缓存。
• SELinux 做法：
  • 标记目录类型：
    • sudo chcon -R -t httpd_sys_content_t /var/www/myapp
    • sudo chcon -R -t httpd_sys_rw_content_t /var/www/myapp/storage
  • 永久化（推荐）：
    • sudo semanage fcontext -a -t httpd_sys_content_t “/var/www/myapp(/.*)?”
    • sudo semanage fcontext -a -t httpd_sys_rw_content_t “/var/www/myapp/storage(/.*)?”
    • sudo restorecon -Rv /var/www/myapp
  • 重启服务：sudo systemctl restart apache2
• 说明：类型名称与可用范围取决于已安装策略模块，请以实际环境与需求为准。

五、排错与注意事项

• 模式与生效：
  • setenforce 仅影响当前运行时的 Enforcing/Permissive 切换；要持久化需修改 /etc/selinux/config 并重启。
  • 某些目录的默认上下文由策略预设，修改后请用 restorecon 使规则落地。
• 工具可用性：
  • 若 semanage 不可用，请确认已安装 policycoreutils-python-utils。
• 日志与策略细化：
  • 被拒绝的访问会记录在审计日志中，可用 audit2allow 分析并生成自定义策略模块，再用 semodule 加载，以实现最小化放行。