centos下selinux权限如何分配

CentOS 下 SELinux 权限分配实用指南

一 核心概念与前置检查

• SELinux 通过主体（进程/用户）、对象（文件/端口/套接字）与策略的匹配关系实施强制访问控制，安全上下文格式为：user:role:type[:level]，其中决定访问权限的关键是type（进程域/文件类型），level 仅在 MLS/MCS 策略下使用。常用查看命令：
  • 查看系统与模式：getenforce、sestatus -v
  • 查看文件/进程上下文：ls -Z、ps -eZ
  • 查看 SELinux 用户映射：semanage login -l
  • 查看端口类型：semanage port -l
• 运行模式：
  • Enforcing：强制执行策略，拒绝违规操作
  • Permissive：仅记录违规，不拒绝（用于排障）
  • Disabled：彻底关闭（需重启；重新启用需重打标签）
• 策略类型：常见为 targeted（默认，仅限制关键服务）、mls/mcs（多级/多分类安全，细粒度隔离）。

二 运行模式与策略类型配置

• 临时切换模式（立即生效，重启后失效）：
  • 启用强制：sudo setenforce 1
  • 宽容模式：sudo setenforce 0
• 永久生效（编辑配置文件并重启）：
  • 配置文件：/etc/selinux/config（/etc/sysconfig/selinux 通常为符号链接）
  • 示例：将 SELINUX= 设置为 enforcing/permissive/disabled；SELINUXTYPE= 设置为 targeted/mls
  • 注意：从 Disabled 切换到启用需重启，并执行 touch /.autorelabel 修复文件标签
• 策略类型选择：
  • 一般服务器建议 targeted
  • 需要数据敏感度隔离时采用 mls/mcs（见第四节）。

三 面向用户与角色的权限分配

• 将 Linux 登录用户映射到 SELinux 用户（决定其默认权限边界）：
  • 查看映射：semanage login -l
  • 新增映射：sudo semanage login -a -s SELinux用户 用户名
  • 修改映射：sudo semanage login -m -s SELinux用户 用户名
  • 常用 SELinux 用户与能力差异：
    • guest_u：无 GUI、无网络、不可 su/sudo、不可执行 /home 或 /tmp 中的文件
    • xguest_u：可使用 GUI，仅能通过 Firefox 访问网络，不可执行 /home 或 /tmp
    • user_u：可使用 GUI 和网络，不可 su/sudo
    • staff_u：同 user_u，但可使用 sudo
    • sysadm_u：可使用 GUI 和网络，且可使用 su/sudo
    • unconfined_u：几乎不受限（常用于管理员或调试）
• 示例：限制普通用户切换账户
  • 将用户 alice 映射为 user_u：sudo semanage login -a -s user_u alice
  • 重新登录后验证：id -Z（应见 user_u:…）
  • 尝试 su/sudo 将被 SELinux 拒绝（即使知道密码）
• 重要说明：
  • 即使 Linux 用户处于 unconfined_u，当其运行被策略约束的应用时，仍会进入受限域并受策略限制（例如从 unconfined_t 转换到服务域），从而缩小攻击面。

四 面向服务与资源的权限分配

• 文件与目录上下文（类型正确才能被进程访问）
  • 查看：ls -Z /var/www/html
  • 添加本地策略规则：sudo semanage fcontext -a -t 类型 ‘路径(/.*)?’
  • 使规则生效：sudo restorecon -Rv 路径
  • 示例：将自定义目录发布为 Web 内容
    • sudo semanage fcontext -a -t httpd_sys_content_t ‘/webapp(/.*)?’
    • sudo restorecon -Rv /webapp
• 端口类型
  • 查看：semanage port -l | grep http
  • 示例：允许 Nginx 使用 8080/tcp
    • sudo semanage port -a -t http_port_t -p tcp 8080
• 布尔值（开关型策略，快速启用/禁用能力）
  • 查看：getsebool 名称
  • 永久设置：sudo setsebool -P 名称 1/0
  • 示例：允许 httpd 发起网络连接
    • sudo setsebool -P httpd_can_network_connect 1
• 自定义策略模块（最小权限原则）
  • 从拒绝日志生成模块：sudo grep “denied” /var/log/audit/audit.log | audit2allow -M mypolicy
  • 加载模块：sudo semodule -i mypolicy.pp
  • 回滚：sudo semodule -r mypolicy
• 排障流程
  • 实时查看拒绝：sudo tail -f /var/log/audit/audit.log | grep denied
  • 格式化分析：sudo ausearch -m AVC -ts recent 与 sudo audit2why -a。

五 高级 MLS MCS 级别分配示例

• 前提：策略为 mls，模式 enforcing，已安装 policycoreutils-python-utils
• 为 SELinux 用户定义级别范围（例：staff_u 默认 s1，范围 s1-s15）
  • sudo semanage user -m -L s1 -r s1-s15 staff_u
• 为用户主目录生成上下文条目并重新标记
  • sudo genhomedircon
  • sudo restorecon -R -F -v /home/
• 为用户分配明确级别（例：将 example_user 设为 s1）
  • sudo semanage login -m -r s1 example_user
  • 将主目录标记到明确级别：sudo chcon -R -l s1 /home/example_user
• 验证与回切
  • 检查：id -Z、ls -Z /home/example_user
  • 排障时可临时切为 Permissive：sudo setenforce 0，验证无误后 sudo setenforce 1。