Linux实用命令二十]SELinux基本配置

1、SELinux工作模式介绍

这里不对SELinux做过多的介绍，下面是来自百度的一些介绍：SELinux(Security-Enhanced Linux) 是美国国家安全局（NSA）对于强制访问控制的实现，是2.6版本的Linux内核后提供的强制访问控制系统。

简单的说SELinux增强了传统的UGO权限模型，使用SELinux的策略后，SELinux能够控制哪个进程只能访问哪个文件。

SELinux有三个工作模式:

-强制（enforcing）：对于违反策略的行为全部禁止，并且作内核记录。-允许（permission）：对违反策略的行为只给出警告。-禁用（disable）：关闭SELinux。

2、如何查看文件包含的SELinux信息

使用”ps -Z”可以查看SELinux的域信息，使用”ls -Z”可以查看SELinux配置信息，请看下面的实例:

3、1/*命令返回信息中第一部分LABEL就是进程对应的SELinux信息*/

2[root@QingSword.COM ~]# ps -Z

3 LABEL                                                PID TTY     TIME   CMD

4unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 1974 pts/0 00:00:00 su

5unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 1981 pts/0 00:00:00 bash

6unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 2035 pts/0 00:00:00 ps

7 

8/*

9 * 命令返回的第四部分是这个文件的SELinux信息,

10 * “unconfined_u:object_r:admin_home_t:s0” 用冒号分割的四部分解释如下：

11 *  [用户user]:[角色role]:[类型type（SELinux默认预设规则）]:[MLS、MCS]

12 */

13[root@QingSword.COM ~]# ls -Z

14-rw-------. root root unconfined_u:object_r:admin_home_t:s0 anaconda-ks.cfg

15[root@QingSword.COM ~]#

4、如何修改SELinux模式配置文件

SELinux的模式配置文件位置：

-在Fedora、Red Hat、CentOS上的位置为“/etc/sysconfig/selinux”-在ubuntu、debian上的位置为“/etc/selinux/config”

下面的实例演示如何查看与修改SELinux工作模式（使用CentOS举例）：

5、1/*查看SELinux工作模式，默认为Enforcing*/

2[qing@QingSword.COM ~]$ getenforce

3Enforcing

4 

5/*

6 * 切换到超级管理员，临时改变SELinux工作模式为Permissive，

7 * setenforce后面的参数1代表Enforcing，0代表Permissive

8 */

9[qing@QingSword.COM ~]$ su -

10[root@QingSword.COM ~]# setenforce 0

11[root@QingSword.COM ~]# getenforce

12Permissive

13 

14/*上面的修改方法只是临时的，重启后失效，如果想永久改变SELinux工作模式，可以使用vim更改SELinux配置文件*/

15[qing@QingSword.COM ~]$ vim /etc/sysconfig/selinux

16....

17SELINUX=enforcing  //更改SELINUX=后的参数对应工作模式“强制、允许、禁用”

18/*如果想彻底关闭SELinux，可以将上面这句改为:*/

19SELINUX=disabled

20 

21/*除此之外，SELinux的日志与报错信息保存位置为*/

22[root@QingSword.COM ~]# tail /var/log/audit/audit.log

6、对SELinux配置文件的更改，需要重启计算机才能生效。

7、如何恢复文件SELinux上下文信息

可以使用restorecon(restore context)命令来恢复某文件或文件夹的SELinux配置信息，为了让大家更好的理解，这里举一个例子，假设CentOS安装了apache，网页默认的主目录是/var/www/html，我们经常遇到这样的问题，在其他目录中创建了一个网页文件，然后用mv移动到网页默认目录/var/www/html中，但是在浏览器中却打不开这个文件，这很可能是因为这个文件的SELinux配置信息是继承原来那个目录的，与/var/www/html目录不同，使用mv移动的时候，这个SELinux配置信息也一起移动过来了，从而导致无法打开页面，具体请看下面的实例：

8、1/*使用CentOS举例,如果默认没有安装apache，确保网络连接，使用下面的命令安装*/

2[root@QingSword.COM ~]# yum install httpd

3 

4/*我们在root的家目录新建一个html文件*/

5[root@QingSword.COM ~]# pwd

6/root

7[root@QingSword.COM ~]# vi index.html

8/*随便输入一段文字，保存退出*/

9welcome to www.qingsword.com

10 

11/*将这个文件mv到网页默认目录下*/

12[root@QingSword.COM ~]# mv index.html /var/www/html/

13 

14/*

15 * 这个时候我们使用firefox浏览器输入127.0.0.1/index.html发现打不开，

16 * 查看一下SELinux的日志文件，发现了下面这一段报错信息，从这个报错信息不难看出，

17 * 进程httpd访问网页主目录中的index.html时被SELinux阻止，原因是因为，SELinux配置信息不正确,

18 * 正确的SELinux配置信息应该是scontext=后面的部分，

19 * 而index.html文件的SELinux配置信息却是tcontext=后面的部分，

20 * 从tcontext=的第三段“admin_home_t”不难看出，这个文件的SELinux配置信息是root用户家目录的。

21 */

22type=AVC msg=audit(1378974214.610:465): avc:  denied  { open } for pid=2359 comm="httpd" path="/var/www/html/index.html" dev="sda1"ino=1317685 scontext=system_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:admin_home_t:s0 tclass=file

23 

24/*使用ls -Z也可以看出,文件和目录的SELinux信息不匹配*/

25[root@QingSword.COM html]# ls -Z /var/www/html/

26.... unconfined_u:object_r:admin_home_t:s0 index.html

27[root@QingSword.COM html]# ls -Zd /var/www/html/

28.... system_u:object_r:httpd_sys_content_t:s0 /var/www/html/

29 

30/*使用restorecon来恢复网页主目录中所有文件的SELinux配置信息(如果目标为一个目录，可以添加-R参数递归)*/

31[root@QingSword.COM html]# restorecon -R /var/www/html/

9、恢复后，index.html页面就能正常打开了。

10、如何修改文件SELinux上下文信息

可以根据某个参照文件去修改另外一个文件的SELinux配置信息：

11、1/*和文章第四部分介绍的restorecon效果相同，chcon可以根据一个参照文件或目录修改，将index.html的SELinux配置信息修改成和/var/www/html目录相同*/

2[root@QingSword.COM html]# chcon --reference=/var/www/html /var/www/html/index.html