Linux下SElinux详解
1.SElinux 全称:Security-Enhanced Linux,灵活的强制访问控制(MAC)系统,且内嵌于Linux Kernel中,仅 集合最小权限访问,
2. 查看文件上下文: ls -Z
[root@localhost ~]# ls -Z
-rw-------. root root system_u:object_r:admin_home_t:s0 anaconda-ks.cfg
-rw-r--r--. root root system_u:object_r:admin_home_t:s0 install.log
-rw-r--r--. root root system_u:object_r:admin_home_t:s0 install.log.syslog
3.查看进程上下文: ps -auxZ
[root@localhost ~]# ps -auxZ
Warning: bad syntax, perhaps a bogus ‘-‘? See /usr/share/doc/procps-3.2.8/FAQ
LABEL USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND
system_u:system_r:init_t:s0 root 1 0.0 0.1 19356 1552 ? Ss Sep21 0:01 /sbin/init
system_u:system_r:kernel_t:s0 root 2 0.0 0.0 0 0 ? S Sep21 0:00 [kthreadd]
system_u:system_r:kernel_t:s0 root 3 0.0 0.0 0 0 ? S Sep21 0:00 [migration/0]
4.上下文解释
上下文一般分为3段,冒号分隔,依次为：用户(user) 角色(role) 类型(type)
例如:system_u:object_r:admin_home_t
system_u:用户
object_r：角色
admin_home_t：类型
5.Selinux设定方法：
5.1.getenforce #查看Selinux状态
5.2.setenforce 0 #设定Selinux为permissive 临时关闭selinux
不受selinux控制,仅记录日志在/var/log/audit/audit.log
5.3.setenforce 1 #设定Selinux为enforcing 临时开启selinux
受selinux控制权限，并记录日志在/var/log/audit/audit.log
5.4.永久开启，关闭或禁用selinux方法： 必须重启后才能生效
[root@localhost ~]# vim /etc/sysconfig/selinux
以下3项只能选择一项：
SELINUX=enforcing 开启
SELINUX=permissive 关闭
SELINUX=disabled 禁用
6.进程所属的上下文类型，俗称为域
文件所属的上下文类型，即称为类型
Selinux开启的情况下，进程只能操作域类型与上下文类型一样的文件
6.1.修改上下文类型命令：
chcon -R -t 类型 文件或进程
-R 递归
-t 上下文类型
6.2.修改受selinux管理的服务开关，称为布尔值
6.2.1查看布尔值：
[root@localhost ~]# getsebool -a
6.2.2.设定布尔值
setsebool samba_enable_home_dirs=1
setsebool samba_enable_home_dirs=on
6.2.3.恢复默认上下文
restorecon /var/www/html
6.2.4.查看默认上下文类型
semanage fcontext -l
6.2.5.查看selinux用户映射关系
semanage user -l
6.2.6.查看受selinux控制的端口
semanage port -l
6.2.7.将指定端口加入受selinux控制
semanage port -a -t http_port_t -p tcp 8060
本文出自 “夏维柳” 博客，请务必保留此出处http://willow.blog.51cto.com/6574604/1856944
原文地址：http://willow.blog.51cto.com/6574604/1856944
