系統管理員的SELinux指南：這個大問題的42個答案
獲取有關生活、宇宙和除了有關 SELinux 的重要問題的答案
“一個重要而普遍的事實是，事情并不總是你看上去的那樣 …” ―Douglas Adams，《銀河系漫游指南》
安全、堅固、遵從性、策略是末世中系統管理員的四騎士。除了我們的日常任務之外 —— 監控、備份、實施、調優、更新等等 —— 我們還需要負責我們的系統安全。即使這些系統是第三方提供商告訴我們該禁用增強安全性的系統。這看起來像《碟中碟》中 Ethan Hunt 的工作一樣。
面對這種窘境，一些系統管理員決定去服用藍色小藥丸，因為他們認為他們永遠也不會知道如生命、宇宙、以及其它一些大問題的答案。而我們都知道，它的答案就是這個 42。
按《銀河系漫游指南》的精神，這里是關于在你的系統上管理和使用 SELinux 這個大問題的 42 個答案。
- SELinux 是一個標簽系統，這意味著每個進程都有一個標簽。每個文件、目錄、以及系統對象都有一個標簽。策略規則負責控制標簽化的進程和標簽化的對象之間的訪問。由內核強制執行這些規則。
- 兩個最重要的概念是：標簽化（文件、進程、端口等等）和類型強制（基于不同的類型隔離不同的的進程）。
- 正確的標簽格式是
user:role:type:level（可選）。 - 多級別安全（MLS）強制的目的是基于它們所使用數據的安全級別，對進程（域）強制實施控制。比如，一個秘密級別的進程是不能讀取極機密級別的數據。
- 多類別安全（MCS）強制相互保護相似的進程（如虛擬機、OpenShift gears、SELinux 沙盒、容器等等）。
- 在啟動時改變 SELinux 模式的內核參數有：
autorelabel=1→ 強制給系統重新標簽化selinux=0→ 內核不加載 SELinux 基礎設施的任何部分enforcing=0→ 以許可模式啟動
-
如果給整個系統重新標簽化：
# touch /.autorelabel# reboot
如果系統標簽中有大量的錯誤，為了能夠讓 autorelabel 成功，你可以用許可模式引導系統。
-
檢查 SELinux 是否啟用：
# getenforce -
臨時啟用/禁用 SELinux：
# setenforce [1|0] -
SELinux 狀態工具：
# sestatus -
配置文件：
/etc/selinux/config -
SELinux 是如何工作的？這是一個為 Apache Web Server 標簽化的示例：
- 二進制文件：
/usr/sbin/httpd→httpd_exec_t - 配置文件目錄：
/etc/httpd→httpd_config_t - 日志文件目錄：
/var/log/httpd→httpd_log_t - 內容目錄：
/var/www/html→httpd_sys_content_t - 啟動腳本：
/usr/lib/systemd/system/httpd.service→httpd_unit_file_d - 進程：
/usr/sbin/httpd -DFOREGROUND→httpd_t - 端口：
80/tcp, 443/tcp→httpd_t, http_port_t
在
httpd_t安全上下文中運行的一個進程可以與具有httpd_something_t標簽的對象交互。 - 二進制文件：
-
許多命令都可以接收一個
-Z參數去查看、創建、和修改安全上下文：ls -Zid -Zps -Znetstat -Zcp -Zmkdir -Z
當文件被創建時，它們的安全上下文會根據它們父目錄的安全上下文來創建（可能有某些例外）。RPM 可以在安裝過程中設定安全上下文。
-
這里有導致 SELinux 出錯的四個關鍵原因，它們將在下面的 15 - 21 條中展開描述：
- 標簽化問題
- SELinux 需要知道一些東西
- SELinux 策略或者應用有 bug
- 你的信息可能被損壞
-
標簽化問題：如果在
/srv/myweb中你的文件沒有被正確的標簽化，訪問可能會被拒絕。這里有一些修復這類問題的方法：- 如果你知道標簽：
# semanage fcontext -a -t httpd_sys_content_t '/srv/myweb(/.*)?' - 如果你知道和它有相同標簽的文件：
# semanage fcontext -a -e /srv/myweb /var/www - 恢復安全上下文（對于以上兩種情況）：
# restorecon -vR /srv/myweb
- 如果你知道標簽：
-
標簽化問題：如果你是移動了一個文件，而不是去復制它，那么這個文件將保持原始的環境。修復這類問題：
- 使用標簽來改變安全上下文：
# chcon -t httpd_system_content_t /var/www/html/index.html - 使用參考文件的標簽來改變安全上下文：
# chcon --reference /var/www/html/ /var/www/html/index.html - 恢復安全上下文（對于以上兩種情況）：
# restorecon -vR /var/www/html/
- 使用標簽來改變安全上下文：
-
如果 SELinux 需要知道 HTTPD 在 8585 端口上監聽，使用下列命令告訴 SELinux：
# semanage port -a -t http_port_t -p tcp 8585 -
SELinux 需要知道是否允許在運行時改變 SELinux 策略部分，而無需重寫 SELinux 策略。例如，如果希望 httpd 去發送郵件，輸入：
# setsebool -P httpd_can_sendmail 1 -
SELinux 需要知道 SELinux 設置的關閉或打開的一系列布爾值：
- 查看所有的布爾值：
# getsebool -a - 查看每個布爾值的描述：
# semanage boolean -l - 設置某個布爾值：
# setsebool [_boolean_] [1|0] - 將它配置為永久值，添加
-P標志。例如：# setsebool httpd_enable_ftp_server 1 -P
- 查看所有的布爾值：
-
SELinux 策略/應用可能有 bug，包括：
- 不尋常的代碼路徑
- 配置
- 重定向
stdout - 泄露的文件描述符
- 可執行內存
- 錯誤構建的庫
開一個工單（但不要提交 Bugzilla 報告；使用 Bugzilla 沒有對應的服務）
-
你的信息可能被損壞了，假如你被限制在某個區域，嘗試這樣做：
- 加載內核模塊
- 關閉 SELinux 的強制模式
- 寫入
etc_t/shadow_t - 修改 iptables 規則
-
用于開發策略模塊的 SELinux 工具：
# yum -y install setroubleshoot setroubleshoot-server。安裝完成之后重引導機器或重啟auditd服務。 -
使用
journalctl去列出所有與setroubleshoot相關的日志：# journalctl -t setroubleshoot --since=14:20 -
使用
journalctl去列出所有與特定 SELinux 標簽相關的日志。例如：# journalctl _SELINUX_CONTEXT=system_u:system_r:policykit_t:s0 -
當 SELinux 錯誤發生時，使用
setroubleshoot的日志，并嘗試找到某些可能的解決方法。例如：從journalctl中：Jun 14 19:41:07 web1 setroubleshoot: SELinux is preventing httpd from getattr access on the file /var/www/html/index.html. For complete message run: sealert -l 12fd8b04-0119-4077-a710-2d0e0ee5755e# sealert -l 12fd8b04-0119-4077-a710-2d0e0ee5755eSELinux is preventing httpd from getattr access on the file /var/www/html/index.html.***** Plugin restorecon (99.5 confidence) suggests ************************If you want to fix the label,/var/www/html/index.html default label should be httpd_syscontent_t.Then you can restorecon.Do# /sbin/restorecon -v /var/www/html/index.html
-
日志：SELinux 記錄的信息全在這些地方：
/var/log/messages/var/log/audit/audit.log/var/lib/setroubleshoot/setroubleshoot_database.xml
-
日志：在審計日志中查找 SELinux 錯誤：
# ausearch -m AVC,USER_AVC,SELINUX_ERR -ts today -
針對特定的服務，搜索 SELinux 的訪問向量緩存（AVC）信息：
# ausearch -m avc -c httpd -
audit2allow實用工具可以通過從日志中搜集有關被拒絕的操作，然后生成 SELinux 策略允許的規則，例如：- 產生一個人類可讀的關于為什么拒絕訪問的描述：
# audit2allow -w -a - 查看允許被拒絕的類型強制規則：
# audit2allow -a - 創建一個自定義模塊：
# audit2allow -a -M mypolicy，其中-M選項將創建一個特定名稱的強制類型文件（.te），并編譯這個規則到一個策略包（.pp）中：mypolicy.pp mypolicy.te - 安裝自定義模塊：
# semodule -i mypolicy.pp
- 產生一個人類可讀的關于為什么拒絕訪問的描述：
-
配置單個進程（域）運行在許可模式：
# semanage permissive -a httpd_t -
如果不再希望一個域在許可模式中：
# semanage permissive -d httpd_t -
禁用所有的許可域：
# semodule -d permissivedomains -
啟用 SELinux MLS 策略：
# yum install selinux-policy-mls。 在/etc/selinux/config中：SELINUX=permissiveSELINUXTYPE=mls
確保 SELinux 運行在許可模式：
# setenforce 0使用
fixfiles腳本來確保在下一次重啟時文件將被重新標簽化：# fixfiles -F onboot # reboot -
創建一個帶有特定 MLS 范圍的用戶：
# useradd -Z staff_u john使用
useradd命令，映射新用戶到一個已存在的 SELinux 用戶（上面例子中是staff_u）。 -
查看 SELinux 和 Linux 用戶之間的映射：
# semanage login -l -
為用戶定義一個指定的范圍：
# semanage login --modify --range s2:c100 john -
調整用戶家目錄上的標簽（如果需要的話）：
# chcon -R -l s2:c100 /home/john -
列出當前類別：
# chcat -L -
修改類別或者創建你自己的分類，修改如下文件：
/etc/selinux/_<selinuxtype>_/setrans.conf -
以某個特定的文件、角色和用戶安全上下文來運行一個命令或者腳本：
# runcon -t initrc_t -r system_r -u user_u yourcommandhere-t是文件安全上下文-r是角色安全上下文-u是用戶安全上下文
-
在容器中禁用 SELinux：
- 使用 Podman：
# podman run --security-opt label=disable ... - 使用 Docker：
# docker run --security-opt label=disable ...
- 使用 Podman：
-
如果需要給容器提供完全訪問系統的權限：
- 使用 Podman：
# podman run --privileged ... - 使用 Docker：
# docker run --privileged ...
- 使用 Podman：
就這些了，你已經知道了答案。因此請相信我：不用恐慌，去打開 SELinux 吧。
【責任編輯：龐桂玉 TEL：（010）68476606】
