初步认识selinux.docxVIP

Redhat7初步认识selinuxSelinux配置文件：/etc/selinux/config可以看到，配置文件能配置的只有两行SELINUX=enforcing --enforcing强制开启--permissive仅记录不阻止 --disabled停用SELINUXTYPE=targeted --基于目标的selinuxSelinux图形化管理安装包policycoreutils-gui查看用户selinux context值：id –Z查看当前每个进程正在使用的context值：ps –auxZ查看selinux规则库中的context值：semanage fcontext -l查看单个文件的context值：ls -Z file ls -dZ dir(目录)查看每个服务的selinux布尔值：getsebool –a临时设置selinux开关getenforce 查看当前selinux值setenforce 0 修改为permissive更改文件的context值类型：chcon -t public_content_rw_t /var/www/html/index.htmlchcon --reference=/var/www/html / var/test #参照指定目录的context值类型restorecon -R /var/test #依照规则库修改该目录及其以下的文件context值类型更改服务的布尔值:setsebool -P ftp_home_dir 1 #-P 永久更改向selinux规则库添加规则:semanage fcontext -a -t httpd_sys_content_t /custom(/.*)?restorecon -Rv /custom #应用规则库里的规则selinux排错，redhat7默认已经安装安装包setroubleshoot*重启服务systemctl restart auditd查看日志：sealert -a /var/log/audit/aduit.log/var/log/messagessealert -l ID如果没有收集到日志，需执行semodule –DBselinux日志selinux默认日志位置/var/log/audit/audit.logselinux引起的httpd问题搭建httpd服务器使在/var/www/html/下创建index.html在浏览器上可以看到index.html的内容。现在删徐index.html，在/mnt下创建index.html并且mv /mnt/index.html /var/www/html/index.html可以看到，httpd弹出他自己的一个测试页面，并没有把index.html的内容显示出来。此时，监控selinux的日志tail –f /var/log/audit.log，多敲几个回车到空闲地方再次用浏览器访问可以看到，是selinux把我们的访问给拦截了，并告诉我们，context值错误了。原因就是mv一个文件，会保留他原来的selinux context。图中可以看到，index.htm的context值应该是httpd类型的，而现在是mnt的一个文件类型解决办法：Restorecon –R /var/www/html/恢复目录下的selinux context值又能访问了