SELinux 的配置小解.docVIP

原贴:/forum/archiver/tid-157077.html SELinux 的配置小解 【转载】 SELinux 是从FC3和AS4起，所提供的一个高级安全特性。 它可以对系统上运行的任何一个应用程序做权限上的控制。 版本低于FC3/AS4的Linux，没有提供SELinux特性，或者默认就是禁用这个特性的。 为了运行Plesk，需要对SELinux做一些修改，否则可能会造成某些服务运行不正常或者启动失败。 SElinux把所有的拒绝信息输出到：/var/log/messages 位置。 如果某个服务比如bind不能正常启动，请查询messages文件来确认是否是SELinux造成服务不能运行。 这些信息可以很简单的使用/usr/bin/audit2allow来更改规则。 运行如下命令，查看哪些程序的访问被SELinux拦截掉了： cat /var/log/messages | /usr/bin/audit2allow 然后，把列出的被拒绝的访问加入到SELinux的配置文件中。 通常，建议加入如下内容： /etc/selinux/targeted/src/policy/domains/program/apache.te ---------------------------------------------------------------- allow httpd_sys_script_t var_t:file { execute getattr }; allow httpd_t self:tcp_socket connect; allow httpd_t usr_t:dir write; allow httpd_t var_log_t:file { append getattr setattr }; allow httpd_sys_script_t devlog_t:sock_file write; allow httpd_sys_script_t self:unix_dgram_socket { connect create write }; allow httpd_sys_script_t ld_so_cache_t:file execute; allow httpd_sys_script_t syslogd_t:unix_dgram_socket sendto; allow httpd_sys_script_t var_t:dir { add_name remove_name write }; allow httpd_sys_script_t var_t:fifo_file write; allow httpd_sys_script_t var_t:file { create execute_no_trans link read unlink write }; ---------------------------------------------------------------- /etc/selinux/targeted/src/policy/domains/program/named.te ---------------------------------------------------------------- allow named_t named_zone_t:chr_file read; allow ndc_t named_zone_t:file { getattr read write }; allow named_t named_zone_t:dir { add_name write read remove_name }; allow named_t named_zone_t:file { create unlink write }; ---------------------------------------------------------------- /etc/selinux/targeted/src/policy/domains/program/syslogd.te ---------------------------------------------------------------- allow syslogd_t usr_t:file append; allow syslogd_t usr_t:file ioctl; ------------------------------------------------------------------------- 最后使用如下命令重新加载SELinux： make -C /etc/selinux/t