SELinux策略规则查看的方法：从基础到实践

目录#

1. SELinux策略规则基础

   • 1.1 什么是SELinux策略规则
   • 1.2 策略的核心组成：类型、域、角色与用户
   • 1.3 常见策略类型：目标策略（Targeted）与MLS

2. 查看SELinux策略规则的核心工具

   • 2.1 semanage：管理策略模块与布尔值
   • 2.2 seinfo：查询策略整体信息
   • 2.3 sesearch：精确搜索allow规则
   • 2.4 audit2allow：从审计日志反推规则
   • 2.5 sealert：自动化审计告警与规则建议
   • 2.6 直接查看策略文件（高级）

3. 常见场景与示例操作

   • 3.1 排查"Permission Denied"错误
   • 3.2 验证服务访问权限（以Apache为例）
   • 3.3 检查布尔值状态与影响
   • 3.4 导出完整策略规则

4. 最佳实践

   • 4.1 遵循最小权限原则
   • 4.2 避免直接禁用SELinux
   • 4.3 优先使用布尔值调整策略
   • 4.4 定期审计与备份策略

5. 总结

6. 参考资料

1. SELinux策略规则基础#

1.1 什么是SELinux策略规则#

SELinux策略规则是一套预定义的安全策略集合，用于规定主体（进程） 对客体（文件、网络端口等资源） 的访问权限。规则的核心逻辑是：仅允许明确授权的访问，拒绝所有未授权的操作。策略规则通常以二进制形式存储（如/etc/selinux/targeted/policy/policy.*），并由内核实时加载执行。

1.2 策略的核心组成：类型、域、角色与用户#

SELinux通过以下核心概念实现访问控制：

• 类型（Type）：客体（如文件、端口）的标签，格式为type_t（如httpd_sys_content_t表示Web内容文件）。
• 域（Domain）：主体（进程）的标签，本质是一种特殊的类型，格式为domain_t（如httpd_t表示Apache进程的域）。
• 角色（Role）：关联用户与域，限制用户可切换的域（如staff_r角色允许切换到staff_t域）。
• 用户（SELinux User）：与Linux用户映射，关联角色（如unconfined_u用户关联unconfined_r角色）。

核心规则逻辑：allow 源域 目标类型:类 权限;
例如：allow httpd_t httpd_sys_content_t:file read; 表示允许httpd_t域的进程读取httpd_sys_content_t类型的文件。

1.3 常见策略类型：目标策略（Targeted）与MLS#

SELinux提供多种策略类型，最常用的是：

• 目标策略（Targeted）：默认策略，仅对关键服务（如Apache、SSH）强制执行严格控制，其他进程采用unconfined_t域（接近DAC权限）。
• MLS（Multi-Level Security）：基于敏感级别（如“绝密”“机密”）的强制访问控制，适用于高安全场景（如政府、金融）。

日常运维中，90%以上的场景使用Targeted策略，本文也以该策略为核心展开。

2. 查看SELinux策略规则的核心工具#

2.1 semanage：管理策略模块与布尔值#

semanage是SELinux策略管理的瑞士军刀，可用于查看/修改策略模块、端口标签、布尔值等。

安装：#

# RHEL/CentOS
yum install policycoreutils-python-utils  # 包含semanage
# Fedora
dnf install policycoreutils-python-utils

常用功能：#

示例：查看Apache是否允许访问网络：

semanage boolean -l | grep httpd_can_network_connect
# 输出：httpd_can_network_connect  (off  ,  off)  Allow httpd to can network connect

2.2 seinfo：查询策略整体信息#

seinfo用于查看策略的宏观信息，如类型、角色、用户、布尔值总数等，需安装setools-console包。

安装：#

yum install setools-console  # RHEL/CentOS

常用选项：#

示例：查看系统中所有与ssh相关的类型：

seinfo -t | grep ssh
# 输出：
# sshd_key_t
# sshd_log_t
# sshd_t
# ...

2.3 sesearch：精确搜索allow规则#

sesearch是查看具体策略规则的核心工具，可按源域、目标类型、权限等条件过滤allow规则（同样属于setools-console）。

常用选项：#

示例1：查看httpd_t域允许读取的文件类型：

sesearch -A -s httpd_t -c file -p read
# 输出示例：
allow httpd_t httpd_sys_content_t : file { read getattr open } ; 
allow httpd_t etc_t : file { read getattr open } ; 

示例2：查看sshd_t域是否允许监听端口22：

sesearch -A -s sshd_t -c tcp_socket -p listen
# 输出：
allow sshd_t ssh_port_t : tcp_socket { listen name_bind } ; 

（ssh_port_t是端口22的标签，可通过semanage port -l | grep ssh确认）

2.4 audit2allow：从审计日志反推规则#

当SELinux阻止进程访问资源时，会在/var/log/audit/audit.log中记录AVC（Access Vector Cache）拒绝事件。audit2allow可解析日志并生成允许规则，是排查权限问题的关键工具。

常用用法：#

示例：排查Apache无法写入/var/www/html/uploads的问题：

1. 查看审计日志中的拒绝事件：

ausearch -m avc -ts recent  # 搜索最近的AVC事件

输出可能包含：

type=AVC msg=audit(1620000000.123:456): avc:  denied  { write } for  pid=1234 comm="httpd" name="uploads" dev="sda1" ino=789 scontext=system_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:default_t:s0 tclass=dir permissive=0

2. 用audit2allow分析：

ausearch -m avc -ts recent | audit2allow

输出建议规则：

#============= httpd_t ==============
allow httpd_t default_t:dir write;

（表示httpd_t域需要对default_t类型的目录有write权限）

2.5 sealert：自动化审计告警与规则建议#

sealert是setroubleshoot-server包提供的工具，可自动分析审计日志并给出修复建议，适合新手。

安装：#

yum install setroubleshoot-server

使用：#

sealert -l "*"  # 列出所有未解决的告警
sealert -a /var/log/audit/audit.log  # 分析指定日志文件

示例：针对Apache写入拒绝事件，sealert会输出详细解释和修复步骤，例如：

SELinux is preventing httpd from writing to directory uploads.

*****  建议  *****
If you want to allow httpd to have write access on the uploads directory
Then you need to change the label on 'uploads'
Do
# semanage fcontext -a -t httpd_sys_rw_content_t '/var/www/html/uploads(/.*)?'
# restorecon -v '/var/www/html/uploads(/.*)?'

2.6 直接查看策略文件（高级）#

SELinux策略以二进制文件形式存储（如/etc/selinux/targeted/policy/policy.33），可通过sedismod工具转换为可读的CIL（Common Intermediate Language）格式。

操作步骤：#

# 安装sedismod（属于setools-console）
yum install setools-console
 
# 转换策略文件为CIL格式
sedismod -o policy.cil /etc/selinux/targeted/policy/policy.33
 
# 搜索规则（例如查找httpd_t相关allow规则）
grep 'allow httpd_t' policy.cil

注意：直接修改CIL文件需极高专业知识，仅建议用于学习或调试。

3. 常见场景与示例操作#

3.1 排查"Permission Denied"错误#

问题：Nginx启动失败，日志提示Permission denied访问/var/log/nginx/error.log。

排查步骤：

1. 确认SELinux状态（sestatus）是否为enforcing。
2. 查看审计日志：ausearch -m avc -ts recent | grep nginx。
3. 用audit2allow分析：ausearch -m avc -ts recent | grep nginx | audit2allow。
4. 若提示allow nginx_t var_log_t:file write;，检查文件标签：ls -Z /var/log/nginx/error.log。
5. 若标签为unconfined_u:object_r:var_log_t:s0（正确），则可能是布尔值未开启；若为其他标签（如default_t），用semanage fcontext修复。

3.2 验证服务访问权限（以Apache为例）#

目标：确认Apache（httpd_t）是否允许访问MySQL数据库（mysqld_t）。

操作：

# 搜索httpd_t到mysqld_t的allow规则
sesearch -A -s httpd_t -t mysqld_t
# 若输出为空，检查布尔值httpd_can_network_connect_db
semanage boolean -l | grep httpd_can_network_connect_db
# 若为off，启用布尔值：setsebool -P httpd_can_network_connect_db on

3.3 检查布尔值状态与影响#

场景：允许Samba共享家目录。

步骤：

1. 列出Samba相关布尔值：semanage boolean -l | grep samba。
2. 发现samba_enable_home_dirs布尔值控制家目录访问，当前为off。
3. 启用并永久生效：setsebool -P samba_enable_home_dirs on。

3.4 导出完整策略规则#

需求：备份当前SELinux策略规则。

操作：

# 导出策略模块列表
semanage module -l > selinux_modules_backup.txt
 
# 导出布尔值状态
semanage boolean -l > selinux_booleans_backup.txt
 
# 导出文件上下文规则
semanage fcontext -l > selinux_fcontext_backup.txt

4. 最佳实践#

4.1 遵循最小权限原则#

仅授予进程完成任务所需的最小权限。例如，Web服务器无需write权限即可提供静态内容，仅在需要上传功能时开启httpd_sys_rw_content_t标签。

4.2 避免直接禁用SELinux#

禁用SELinux（setenforce 0或SELINUX=disabled）会完全关闭强制访问控制，大幅降低系统安全性。建议仅在排查问题时临时切换到permissive模式（setenforce 0），问题解决后恢复enforcing。

4.3 优先使用布尔值调整策略#

SELinux提供大量预定义布尔值（如httpd_can_network_connect），通过setsebool调整比直接修改策略规则更安全、可维护。

4.4 定期审计与备份策略#

定期使用sesearch、sealert检查策略合理性，备份策略模块、布尔值和文件上下文规则，避免配置丢失。

5. 总结#

SELinux策略规则是系统安全的基石，掌握seinfo、sesearch、audit2allow等工具的使用，能帮助运维人员快速排查权限问题、优化安全配置。通过遵循最小权限原则、优先使用布尔值调整、避免禁用SELinux等最佳实践，可在保障系统安全的同时降低管理复杂度。

6. 参考资料#

1. Red Hat Enterprise Linux SELinux指南
2. SELinux Project官方文档
3. setools工具集手册：man seinfo、man sesearch
4. CentOS SELinux入门