selinux的配备
日期：2014-05-16 浏览次数：20649 次
selinux的配置
参考自鸟哥的私房菜：http://linux.vbird.org/
SELinux是Mandatory Access Control的一种。
主体与客体安全性文本
修改安全性文本
[root@www ~]# chcon [-R] [-t type] [-u user] [-r role] 檔案
[root@www ~]# chcon [-R] --reference=範例檔 檔案
選項與參數：
-R ：連同該目錄下的次目錄也同時修改；
-t ：後面接安全性本文的類型欄位！例如 httpd_sys_content_t ；
-u ：後面接身份識別，例如 system_u；
-r ：後面街角色，例如 system_r；
--reference=範例檔：拿某個檔案當範例來修改後續接的檔案的類型！
重置安全性文本
SELinux日志
setroubleshoot将错误信息写入/var/log/messages
auditd将详细错误写入/var/log/audit/audit.log
SELinux政策查询
[root@www ~]# sesearch [-a] [-s 主體類別] [-t 目標類別] [-b 布林值]
選項與參數：
-a ：列出該類別或布林值的所有相關資訊
-t ：後面還要接類別，例如 -t httpd_t
-b ：後面還要接布林值的規則，例如 -b httpd_enable_ftp_server
预设安全性文本的修改
自定义安全性策略
自定义安全策略使用audit2allow这个工具
这个命令根据日志，自定义的输入流来生成哪些特殊情况将被放行。
之后会生成nagiosType.te与nagiosType.pp两个文件。
插入自定义的selinux模块
移除自定义的selinux模块
参考自鸟哥的私房菜：http://linux.vbird.org/
SELinux是Mandatory Access Control的一种。
主体与客体安全性文本
修改安全性文本
引用
[root@www ~]# chcon [-R] [-t type] [-u user] [-r role] 檔案
[root@www ~]# chcon [-R] --reference=範例檔 檔案
選項與參數：
-R ：連同該目錄下的次目錄也同時修改；
-t ：後面接安全性本文的類型欄位！例如 httpd_sys_content_t ；
-u ：後面接身份識別，例如 system_u；
-r ：後面街角色，例如 system_r；
--reference=範例檔：拿某個檔案當範例來修改後續接的檔案的類型！
重置安全性文本
引用
[root@www ~]# restorecon [-Rv] 檔案或目錄
選項與參數：
-R ：連同次目錄一起修改；
-v ：將過程顯示到螢幕上
選項與參數：
-R ：連同次目錄一起修改；
-v ：將過程顯示到螢幕上
SELinux日志
setroubleshoot将错误信息写入/var/log/messages
引用
# chkconfig setroubleshoot on
auditd将详细错误写入/var/log/audit/audit.log
引用
# chkconfig auditd on
SELinux政策查询
引用
[root@www ~]# seinfo [-Atrub]
選項與參數：
-A ：列出 SELinux 的狀態、規則布林值、身份識別、角色、類別等所有資訊
-t ：列出 SELinux 的所有類別 (type) 種類
-r ：列出 SELinux 的所有角色 (role) 種類
-u ：列出 SELinux 的所有身份識別 (user) 種類
-b ：列出所有規則的種類 (布林值)
選項與參數：
-A ：列出 SELinux 的狀態、規則布林值、身份識別、角色、類別等所有資訊
-t ：列出 SELinux 的所有類別 (type) 種類
-r ：列出 SELinux 的所有角色 (role) 種類
-u ：列出 SELinux 的所有身份識別 (user) 種類
-b ：列出所有規則的種類 (布林值)
引用
[root@www ~]# sesearch [-a] [-s 主體類別] [-t 目標類別] [-b 布林值]
選項與參數：
-a ：列出該類別或布林值的所有相關資訊
-t ：後面還要接類別，例如 -t httpd_t
-b ：後面還要接布林值的規則，例如 -b httpd_enable_ftp_server
预设安全性文本的修改
引用
[root@www ~]# semanage {login|user|port|interface|fcontext|translation} -l
[root@www ~]# semanage fcontext -{a|d|m} [-frst] file_spec
選項與參數：
fcontext ：主要用在安全性本文方面的用途， -l 為查詢的意思；
-a ：增加的意思，你可以增加一些目錄的預設安全性本文類型設定；
-m ：修改的意思；
-d ：刪除的意思。
[root@www ~]# semanage fcontext -{a|d|m} [-frst] file_spec
選項與參數：
fcontext ：主要用在安全性本文方面的用途， -l 為查詢的意思；
-a ：增加的意思，你可以增加一些目錄的預設安全性本文類型設定；
-m ：修改的意思；
-d ：刪除的意思。
自定义安全性策略
自定义安全策略使用audit2allow这个工具
grep nagios_t /var/log/audit/audit.log | grep -v default_t | audit2allow -M nagiosType
这个命令根据日志，自定义的输入流来生成哪些特殊情况将被放行。
之后会生成nagiosType.te与nagiosType.pp两个文件。
插入自定义的selinux模块
semodule -i nagiosType.pp
移除自定义的selinux模块
semodule -r nagiosType
免责声明： 本文仅代表作者个人观点，与爱易网无关。其原创性以及文中陈述文字和内容未经本站证实，对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺，请读者仅作参考，并请自行核实相关内容。
