一、SELinux基础概念

SELinux是由美国国家安全局(NSA)开发的一种强制访问控制(MAC)安全机制。与传统的自主访问控制(DAC)不同，它通过安全策略精细控制进程对系统资源的访问权限。

1.1 SELinux三种工作模式

• Enforcing：强制执行安全策略
• Permissive：仅记录违规不阻止
• Disabled：完全禁用

二、云服务器环境准备

在主流云平台(CentOS/Ubuntu等)上，SELinux通常已预装但可能需要额外配置：

2.1 检查安装状态

# 查看SELinux状态
sestatus

# 检查安装包(CentOS/RHEL)
rpm -qa | grep selinux

2.2 必要工具安装

# CentOS/RHEL
yum install policycoreutils policycoreutils-python setools setools-console

# Ubuntu/Debian
apt install selinux-basics selinux-policy-default auditd

三、SELinux核心配置

3.1 修改运行模式

临时修改（重启失效）：

setenforce 0  # Permissive模式
setenforce 1  # Enforcing模式

永久修改（需重启）：

vi /etc/selinux/config
# 修改SELINUX=enforcing|permissive|disabled

3.2 策略管理技巧

查看/修改文件上下文：

ls -Z /var/www/html
chcon -t httpd_sys_content_t /path/to/file

添加自定义策略模块：

# 生成策略模块
audit2allow -a -M mypolicy
semodule -i mypolicy.pp

四、典型场景配置示例

4.1 Web服务器配置

解决httpd访问问题：

# 允许httpd访问非标准目录
semanage fcontext -a -t httpd_sys_content_t "/webroot(/.*)?"
restorecon -Rv /webroot

4.2 数据库服务配置

MySQL/MariaDB特殊配置：

setsebool -P mysql_connect_any on
semanage port -a -t mysqld_port_t -p tcp 3307

五、排错与日志分析

5.1 常用排错命令

# 查看SELinux拒绝记录
ausearch -m avc -ts recent

# 生成人类可读报告
sealert -a /var/log/audit/audit.log

5.2 典型问题解决

案例1：Nginx无法访问PHP文件
解决方案：

setsebool -P httpd_can_network_connect on
chcon -R -t httpd_sys_rw_content_t /var/www/html

六、安全最佳实践

1. 生产环境保持Enforcing模式
2. 优先使用布尔值而非完全禁用
3. 定期审查/var/log/audit/audit.log
4. 使用semanage代替直接修改文件上下文
5. 为自定义服务创建专用策略模块