一、SELinux 基础与工作模式
SELinux 的基本概念与策略框架
在 Linux 安全加固中，SELinux 是一种基于强制访问控制（MAC）的安全模块，提供对系统资源的精细管理。它通过设定策略与域，将进程和对象绑定到不同的安全上下文，降低权限提升的风险。
理解 类型-域模型 是掌握 SELinux 的关键：对象被贴上类型上下文，进程绑定到域，域之间的权限通过策略规则决定。此设计使得默认策略尽量最小化授权，提升系统鲁棒性。
# 查看当前 SELinux 模式与状态
getenforce
sestatus
通过以上信息可以快速判断系统处于 Enforcing、Permissive、Disabled 三种模式中的哪一种，以及当前策略的加载情况。
Enforcing、Permissive、Disabled 三种模式的区别
Enforcing 模式下，系统会实际执行访问控制并记录 AVC 拒绝日志；Permissive 模式下，尽管仍会记录日志，但不会阻止操作；Disabled 则完全关闭 SELinux。正确选择模式有助于降错与排错，但上线环境通常推荐 Enforcing 以实现最强安全保障。
要实现长期配置，一般采用永久性修改而非临时切换，涉及到 配置文件与引导参数 的配合，确保重启后仍然生效。
# 临时切换
setenforce 0 # Permissive
setenforce 1 # Enforcing# 永久修改（需要重启生效）
# 编辑 /etc/selinux/config，将 SELINUX=enforcing/Permissive/disabled 设置其中之一
二、在发行版中的 SELinux 配置与状态管理
查看与理解当前状态
日常运维中，先确认当前 策略加载、布尔值与日志审计状态，以确定下一步的配置方向。
常用查看命令包括 sestatus、semanage、getsebool，它们帮助快速定位策略粒度、允许的行为以及当前的布尔开关设置。
# 查看是否启用以及策略信息
sestatus
# 查看所有布尔值
getsebool -a
# 查看某一类对象的上下文映射（示例：httpd）
semanage fcontext -l | grep httpd
在排查阶段，audit 日志与 AVTC 记录也应同步关注，以便后续做策略调整。
切换模式与策略持久化
若需要暂时调试应用行为，可以临时切换模式；正式上线前则通过持久化设置确保重启后仍然生效。注意，一些服务在 Enforcing 模式下才能体现出最真实的安全效果。
进行持久化时，除了设置布尔值外，修改 /etc/selinux/config 和使用 setsebool -P 进行持久化设置是常见做法。
# 设置持久化布尔值示例
setsebool -P httpd_can_network_connect 1
setsebool -P httpd_read_user_content 1# 持久化配置文件示例（示意）
# 编辑 /etc/selinux/config
# SELINUX=enforcing
三、常用策略与布尔选项
策略类型与常用布尔开关
SELinux 的策略中有多种布尔开关（booleans），用于在不修改策略的情况下放宽或收紧某些权限。使用 getsebool 与 setsebool 函数可以快速调整服务行为，并通过 -P 实现永久化。
通过布尔开关，可以在最小权限原则与实际需求之间取得平衡，从而快速实现上线前的适配与验证。
# 列出所有布尔开关
getsebool -a
# 将某一布尔开关永久化为开启
setsebool -P httpd_can_network_connect 1
示例：开启 httpd 服务的必要布尔值
对于 Web 服务，常见需求包括允许网络连接、读取特定目录等。合理设置布尔开关可以避免对策略进行大量自定义，提升上线效率。
以下示例展示了常见的网络访问和内容读取相关布尔值的配置过程。
# 允许 Apache 连接外部网络
setsebool -P httpd_can_network_connect 1
# 允许 Apache 读取用户内容（如上传目录）
setsebool -P httpd_read_user_content 1
四、日志、审计与故障排查要点
利用 auditd 与 ausearch 分析
SELinux 的拒绝通常通过 AVC 日志进行记录，结合 auditd 能够还原完整的操作链路。ausearch 与 aureport 提供高效的查询与汇总能力，帮助快速定位策略失配点。
在排错过程中，关注 最近的 AVC 拒绝、相关的域名与对象上下文，以便后续通过 audit2allow 生成本地策略模块。
# 查看最近的 AVC 拒绝
ausearch -m avc -ts today | aureport --interpret
# 查看与 httpd 相关的拒绝记录
ausearch -m avc -ts today -c httpd | aureport -f
常见错误排查与修复步骤
遇到权限不足或策略冲突时，通常需要从日志入手，结合本地策略扩展来实现修复。audit2allow 可以辅助生成本地策略模块，但应保留谨慎审阅的流程。
修复通常包含：分析拒绝原因、构建本地策略模块、重新加载策略，并在回滚点上保留可恢复的状态。
# 查看审计日志并生成警告摘要
audit2allow -w -a# 生成本地策略模块
audit2allow -a -M local
# 安装本地模块
semodule -i local.pp
五、实战场景：从零到上线的 SELinux 配置流程
需求分析与策略选择
在正式上线前，需对应用的权限边界进行清晰的需求分析，确定需要的类型、域以及布尔开关。以最小权限和可追溯性为原则，选择适配的策略类型并规划后续扩展点。
结合现有服务与资源，评估是否需要自定义策略模块，或在现有策略基础上通过布尔开关进行快速调试。关键在于将风险点定位到具体域与对象的访问控制上。
# 简单的策略评估命令（示例性）
sesearch -m * -n
部署与回滚演练
部署阶段应制定回滚计划，确保如遇策略异常能够快速恢复服务。将本地修改记录成可重现的步骤，避免手动执行导致不可追踪的改动。
上线前进行回滚演练，验证 semodule 的安装与卸载、Booleans 的生效情况，以及日志可观测性，确保系统在遇到问题时具备可控的降级路径。
# 回滚本地自定义策略
semodule -r local
# 重新加载策略（如需要重新编译本地模块）
semodule -i local.pp
