1. 环境与目标设定
SELinux工作模式与策略类型
在企业级部署中，Linux 系统安全性的关键在于通过SELinux实现对访问的细粒度控制。系统通常处在三种模式中的一种：enforcing、permissive和disabled，这决定了策略是否强制执行。理解不同模式是实现稳定落地的前提。
另外，SELinux 的策略分为 Targeted 与 MLS 等类型，二者在定位对象、粒度和复杂性上有显著差异。确定应用的目标策略类型，有利于后续的标签设计与模块化管理。
要点聚焦在确保生产环境中对应用行为的可控性，若遇到拒绝则需要从日志中定位并逐步加固。文档化的策略变更也能帮助团队在变更时保持一致。
# 查看当前 SELinux 模式和策略信息
getenforce
sestatus
上下文与标签的核心作用
上下文(label)是 SELinux 匹配策略的基础，文件、进程和端口会被打上相应的类型上下文，策略据此判断是否允许操作。域、类型以及布尔值共同构成访问决策的核心要素。
在生产环境中，若上下文错位，将导致应用无法访问资源，产生 AVC（Access Vector Cache）拒绝。掌握 AVC 的日志格式，有助于快速定位问题并扩展策略。
# 快速查看某些进程的 SELinux 运行状态
ps -eZ | head -n 5
2. 策略配置基本功
策略安装与基本配置
在实际落地前，需要完成策略包的安装、启动模式的确认，以及对布尔值和自定义上下文的初步配置。semanage、restorecon、sestatus等工具在日常运维中不可或缺。
通过合理的策略配置，可以实现对应用行为的最小化放宽，从而降低误报与误拦的问题。最小权限原则是生产环境的核心要义之一。
# 安装目标策略包（示例命令，具体发行版请替换）
# Debian/Ubuntu
sudo apt-get install -y selinux-policy-default
# Red Hat/CentOS
sudo yum install -y selinux-policy-targeted
# 验证策略是否生效
sestatus
# 调整常用布尔值（示例：允许 httpd 网络连接）
sudo semanage boolean -m --on httpd_can_network_connect
# 设置自定义内容上下文，确保内容目录被正确标注
sudo semanage fcontext -a -t httpd_sys_content_t "/var/www(/.*)?"
sudo restorecon -R -v /var/www
标签与目录映射的快速策略
为新应用或目录分配合适的上下文，是实现稳定运行的关键一步。通过<semanage fcontext和restorecon组合，可以确保目录和文件具备正确的上下文标签，从而避免重复的 AVC 拒绝。
在生产环境中，尽量将策略模块化，避免对全局策略的广泛修改，减少回滚成本。
# 为自定义应用设置内容目录的上下文
sudo semanage fcontext -a -t httpd_sys_content_t "/var/www(/.*)?"
sudo restorecon -R -v /var/www
3. 从测试到生产的落地流程
测试与日志收集
在正式落地前，先将系统置于<permissive模式用于日志收集与问题定位，同时保留对资源的可控性。通过<audit日志和 AVC 报告，可以获取真实运行时的访问需求。
日志驱动的策略迭代是完整实操要点的重要组成部分，务必记录每一次策略变更及其原因，以便回溯与审计。
# 将系统临时设置为 permissive，方便日志收集
sudo setenforce 0
# 根据审计日志生成策略模块草案
sudo ausearch -m avc -ts today | audit2allow -M myapp
# 安装生成的策略模块
sudo semodule -i myapp.pp
# 将系统重新切换回 enforcing，确保实际执行策略
sudo setenforce 1
# 确保新策略生效后标签正确
sudo restorecon -Rv /var/www
生产环境落地的要点
正式落地时应遵循分阶段、低风险、可回滚的原则。优先使用现有策略或模块化策略来实现最小权限的扩展，避免一次性全局放宽。
在落地过程中，持续评估性能影响与稳定性，通过对照日志、告警和行为变更来判定是否需要进一步的策略调整。
# 查看已加载的策略模块，确保版本可控
sudo semodule -l | head -n 20
# 记录最近的 AVC 拒绝并转为可读信息
sudo ausearch -m avc -ts today | audit2allow -w -i -
4. 生产环境的监控与持续加固
日志与告警整合
生产环境需要对<日志和<强>告警进行整合，以便快速定位与处置 SELinux 引发的行为限制。auditd与setroubleshoot工具是常用的组合，能够将原始日志转化为可操作的信息。
通过分析审计日志，可以发现策略薄弱点并优先处理，避免对业务造成持续影响。
# 安装并使用 setroubleshoot 与 sealert 进行可读报表
sudo dnf install -y setroubleshoot-server
sudo sealert -a /var/log/audit/audit.log
# 实时监控 AVC 拒绝事件，便于快速响应
sudo tail -f /var/log/audit/audit.log | grep AVC
自动化与回滚策略
在持续集成与持续部署中，采用<策略模块化和<版本化是确保稳定回滚的关键。每次策略变更应有明确的版本标签与回滚计划。
# 回滚到上一个版本的策略模块
sudo semodule -r myapp
# 安装指定版本的策略模块（示例）
sudo semodule -i myapp_v1.pp
5. 实战场景示例与代码片段
常见服务的 SELinux 对象模型示例
在实际部署中，常见服务需要将相应目录和日志设置到合适的上下文，以确保服务能够稳定访问所需资源。上下文映射是实现这一目标的核心机制。
通过示例，可以快速完成对 Web 服务、日志目录以及数据目录的上下文配置，从而实现生产环境的落地要点。
# 为 Web 服务的内容目录设置上下文（示例）
sudo semanage fcontext -a -t httpd_sys_content_t "/var/www(/.*)?"
sudo restorecon -R -v /var/www/html
# 为日志目录设置上下文
sudo semanage fcontext -a -t var_log_t "/var/log/nginx(/.*)?"
sudo restorecon -R -v /var/log/nginx
# 数据目录的上下文配置（示例）
sudo semanage fcontext -a -t mysqld_data_t "/var/lib/mysql(/.*)?"
sudo restorecon -R -v /var/lib/mysql
