Ubuntu SELinux如何集成应用

1. 安装SELinux及相关工具
在Ubuntu上集成SELinux的第一步是安装必要的软件包。通过以下命令安装SELinux基础组件、默认策略及管理工具：

sudo apt update sudo apt install selinux-basics selinux-policy-default selinux-utils auditd 

这些工具提供了SELinux的配置、策略管理和日志分析功能。

2. 启用SELinux
安装完成后，需通过以下步骤激活SELinux：

• 临时切换模式：使用setenforce命令切换SELinux模式（1为Enforcing强制模式，0为Permissive宽容模式，仅记录违规不阻止）：

  sudo setenforce 1 # 开启强制模式 

• 永久设置模式：编辑/etc/selinux/config文件，将SELINUX=行修改为enforcing（强制）或permissive（宽容），保存后重启系统使配置生效：

  sudo nano /etc/selinux/config # 修改为：SELINUX=enforcing sudo reboot 

• 验证状态：通过sestatus命令确认SELinux已启用并处于目标模式。

3. 配置SELinux策略
SELinux通过策略规则控制进程与资源的访问。常用配置操作包括：

• 查看文件上下文：使用semanage fcontext列出当前目录/文件的SELinux上下文（如httpd_sys_content_t）：

  sudo semanage fcontext -l | grep /var/www 

• 添加自定义上下文：为特定目录（如/var/www/my_app）分配上下文类型（如httpd_sys_content_t），允许Web服务器访问：

  sudo semanage fcontext -a -t httpd_sys_content_t "/var/www/my_app(/.*)?" 

• 应用上下文更改：使用restorecon命令刷新目录的SELinux上下文，使其生效：

  sudo restorecon -Rv /var/www/my_app 

• 调整布尔值：通过setsebool命令动态开启/关闭服务功能（如允许Apache访问用户目录）：

  sudo setsebool -P httpd_enable_homedirs 1 # 永久生效 

  布尔值是SELinux的动态开关，无需重启策略即可调整。

4. 自定义SELinux策略模块
若默认策略无法满足应用需求（如自定义应用无法访问特定资源），需编写自定义策略模块：

• 创建.te文件：编写策略规则（如允许my_app_t类型的进程读写my_app_rw_t类型的目录）：

  policy_module(my_custom_policy, 1.0) type my_app_t; type my_app_rw_t; init_daemon_domain(my_app_t, my_app_exec_t) allow my_app_t my_app_rw_t:dir { read write }; allow my_app_t my_app_rw_t:file { read write }; 

• 编译与加载模块：使用checkmodule编译.te文件为.mod，再用semodule_package打包为.pp，最后通过semodule加载：

  checkmodule -M -m -o my_custom_policy.mod my_custom_policy.te semodule_package -o my_custom_policy.pp -m my_custom_policy.mod sudo semodule -i my_custom_policy.pp 

• 验证策略：通过ausearch查看SELinux日志，确认策略是否拦截违规操作，或使用semodule -l查看已加载模块。

5. 日志分析与故障排查
SELinux日志（/var/log/audit/audit.log）记录了所有访问违规事件。使用以下工具分析日志并解决问题：

• 提取AVC违规日志：通过ausearch过滤最近的SELinux违规记录：

  sudo ausearch -m avc -ts recent 

• 自动生成修复规则：使用audit2allow根据日志生成自定义策略模块（如mypol.te），并加载：

  sudo ausearch -m avc -ts recent | audit2allow -M mypol sudo semodule -i mypol.pp 

  注意：生成的规则需谨慎审核，避免过度放宽权限。

注意事项

• Ubuntu默认使用AppArmor作为安全模块，启用SELinux后可能需调整两者配置，避免冲突。
• 生产环境中建议先使用permissive模式测试策略，确认无问题后再切换至enforcing模式。
• 自定义策略需具备SELinux策略语言基础，复杂场景可参考官方文档或社区资源。