# 怎么使用semanage管理SELinux安全策略 ## 目录 1. [SELinux与semanage概述](#selinux与semanage概述) 2. [安装与基础配置](#安装与基础配置) 3. [端口管理实战](#端口管理实战) 4. [文件上下文控制](#文件上下文控制) 5. [布尔值精细调控](#布尔值精细调控) 6. [用户与角色映射](#用户与角色映射) 7. [网络接口管理](#网络接口管理) 8. [故障排查技巧](#故障排查技巧) 9. [最佳实践建议](#最佳实践建议) 10. [总结与进阶学习](#总结与进阶学习) --- ## SELinux与semanage概述 SELinux（Security-Enhanced Linux）作为Linux内核的强制访问控制（MAC）系统，通过**安全上下文**和**策略规则**实现进程与资源的精细隔离。与传统DAC（自主访问控制）相比，它能有效防御提权攻击和零日漏洞。 `semanage`是SELinux策略管理的关键工具，属于`policycoreutils-python`包，提供以下核心功能： - 端口类型映射管理（HTTP默认端口修改） - 文件/目录上下文永久配置 - 布尔值策略持久化设置 - 用户角色映射维护 - 网络接口安全控制 与临时命令`chcon`不同，semanage的修改能**跨越文件系统重标记或系统重启**，确保策略持久生效。 --- ## 安装与基础配置 ### 环境准备 ```bash # RHEL/CentOS系统 sudo yum install policycoreutils-python-utils # Fedora sudo dnf install policycoreutils-python-utils # Ubuntu/Debian sudo apt install policycoreutils selinux-utils semanage [选项] [操作对象] [子命令] [参数] 常用操作对象： - port：管理网络端口 - fcontext：管理文件上下文 - boolean：管理布尔值策略 - user：管理SELinux用户 - interface：管理网络接口
sudo semanage port -l | grep http 输出示例：
http_port_t tcp 80, 443, 8080, 8000 # 允许TCP 8888作为HTTP端口 sudo semanage port -a -t http_port_t -p tcp 8888 # 验证添加结果 sudo semanage port -l | grep http_port_t # 移除错误配置的TCP 9999端口 sudo semanage port -d -t http_port_t -p tcp 9999 # 设置/webapp目录默认上下文为httpd_sys_content_t sudo semanage fcontext -a -t httpd_sys_content_t "/webapp(/.*)?" # 使新策略立即生效 sudo restorecon -Rv /webapp # 排除/webapp/uploads目录使用默认策略 sudo semanage fcontext -a -e /var/www/html /webapp # 查看文件当前上下文 ls -Z /webapp/index.html # 查询默认上下文配置 sudo semanage fcontext -l | grep '/webapp' sudo semanage boolean -l | grep httpd 典型输出：
httpd_can_network_connect --> off httpd_enable_homedirs --> off sudo semanage boolean -m --on httpd_can_network_connect # 验证变更 getsebool httpd_can_network_connect # 创建允许httpd和sudo权限的用户 sudo semanage user -a -R "staff_r system_r" -L s0 -r s0-s0:c0.c1023 webadmin # 将现有用户bob映射到webadmin_u身份 sudo semanage login -a -s webadmin_u bob sudo semanage interface -l sudo semanage interface -a -t netif_t eth1 sudo ausearch -m avc -ts recent sudo semanage port -l | grep <端口号> # 实时监控SELinux拒绝事件 sudo tail -f /var/log/audit/audit.log | grep AVC 变更管理原则：
-m修改替代-a添加重复条目文档记录：
# 导出当前策略备份 sudo semanage export -f selinux_backup.conf 定期审计：
# 检查异常上下文 sudo matchpathcon -V /path/to/dir 通过本文您已掌握： - semanage核心功能模块操作 - 策略持久化配置方法 - 常见故障诊断流程
进阶学习方向： 1. 自定义SELinux策略模块开发 2. 容器环境下的SELinux配置（如Kubernetes的spc_t上下文） 3. 多级安全（MLS）策略实施
参考文档：
- Red Hat SELinux官方文档
-man 8 semanage
- NSA SELinux白皮书 “`
免责声明：本站发布的内容（图片、视频和文字）以原创、转载和分享为主，文章观点不代表本网站立场，如果涉及侵权请联系站长邮箱：is@yisu.com进行举报，并提供相关证据，一经查实，将立刻删除涉嫌侵权内容。
