SELinux - 版本历史

Shen：Shen移动SE Linux 环境下网络服务设置页面至SELinux

2013-12-18T13:08:33Z

←上一版本

2013年12月18日 (三) 13:08的版本

2013年4月21日 (日) 12:10 116.233.160.253

2013-04-21T12:10:19Z

←上一版本		2013年4月21日 (日) 12:10的版本
第1行：		第1行：
			[[Selinux 基础]]

	Selinux 的安全防护措施主要集中在各种网络服务的访问控制。		Selinux 的安全防护措施主要集中在各种网络服务的访问控制。

	对于 Apache 、Samba、NFS 数据库来说，Selinux 仅仅开放了最基本的运行需求。至于连接外部网络、运行脚本、访问用户目录、共享文件等，必须经过一定的 Selinux 策略调整才能充分发挥网络服务器的作用，在安全和性能直接获取平衡。		对于 Apache 、Samba、NFS 数据库来说，Selinux 仅仅开放了最基本的运行需求。至于连接外部网络、运行脚本、访问用户目录、共享文件等，必须经过一定的 Selinux 策略调整才能充分发挥网络服务器的作用，在安全和性能直接获取平衡。


	==SELinux 环境下的 Apache 配置==		==SELinux 环境下的 Apache 配置==

2013年2月22日 (五) 01:32 202.127.29.127

2013-02-22T01:32:20Z

显示更改

2013年2月22日 (五) 01:26 202.127.29.127

2013-02-22T01:26:13Z

←上一版本		2013年2月22日 (五) 01:26的版本
第176行：		第176行：
	*use_samba_home_dirs 启用此布尔变量可以使用远程服务器 Samba 的主目录。		*use_samba_home_dirs 启用此布尔变量可以使用远程服务器 Samba 的主目录。
	*virt_use_samba 允许虚拟机访问 CIFS 文件。		*virt_use_samba 允许虚拟机访问 CIFS 文件。

			===配置实例===

			====共享一个新建的目录====

			受限创建一个目录作为 Samba 的共享资源，然后在目录下建立一个文件检验共享是否成功。
			#mkdir /yeslab
			#touch /yeslab/file1

			设置创建目录和目录中文件的类型
			#semanage fcontext -a -t samba_share_t "/yeslab(/.*)?"
			# restorecon -R -v /yeslab

			修改 Samba 配置文件 /etc/samba/smb.conf，添加共享资源定义包括如下行：：
			[yeslab]
			comment = yeslab
			path = /yeslab
			public = yes
			writeable = yes

			创建一个 samba 用户
			# smbpasswd -a testuser
			New SMB password: Enter a password
			Retype new SMB password: Enter the same password again
			Added user testuser.

			启动 Samba 服务
			service smb start

			查询可以使用的共享资源：
			$ smbclient -U testuser -L localhost

			使用 mount 命令挂载共享资源，并且检验文件：
			#mount //localhost/yeslab /test/ -o user= testuser
			# ls /test/

			====共享一个网页====

			如果要共享一个网页文件目录如 Apache 服务器的 /var/www/html，是不能使用文件类型的。此时可以使用samba_export_all_ro 和 samba_export_all_rw 两个布尔值变量，达到共享目录和文件的目的。步骤如下：

			修改 samba 配置文件，添加如下行：
			[website]
			comment = Sharing a website
			path = /var/www/html/
			public = yes
			writeable = yes

			开放 samba_export_all_ro 布尔值变量
			#setsebool -P samba_export_all_ro on

			设置权限：
			#chmod 777 /var/www/html/

			共享目录：
			#mount //localhost/yeslab /test/ -o user= testuser
			# ls /test/

2013年2月22日 (五) 01:24 202.127.29.127

2013-02-22T01:24:16Z

显示更改

2013年2月22日 (五) 01:16 202.127.29.127

2013-02-22T01:16:54Z

←上一版本		2013年2月22日 (五) 01:16的版本
第75行：		第75行：
	-t：类型		-t：类型
	r：角色		r：角色

			==Apache 的 SELinux 的布尔变量==

			对于网络服务而言，SElinux 仅仅开放了最低运行需求，为了发挥 Apache 服务器的功能还必须把布尔值必须打开，以允许某些行为包括允许 httpd 脚本网络访问，允许 httpd 访问 NFS 和 CIFS 文件系统，允许执行通用网关接口（CGI）脚本。可以使用命令 getsebool 查询当前布尔变量。然后可以使用下面的 setsebool 命令开放布尔变量：

			#setsebool – P httpd_enable_cgi on

			下面是常用的布尔变量：

			•allow_httpd_anon_write 禁用时这个布尔变量允许的 httpd 到只有标记文件 public_content_rw_t 类型的读取访问。启用此布尔变量将允许的 httpd 写入到文件标记与一个公共文件目录包含一个公共文件传输服务，如 public_content_rw_t 类型。

			•allow_httpd_mod_auth_pam 启用此布尔变量允许 mod_auth_pam 模块访问 httpd。

			•allow_httpd_sys_script_anon_write 这个布尔变量定义 HTTP 脚本是否允许写访问到文件标记在一个公共文件传输服务 public_content_rw_t 类型。

			•httpd_builtin_scripting 这个布尔变量定义 httpd 的脚本的访问。在这个布尔变量启用，往往需要为 PHP 内容。

			•httpd_can_network_connect 禁用时这个布尔变量防止从网络或远程端口发起连接的 HTTP 脚本和模块。打开这个布尔变量允许这种访问。

			•httpd_can_network_connect_db 禁用时这个布尔变量防止发起一个连接到数据库服务器的 HTTP 脚本和模块。打开这个布尔变量允许这种访问。

			•httpd_can_network_relay 打开这个当布尔变量的 httpd 正在使用正向或反向代理。

2013年2月22日 (五) 01:15 202.127.29.127

2013-02-22T01:15:43Z

←上一版本		2013年2月22日 (五) 01:15的版本
第31行：		第31行：
	说明：使用 chcon 命令来对文件的类型进行重新标识。然而，这样的标识不是永久性的修改，一旦系统重启，该标识就会改变回去。对于文件类型的永久性改变，需要采用 semanage 命令。chcon、 semanage fcontext 和 restorecon 三个命令是本文的重点下面首先介绍一下使用方法：		说明：使用 chcon 命令来对文件的类型进行重新标识。然而，这样的标识不是永久性的修改，一旦系统重启，该标识就会改变回去。对于文件类型的永久性改变，需要采用 semanage 命令。chcon、 semanage fcontext 和 restorecon 三个命令是本文的重点下面首先介绍一下使用方法：

	#chcon 命令		;chcon 命令
	#:作用：chcon 命令用来改变 SELinux 文件属性即修改文件的安全上下文		:作用：chcon 命令用来改变 SELinux 文件属性即修改文件的安全上下文
	#:用法：chcon [ 选项 ] CONTEXT 文件		:用法：chcon [ 选项 ] CONTEXT 文件
	#:主要选项 :		:主要选项 :
	-R：递归改变文件和目录的上下文。		-R：递归改变文件和目录的上下文。
	--reference：从源文件向目标文件复制安全上下文		--reference：从源文件向目标文件复制安全上下文
第44行：		第44行：
	-l, --range=RANGE：设置 set role ROLE in the target security context 目标安全领域的范围。		-l, --range=RANGE：设置 set role ROLE in the target security context 目标安全领域的范围。
	-f：显示少量错误信息。		-f：显示少量错误信息。

	#restorecon 命令		;restorecon 命令
	#:作用：恢复 SELinux 文件属性文件属性即恢复文件的安全上下文		:作用：恢复 SELinux 文件属性文件属性即恢复文件的安全上下文
	#:用法：restorecon [-iFnrRv] [-e excludedir ] [-o filename ] [-f filename \| pathname...]		:用法：restorecon [-iFnrRv] [-e excludedir ] [-o filename ] [-f filename \| pathname...]
	#:主要选项 :		:主要选项 :
	-i：忽略不存在的文件。		-i：忽略不存在的文件。
	-f：infilename 文件 infilename 中记录要处理的文件。		-f：infilename 文件 infilename 中记录要处理的文件。
第56行：		第57行：
	-v：将过程显示到屏幕上。		-v：将过程显示到屏幕上。
	-F：强制恢复文件安全语境。		-F：强制恢复文件安全语境。
	#:说明；restorecon 命令和 chcon 命令类似，但它基于当前策略默认文件上下文文件设置与文件有关的客体的安全上下文，因此，用户没有指定一个安全上下文，相反，restorecon 使用文件上下文文件的条目匹配文件名，然后应用特定的安全上下文，在某些情况下，它是在还原正确的安全上下文。		:说明；restorecon 命令和 chcon 命令类似，但它基于当前策略默认文件上下文文件设置与文件有关的客体的安全上下文，因此，用户没有指定一个安全上下文，相反，restorecon 使用文件上下文文件的条目匹配文件名，然后应用特定的安全上下文，在某些情况下，它是在还原正确的安全上下文。

	#semanage fcontext 命令		;semanage fcontext 命令
	#:作用：管理文件安全上下文		:作用：管理文件安全上下文
	#:用法：		:用法：
⚫	#::semanage fcontext [-S store] -{a\|d\|m\|l\|n\|D} [-~~frst]~~ ~~file_spec~~
	#::semanage fcontext [-S store] -{a\|d\|m\|l\|n\|D} -~~e replacement~~ ~~target~~		::semanage fcontext [-S store] -{a\|d\|m\|l\|n\|D} [-frst] file_spec
		⚫	::semanage fcontext [-S store] -{a\|d\|m\|l\|n\|D} -e replacement target
	#:主要选项 :		:主要选项 :
	-a：添加		-a：添加
	-d：删除		-d：删除

2013年2月22日 (五) 01:14 202.127.29.127

2013-02-22T01:14:20Z

←上一版本		2013年2月22日 (五) 01:14的版本
第32行：		第32行：

	#chcon 命令		#chcon 命令
	:作用：chcon 命令用来改变 SELinux 文件属性即修改文件的安全上下文		#:作用：chcon 命令用来改变 SELinux 文件属性即修改文件的安全上下文
	:用法：chcon [ 选项 ] CONTEXT 文件		#:用法：chcon [ 选项 ] CONTEXT 文件
	:主要选项 :		#:主要选项 :
	-R：递归改变文件和目录的上下文。		-R：递归改变文件和目录的上下文。
	--reference：从源文件向目标文件复制安全上下文		--reference：从源文件向目标文件复制安全上下文
第45行：		第45行：
	-f：显示少量错误信息。		-f：显示少量错误信息。
	#restorecon 命令		#restorecon 命令
	:作用：恢复 SELinux 文件属性文件属性即恢复文件的安全上下文		#:作用：恢复 SELinux 文件属性文件属性即恢复文件的安全上下文
	:用法：restorecon [-iFnrRv] [-e excludedir ] [-o filename ] [-f filename \| pathname...]		#:用法：restorecon [-iFnrRv] [-e excludedir ] [-o filename ] [-f filename \| pathname...]
	:主要选项 :		#:主要选项 :
	-i：忽略不存在的文件。		-i：忽略不存在的文件。
	-f：infilename 文件 infilename 中记录要处理的文件。		-f：infilename 文件 infilename 中记录要处理的文件。
第56行：		第56行：
	-v：将过程显示到屏幕上。		-v：将过程显示到屏幕上。
	-F：强制恢复文件安全语境。		-F：强制恢复文件安全语境。
	:说明；restorecon 命令和 chcon 命令类似，但它基于当前策略默认文件上下文文件设置与文件有关的客体的安全上下文，因此，用户没有指定一个安全上下文，相反，restorecon 使用文件上下文文件的条目匹配文件名，然后应用特定的安全上下文，在某些情况下，它是在还原正确的安全上下文。		#:说明；restorecon 命令和 chcon 命令类似，但它基于当前策略默认文件上下文文件设置与文件有关的客体的安全上下文，因此，用户没有指定一个安全上下文，相反，restorecon 使用文件上下文文件的条目匹配文件名，然后应用特定的安全上下文，在某些情况下，它是在还原正确的安全上下文。
	#semanage fcontext 命令		#semanage fcontext 命令
	:作用：管理文件安全上下文		#:作用：管理文件安全上下文
	:用法：		#:用法：
	::semanage fcontext [-S store] -{a\|d\|m\|l\|n\|D} [-frst] file_spec		#::semanage fcontext [-S store] -{a\|d\|m\|l\|n\|D} [-frst] file_spec
	::semanage fcontext [-S store] -{a\|d\|m\|l\|n\|D} -e replacement target		#::semanage fcontext [-S store] -{a\|d\|m\|l\|n\|D} -e replacement target
	:主要选项 :		#:主要选项 :
	-a：添加		-a：添加
	-d：删除		-d：删除

2013年2月22日 (五) 01:13 202.127.29.127

2013-02-22T01:13:06Z

@@ 第31行： / 第31行： @@
 说明：使用 chcon 命令来对文件的类型进行重新标识。然而，这样的标识不是永久性的修改，一旦系统重启，该标识就会改变回去。对于文件类型的永久性改变，需要采用 semanage 命令。chcon、 semanage fcontext 和 restorecon 三个命令是本文的重点下面首先介绍一下使用方法：
-（1）chcon 命令
+#chcon 命令
-作用：chcon 命令用来改变 SELinux 文件属性即修改文件的安全上下文
+:用法：chcon [ 选项 ] CONTEXT 文件
     -R：递归改变文件和目录的上下文。
     --reference：从源文件向目标文件复制安全上下文
@@ 第48行： / 第44行： @@
     -l, --range=RANGE：设置 set role ROLE in the target security context 目标安全领域的范围。
     -f：显示少量错误信息。
  -i：忽略不存在的文件。
  -f：infilename 文件 infilename 中记录要处理的文件。
@@ 第64行： / 第56行： @@
  -v：将过程显示到屏幕上。
  -F：强制恢复文件安全语境。
  -a：添加
  -d：删除

202.127.29.127：/* SELinux 环境下的 Apache 配置 */

2013-02-22T01:09:33Z

SELinux 环境下的 Apache 配置

←上一版本		2013年2月22日 (五) 01:09的版本
第31行：		第31行：
	说明：使用 chcon 命令来对文件的类型进行重新标识。然而，这样的标识不是永久性的修改，一旦系统重启，该标识就会改变回去。对于文件类型的永久性改变，需要采用 semanage 命令。chcon、 semanage fcontext 和 restorecon 三个命令是本文的重点下面首先介绍一下使用方法：		说明：使用 chcon 命令来对文件的类型进行重新标识。然而，这样的标识不是永久性的修改，一旦系统重启，该标识就会改变回去。对于文件类型的永久性改变，需要采用 semanage 命令。chcon、 semanage fcontext 和 restorecon 三个命令是本文的重点下面首先介绍一下使用方法：

	~~#chcon~~ 命令		（1）chcon 命令

	作用：chcon 命令用来改变 SELinux 文件属性即修改文件的安全上下文		作用：chcon 命令用来改变 SELinux 文件属性即修改文件的安全上下文
第49行：		第49行：
	-f：显示少量错误信息。		-f：显示少量错误信息。

	~~#restorecon~~ 命令		（2）restorecon 命令

	作用：恢复 SELinux 文件属性文件属性即恢复文件的安全上下文		作用：恢复 SELinux 文件属性文件属性即恢复文件的安全上下文
第67行：		第67行：
	说明；restorecon 命令和 chcon 命令类似，但它基于当前策略默认文件上下文文件设置与文件有关的客体的安全上下文，因此，用户没有指定一个安全上下文，相反，restorecon 使用文件上下文文件的条目匹配文件名，然后应用特定的安全上下文，在某些情况下，它是在还原正确的安全上下文。		说明；restorecon 命令和 chcon 命令类似，但它基于当前策略默认文件上下文文件设置与文件有关的客体的安全上下文，因此，用户没有指定一个安全上下文，相反，restorecon 使用文件上下文文件的条目匹配文件名，然后应用特定的安全上下文，在某些情况下，它是在还原正确的安全上下文。

	~~#semanage~~ fcontext 命令		（3）semanage fcontext 命令

	作用：管理文件安全上下文		作用：管理文件安全上下文