rhce7认证学习笔记管理selinux安全.pdfVIP

RHCE7认证学习笔记22——管理SELinux安全

一、ugo模式主动控制DAC

文件的权限控制ugorwx

二、selinux强制控制MAC

每个文件资源都有一个标记，特定标记的进程，只能特定标记的资源，无法其他资

源，即使资源的权限设置为777(rwx)

三、查看和设置文件和进程的安全标记

使用-Z的选项可以查看文件和进程的标记,以httpd服务为例子：

[root@linuxidctmp]#ls-Z

--wxx.rootrootunconfined_u:object_r:user_tmp_t:s0a1

w.rootrootunconfined_u:object_r:user_tmp_t:s0a4

x.rootrootunconfined_u:object_r:user_tmp_t:s0a5

[root@linuxidchtml]#psauxZ|grephttpd

system_u:system_r:httpd_t:s0root54770.10.42136924904?Ss

[root@linuxidchtml]#ls-ldZ/var/www/html/

drwxr-xr-x.rootrootsystem_u:object_r:httpd_sys_content_t:s0/var/www/html/

在根下创建一个www的，并在/var/www/html下面做一个www的软：

[root@linuxidchtml]#mkdir/www

[root@linuxidchtml]#ln-s/www/www

[root@linuxidchtml]#ls

index.htmlisoks.cfgwww

/www的默认的上上下文为，没有标记为httpd：

[root@linuxidchtml]#ls-ldZ/www/

drwxr-xr-x.rootrootunconfined_u:object_r:default_t:s0/www/

如果这时候启动httpd服务，打开浏览器，www，会提示不被允许：

修改/www的上下文，使其上下文与/var/www/html一致，再打开www即可：

[root@linuxidchtml]#chcon-R--reference=/var/www/html//www

[root@linuxidchtml]#ls-ldZ/www/

drwxr-xr-x.rootrootsystem_u:object_r:httpd_sys_content_t:s0/www/

使用restorecon命令可以恢复文件资源的默认上下文：

[