SELinux

# 查看 SELinux 用户映射
semanage user -l

# 查看角色与域的关联
semanage user -l | grep sysadm_u
# sysadm_u   sysadm_r   sysadm_t   s0-s0:c0.c1023

# 查看进程的 MCS 标签
ps -eZ | head -5
# system_u:system_r:init_t:s0           ← 无范畴
# system_u:system_r:virtd_t:s0:c1,c2    ← 有范畴隔离

cat /sys/fs/selinux/avc/cache_stats
# 输出示例：
# lookups hits misses allocations reclaims frees
# 452341 451892 449 449 0 0
# 命中率：451892/452341 = 99.9%

# ========== 查看安全上下文 ==========

# 查看文件的安全上下文
ls -Z /etc/passwd
# -rw-r--r--. root root system_u:object_r:passwd_file_t:s0 /etc/passwd

# 查看进程的安全上下文
ps -eZ | grep nginx
# system_u:system_r:httpd_t:s0    12345 ?  00:00:00 nginx

# 查看当前用户的安全上下文
id -Z
# unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

# 查看端口的安全上下文
semanage port -l | grep 80
# http_port_t  tcp  80, 81, 443, ...

# ========== 修改安全上下文 ==========

# 临时修改（文件系统 relabel 后会恢复）
chcon -t httpd_sys_content_t /var/www/custom/index.html
chcon -R -t httpd_sys_content_t /var/www/custom/

# 永久修改（写入策略，不受 relabel 影响）
semanage fcontext -a -t httpd_sys_content_t "/var/www/custom(/.*)?"
restorecon -Rv /var/www/custom/

# 查看文件上下文规则
semanage fcontext -l

# 查看特定路径的默认上下文
semanage fcontext -l | grep /var/www

# 添加自定义文件上下文规则
semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"

# 修改已有规则
semanage fcontext -m -t httpd_sys_rw_content_t "/web(/.*)?"

# 删除规则
semanage fcontext -d -t httpd_sys_content_t "/web(/.*)?"

# 应用文件上下文（根据策略重置标签）
restorecon -Rv /web/

# 全系统 relabel（谨慎操作！）
touch /.autorelabel && reboot

# 定义类型
type httpd_t;
type httpd_sys_content_t;
type httpd_exec_t;

# 定义属性（Attribute）—— 类型的集合
attribute domain;        # 进程域
attribute file_type;     # 文件类型

# 为类型添加属性
typeattribute httpd_t domain;
typeattribute httpd_sys_content_t file_type;

# 定义类型时同时添加属性
type httpd_t, domain;

# 定义客体类别（Class）和权限
class file {
    ioctl read write create getattr setattr
    lock relabelfrom relabelto append map
    unlink link rename execute swapon quotaon
    mounton audit_access open execmod watch watch_mount
    watch_sb watch_with_perm watch_reads
}

class process {
    fork transition sigchld sigkill sigstop
    signull signal ptrace getsched setsched
    getsession getpgid setpgid getcap setcap
    share getattr setexec setfscreate noatsecure
    siginh setrlimit rlimitinh dyntransition
    setcurrent execmem execstack execheap setkeycreate
    setsockcreate getrlimit
}

class tcp_socket {
    bind connect listen accept getopt setopt
    shutdown recvfrom sendto name_bind
    node_bind name_connect
}

# ========== allow：授予权限 ==========
allow httpd_t httpd_sys_content_t : file { read getattr open };
# 允许 httpd_t 域读取 httpd_sys_content_t 类型的文件

allow httpd_t httpd_log_t : file { read write append open };
# 允许 httpd_t 域读写 httpd_log_t 类型的日志文件

allow httpd_t self : process { fork signal };
# 允许 httpd_t 进程 fork 和发信号给自己

# ========== dontaudit：不记录拒绝 ==========
dontaudit httpd_t default_t : dir { getattr search };
# 访问被拒绝时，不写入审计日志（减少日志噪音）

# ========== auditallow：强制记录 ==========
auditallow staff_t shadow_t : file read;
# 即使访问被允许，也强制记录审计日志（监控敏感访问）

# ========== neverallow：编译时检查 ==========
neverallow domain shadow_t : file { read write };
# 如果任何 allow 规则违反此约束，策略编译报错
# 这是确保安全底线的"硬规则"

allow <源域> <目标类型> : <客体类别> { <权限集合> };
allow <source_domain> <target_type> : <object_class> { <permissions> };

# ========== 进程域转换 ==========

# 定义转换规则：a_t 执行 b_exec_t 后变成 b_t
type_transition a_t b_exec_t : process b_t;

# 需要的三条 allow 规则：
# 1. 允许从 a_t 转换到 b_t
allow a_t b_t : process transition;

# 2. 允许 a_t 执行 b_exec_t 文件
allow a_t b_exec_t : file { execute read getattr open };

# 3. b_exec_t 必须是 b_t 域的入口点
allow b_t b_exec_t : file entrypoint;

# ========== 文件创建时的类型转换 ==========

# 在 /var/log 目录下创建文件时，自动设为 httpd_log_t
type_transition httpd_t var_log_t : file httpd_log_t;
allow httpd_t var_log_t : dir { write add_name };
allow httpd_t httpd_log_t : file { create write open };

# ========== fs_use_xattr ==========
# 用于支持扩展属性的文件系统（ext4/xfs/btrfs）
# 文件标签从自身的 security.selinux 扩展属性读取
fs_use_xattr ext4 system_u:object_r:fs_t:s0;
fs_use_xattr xfs system_u:object_r:fs_t:s0;

# ========== fs_use_task ==========
# 用于伪文件系统（pipefs/sockfs）
# 文件标签由创建进程决定
fs_use_task pipefs system_u:object_r:fs_t:s0;

# ========== fs_use_trans ==========
# 基于类型转换规则动态决定标签
fs_use_trans devpts system_u:object_r:devpts_t:s0;

# ========== genfscon ==========
# 为不支持 xattr 的文件系统指定路径的标签
genfscon proc /kmsg system_u:object_r:proc_kmsg_t:s0;
genfscon proc /sys/kernel/shm system_u:object_r:proc_rw_t:s0;
genfscon sysfs /devices/system/cpu system_u:object_r:sysfs_devices_system_cpu_t:s0;

# 查看当前模式
getenforce

# 查看配置文件中的模式
cat /etc/selinux/config
# SELINUX=enforcing

# 临时切换模式
setenforce 0   # 切换到 Permissive
setenforce 1   # 切换到 Enforcing

# 永久修改模式
vim /etc/selinux/config
# SELINUX=enforcing|permissive|disabled

# 将 httpd_t 域设为 permissive（不阻止，但记录）
semanage permissive -a httpd_t

# 查看所有 permissive 域
semanage permissive -l

# 移除 permissive
semanage permissive -d httpd_t

# 查看 SELinux 状态
sestatus
getenforce

# 切换模式
setenforce 0  # Permissive
setenforce 1  # Enforcing

# 查看 SELinux 策略版本
sestatus | grep "Policy from config file"

# 查看已加载的策略模块
semodule -l

# 查看安全上下文
ls -Z /var/www/html/
ps -eZ | grep httpd
id -Z
netstat -Z | grep :80

# 临时修改上下文（重启/relabel 后会恢复）
chcon -t httpd_sys_content_t /var/www/custom/index.html
chcon -R -t httpd_sys_content_t /var/www/custom/
chcon -R --reference=/var/www/html /var/www/custom

# 永久修改上下文
semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"
semanage fcontext -a -t httpd_sys_rw_content_t "/web/uploads(/.*)?"

# 应用文件上下文
restorecon -Rv /web/
restorecon -Rv /var/www/

# 查看所有布尔值
getsebool -a

# 查看特定布尔值
getsebool httpd_enable_cgi
getsebool httpd_can_network_connect

# 设置布尔值（临时）
setsebool httpd_enable_cgi on

# 设置布尔值（永久）
setsebool -P httpd_can_network_connect on

# 查看布尔值说明
semanage boolean -l | grep httpd

# 查看端口上下文
semanage port -l | grep http
# http_port_t  tcp  80, 81, 443, 488, 8008, 8009, 8443, 9000

# 添加自定义端口
semanage port -a -t http_port_t -p tcp 8080

# 修改端口类型
semanage port -m -t http_port_t -p tcp 8443

# 删除端口规则
semanage port -d -t http_port_t -p tcp 8080

# 查看特定端口
semanage port -l | grep 3306
# mysqld_port_t  tcp  3306

# 列出已安装模块
semodule -l

# 安装模块
semodule -i myapp.pp

# 卸载模块
semodule -r myapp

# 升级模块
semodule -u myapp.pp

# 查看模块详情
semodule -l | grep myapp

# 禁用模块（不卸载）
semodule -d myapp

# 启用模块
semodule -e myapp

# 查看最近的 SELinux 拒绝
ausearch -m avc -ts recent

# 查看特定进程的拒绝
ausearch -m avc -c httpd

# 查看特定文件的拒绝
ausearch -m avc -f /var/www/html

# 实时监控拒绝事件
ausearch -m avc -i --follow

# 更可读的格式
ausearch -m avc -ts today --raw | aureport --summary

# 分析所有拒绝事件
audit2allow -a

# 分析最近的拒绝
ausearch -m avc -ts recent | audit2allow

# 生成策略模块
ausearch -m avc -ts today -c httpd | \
    audit2allow -M httpd_custom

# 查看生成的规则
cat httpd_custom.te

# 编译并安装策略模块
semodule -i httpd_custom.pp

# ausearch -m avc -c httpd | audit2allow

#============= httpd_t ==============
allow httpd_t user_home_t:file { read getattr open };
allow httpd_t http_port_t:tcp_socket name_bind;

# 编译为可加载模块
# ausearch -m avc -c httpd | audit2allow -M httpd_fix
# semodule -i httpd_fix.pp

# 分析审计日志
sealert -a /var/log/audit/audit.log

# 分析特定事件 ID
sealert -l <event_id>

# 浏览器模式（GUI）
sealert -b

# 将特定域设为 permissive（推荐，不影响其他进程）
semanage permissive -a httpd_t

# 运行应用，收集所有 AVC 拒绝
# ... 测试应用所有功能 ...

# 从日志生成策略
ausearch -m avc -c httpd | audit2allow -M httpd_policy

# 检查生成的规则
cat httpd_policy.te

# 加载策略
semodule -i httpd_policy.pp

# 恢复 enforce
semanage permissive -d httpd_t

# 安装开发工具
yum install -y policycoreutils-devel setools-console

# 为 /opt/myapp/bin/server 生成策略
sepolicy generate --init /opt/myapp/bin/server

# 生成的文件：
# myapp.te      - Type Enforcement 规则
# myapp.fc      - File Context 定义
# myapp.if      - 接口文件
# myapp_selinux.spec - RPM 打包规范

# 查看生成的规则
cat myapp.te

# 生成的 myapp.te 示例：
policy_module(myapp, 1.0.0)

type myapp_t;
type myapp_exec_t;
init_daemon_domain(myapp_t, myapp_exec_t)

# 网络权限
allow myapp_t self:tcp_socket create_stream_socket_perms;

# 日志权限
allow myapp_t var_log_t:file { append create open };

# myapp.te
policy_module(myapp, 1.0.0)

# 声明类型
type myapp_t;
type myapp_exec_t;
type myapp_conf_t;
type myapp_log_t;
type myapp_var_t;

# 标记为域
init_daemon_domain(myapp_t, myapp_exec_t)

# 文件访问
allow myapp_t myapp_conf_t:file { read getattr open };
allow myapp_t myapp_log_t:file { append create open write };
allow myapp_t myapp_var_t:dir { add_name create read write search };

# 网络访问
allow myapp_t self:tcp_socket { create bind listen accept };
corenet_tcp_bind_generic_node(myapp_t)
corenet_tcp_bind_http_port(myapp_t)

# 能力
allow myapp_t self:capability { net_bind_service setuid setgid };

# 日志
allow myapp_t var_log_t:dir { add_name write search };

# 基础系统访问
files_read_etc_files(myapp_t)
libs_use_ld_so(myapp_t)
libs_use_shared_libs(myapp_t)
sysnet_dns_name_resolve(myapp_t)

# myapp.fc
/opt/myapp/bin/server     --  gen_context(system_u:object_r:myapp_exec_t,s0)
/opt/myapp/etc(/.*)?      --  gen_context(system_u:object_r:myapp_conf_t,s0)
/opt/myapp/logs(/.*)?     --  gen_context(system_u:object_r:myapp_log_t,s0)
/opt/myapp/data(/.*)?     --  gen_context(system_u:object_r:myapp_var_t,s0)

# 编译策略模块
make -f /usr/share/selinux/devel/Makefile myapp.pp

# 或使用 checkmodule/semodule_package
checkmodule -M -m -o myapp.mod myapp.te
semodule_package -o myapp.pp -m myapp.mod -f myapp.fc

# 加载策略模块
semodule -i myapp.pp

# 应用文件上下文
restorecon -Rv /opt/myapp/

# 验证
ps -eZ | grep myapp
ls -Z /opt/myapp/

# Docker 中使用 SELinux
docker run -d \
  --security-opt label=type:svirt_apache_t \
  --security-opt label=level:s0:c100,c200 \
  nginx

# 查看容器进程的 SELinux 上下文
ps -eZ | grep docker
# system_u:system_r:container_t:s0:c100,c200

# Podman 原生 SELinux 集成
podman run -d --name web nginx
# 自动分配唯一的 MCS 范畴，容器间完全隔离

apiVersion: v1
kind: Pod
metadata:
  name: selinux-pod
spec:
  securityContext:
    seLinuxOptions:
      level: "s0:c100,c200"
      role: "system_r"
      type: "container_t"
      user: "system_u"
  containers:
  - name: app
    image: nginx

# ✅ 永远不要禁用 SELinux
# ❌ setenforce 0 不是解决方案

# ✅ 使用 permissive 域调试（而非全局 permissive）
semanage permissive -a myapp_t

# ✅ 使用 audit2allow 生成策略（但审查后再加载）
ausearch -m avc -c myapp | audit2allow -M myapp_fix
cat myapp_fix.te  # ← 审查！
semodule -i myapp_fix.pp

# ✅ 使用 restorecon 修复文件标签
restorecon -Rv /path/to/files

# 方法 1：查看审计日志
ausearch -m avc -ts recent | tail -5

# 方法 2：临时切换到 permissive 测试
setenforce 0
# 重新运行出问题的操作
# 如果成功，则是 SELinux 问题
setenforce 1

# 方法 3：查看 sealert
sealert -a /var/log/audit/audit.log | tail -20

# 查看当前标签
ls -Z /var/www/

# 恢复默认标签
restorecon -Rv /var/www/

# 如果是自定义路径，先定义规则
semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"
restorecon -Rv /web/

# mv 会保留原始标签，cp 会继承目标目录标签
# 使用 cp 后需要恢复标签
cp /tmp/file /var/www/html/
restorecon -v /var/www/html/file

# 或使用 install 命令（自动设置正确标签）
install -m 644 /tmp/file /var/www/html/

# 导出所有自定义模块
semodule -l | grep -v "^permissive" > custom_modules.txt

# 备份自定义文件上下文
semanage fcontext -l -C > custom_fcontext.txt

# 备份布尔值
getsebool -a > custom_booleans.txt

# 查看 AVC 缓存命中率
cat /sys/fs/selinux/avc/cache_stats
# 典型命中率 >99%，性能影响约 1-3%

# 禁用 SELinux 的性能收益远小于安全风险