Linux资源的SELinux context详解

待我称王封你为后i 2021-12-20 13:11 1393阅读 0赞

Linux操作系统中的每个资源（如进程、文件描述符、文件、网络等），也被称为SELinux对象，都拥有一个特别的security label，也被称为SELinux label，或SELinux context，以表示该对象能够执行的permissions和operations。这是一个标识符，从Linux系统的细节中抽象出，只聚焦于系统资源的安全属性。通过使用SELinux context，就可以在SELinux策略的中，一致而正确地引用一个系统资源。

1. SELinux context的组成

SELinux context就是一个冒号分隔的字符串，包含4个部分：

user：role：type：range

1) range是可选的，也被称为MLS/MCS security range，或者MLS/MCS security level。

2) 对于安全策略而言，一个SELinux user就是一个标识符。SELinux user是从Linux user映射而来，名称有所变化，带上后缀\_u。两者之间的最大不同是，Linux user可以通过su/sudo改变权限，而SELinux user永远不能，除非系统重启。

查看全部SELinux users（需要安装setools-console软件包），可以执行如下命令：

[root@myhost ~]# seinfo -u
    
    Users: 8
       sysadm_u
       system_u
       xguest_u
       root
       guest_u
       staff_u
       user_u
       unconfined_u

查看Linux/SELinu user之间的映射关系（需要安装policycoreutils-python软件包），可以执行如下命令：

[root@myhost ~]# semanage login -l
    
    Login Name           SELinux User         MLS/MCS Range        Service
    
    __default__          unconfined_u         s0-s0:c0.c1023       *
    root                 unconfined_u         s0-s0:c0.c1023       *
    system_u             system_u             s0-s0:c0.c1023       *

说明，Linux非root用户默认被映射为SELinux unconfined\_u，即不受限制；Linux root默认被映射为SELinux unconfined\_u，即不受限制；system\_u是个特殊的SELinux用户标识符，专用于系统进程和系统对象，永远不要将其与Linux用户关联。

3) 一个SELinux user可能拥有多个roles，这里的role是由SELinux的策略定义的，与Linux系统用户管理部分的role无关。SELinux  role的名称都以\_r后缀。另外，任何一个系统资源都默认拥有一个名为object\_r的role。

查看全部SELinux roles（需要安装setools-console软件包），可以执行如下命令：

[root@myhost ~]# seinfo -r
    
    Roles: 14
       auditadm_r
       dbadm_r
       guest_r
       staff_r
       user_r
       logadm_r
       object_r
       secadm_r
       sysadm_r
       system_r
       webadm_r
       xguest_r
       nx_server_r
       unconfined_r

4) SELinux type用于定义一个进程所属的domain、或一个文件的类型。在SELinux的策略中，大多数的规则都是基于SELinux type定义的。这是SELinux策略检查的关键参数。如通过entrypoint，实现不同type之间的互相访问。

SELinux type的命名以\_t结尾。示例如下：

*  Web server(如Apache、 Nginx、 Tomcat)的type为httpd\_t
 *  Web server的端口的type为http\_port\_t
 *  Web server的docroot目录/var/www/html/的type为httpd\_sys\_content\_t
 *  /tmp或/var/tmp目录的type为tmp\_t
 *  MySQL的type为mysqld\_db\_t

查看全部SELinux types（需要安装setools-console软件包），可以执行如下命令，types太多，这里就不给出结果了：

seinfo -t

常见Linux内核资源的SELinux type如下：

*  kernel\_t
 *  init\_t
 *  fs\_t
 *  unconfined\_service\_t
 *  unconfined\_t

2. SELinux context的典型操作

1) 查看一个文件temp.log的SELinux context  
        SELinux context存储于文件系统的扩展属性。  
        \[root@serobidvmm02 bidvmm\]\# ls -Z temp.log  
        -rw-r--r--. root root unconfined\_u:object\_r:user\_home\_t:s0 temp.log  
        或  
        getfattr -n security.selinux temp.log

2) 查看一个进程（特别是服务的daemon进程）的SELinux context  
        从RHEL/CentOS 6.6开始，Nginx的SELinux context的label为httpd\_t，查看Ngnix服务的SELinux context：  
            ps auZ | grep nginx  
            ps -e --context | grep nginx  
            ps -eZ | grep nginx  
        httpd\_t的SELinux context，允许Ngnix监听常见的Web服务器端口，允许Nginx访问/etc/nginx目录下的配置文件，允许访问标准的docroot路径/usr/share/nginx。但是不允许代理请求到upstream，不允许通过sockets与其他进程通信。

3) 查看当前shell的SELinux context  
        id -Z

4)改变一个文件的SELinux context  
        chcon -t user\_home\_t /tmp/myfile  
            说明：将文件/tmp/myfile的SELinux type修改为user\_home\_t

5)持久改变一个文件的SELinux context  
        semanage fcontext -a -t user\_home\_t /var/cache/myfile  
        restorecon /var/cache/myfile  
            说明：将文件/tmp/myfile的SELinux user修改为system\_u；将文件/tmp/myfile的SELinux type修改为user\_home\_t

6)改变当前shell的SELinux context（需要密码）  
        newrole -r system\_r -t unconfined\_t  
            说明：将当前shell的的SELinux role修改为system\_r，SELinux type修改为user\_home\_t

7) 启动应用/bin/bash，临时改变其SELinux context  
        runcon system\_u:system\_r:crond\_t:s0:c0.c255 /bin/bash

8) 重置文件的SELinux context  
        restorecon /var/cache/myfile

9) 查找所有策略规则，其中source type=httpd\_t，boolean=httpd\_can\_network\_relay  
        sesearch -A -s httpd\_t -b httpd\_can\_network\_relay

10) 查看http\_port\_t类型的端口  
        semanage port -l | grep http\_port\_t

11) 查看8080端口的SELinux type  
        semanage port -l | grep 8080

12) 设置端口8088为http\_port\_t类型  
        semanage port -a -t http\_port\_t -p tcp 8088

参考链接：

[https://github.com/SELinuxProject/selinux/wiki/Tools][https_github.com_SELinuxProject_selinux_wiki_Tools]

[https://wiki.centos.org/HowTos/SELinux][https_wiki.centos.org_HowTos_SELinux]

[https_github.com_SELinuxProject_selinux_wiki_Tools]: https://github.com/SELinuxProject/selinux/wiki/Tools
[https_wiki.centos.org_HowTos_SELinux]: https://wiki.centos.org/HowTos/SELinux