SELinux默认安全上下文的查询和修改(semanage命令)

SELinux是一种基于策略的访问控制机制，其核心概念之一是安全上下文，它是用于控制SELinux策略的关键元素。而semanage命令则是管理SELinux策略的一个重要工具，下面将对它的默认安全上下文的查询和修改进行详细讲解。

1. 查询默认安全上下文

要查询一个文件或者目录的默认安全上下文，可以使用semanage命令的fcontext子命令。比如，要查询/etc/passwd文件的默认安全上下文，可以执行以下命令：

$ semanage fcontext -l | grep /etc/passwd

其中，-l选项表示列出所有的文件上下文，grep命令用于过滤出包含/etc/passwd的那一行。查询结果的格式如下：

/etc/passwd                              regular file       system_u:object_r:passwd_file_t:s0 

这个结果表示，/etc/passwd文件的默认安全上下文具有以下三部分：

• system_u：表示用户标识符（UID）为system_u。
• object_r:passwd_file_t：表示对象的角色是passwd_file_t。

• s0：表示对象的安全级别是s0。

• 修改默认安全上下文

要修改一个文件或者目录的默认安全上下文，可以使用semanage命令的fcontext子命令。比如，要将/var/www/html目录的默认安全上下文修改为httpd_sys_content_t，可以执行以下命令：

$ semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"

其中，-a选项表示添加一个新的默认安全上下文，-t选项指定新的安全上下文类型为httpd_sys_content_t，“/var/www/html(/.*)?”表示匹配/var/www/html目录下的所有文件和子目录。修改操作完成后，要对变更生效，需要执行以下命令：

$ restorecon -R /var/www/html

这个命令的作用是将/var/www/html及其所有子目录和文件的安全上下文全部重新设置，使得新的默认安全上下文生效。

1. 实例说明

下面通过一个实例来说明查询和修改默认安全上下文的具体操作。假设有一个网站的文档根目录为/var/www/html，现在要将其默认安全上下文修改为httpd_sys_content_t，以便让Apache服务器具有访问该目录的权限。操作步骤如下：

# 查询默认安全上下文
$ semanage fcontext -l | grep /var/www/html
# 输出结果：/var/www/html(/.*)?                          all files          system_u:object_r:default_t:s0 

# 修改默认安全上下文
$ semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"

# 生效修改
$ restorecon -R /var/www/html

通过以上操作，就成功将默认安全上下文修改为了httpd_sys_content_t，使得Apache服务器可以访问该目录。