117笔记问答SELinux（Security-Enhanced Linux）是一种在Linux操作系统中实现强制访问控制（MAC）的安全模块。它通过为文件、进程和网络连接分配安全上下文来管理权限，从而增强了系统的安全性。以下是SELinux在CentOS中管理文件权限的一些关键方面：
1. 安全上下文
- 定义：每个文件、目录、进程等都有一个安全上下文，由用户（user）、角色（role）、类型（type）和级别（level）组成。
- 查看：使用
ls -Z命令可以查看文件或目录的安全上下文。 - 修改：可以使用
chcon命令临时更改安全上下文，或者使用semanage fcontext命令永久更改。
2. 基本策略
- 默认策略：CentOS默认使用SELinux的默认策略，通常是
targeted策略，它只对特定的服务和应用程序应用额外的安全限制。 - 自定义策略：如果需要，可以编写自定义策略模块来扩展或修改默认行为。
3. 文件系统标签
- 布尔值：SELinux有一些布尔值可以调整，以允许或禁止某些操作。例如，
httpd_enable_homedirs布尔值允许Apache服务器访问用户的家目录。 - 审计日志：SELinux会记录所有被拒绝的操作到审计日志中，可以通过
ausearch和aureport工具来查看和分析这些日志。
4. 进程隔离
- 域（Domain）：进程运行在一个特定的域中，每个域有其自己的权限集。例如，
httpd_t域用于Apache服务器进程。 - 转换（Transition）：当进程尝试执行不在其域内的操作时，SELinux会检查是否有相应的规则允许这种转换。
5. 网络端口和协议
- 端口标签：SELinux可以为网络端口分配标签，以控制哪些服务可以监听哪些端口。
- 协议标签：同样，也可以为不同的网络协议分配标签。
6. 用户和角色的映射
- 用户映射：SELinux可以将系统用户映射到SELinux用户，以便更好地控制访问权限。
- 角色映射：角色定义了一组权限，用户可以被分配到一个或多个角色中。
7. 管理工具
setenforce：用于切换SELinux的运行模式（Enforcing或Permissive）。getenforce：用于查看当前的SELinux运行模式。semanage：用于管理SELinux策略和上下文。audit2why和audit2allow：用于分析审计日志并生成自定义策略模块。
实施步骤
- 启用SELinux：确保SELinux在CentOS中已启用。
- 配置策略：根据需要调整默认策略或编写自定义策略。
- 监控和审计：定期检查审计日志，确保没有未授权的访问尝试。
- 测试和验证：在生产环境中部署之前，彻底测试新的配置和策略。
通过这些方法，SELinux提供了一种强大而灵活的方式来管理和保护CentOS系统中的文件权限和其他安全相关设置。