第 3 章 目标策略

过程 3.1. 如何验证 SELinux 状态

1. 确认 SELinux 已启用，正在以强制模式运行，并且正在使用 targeted 策略。正确的输出应类似如下：

   ~]$ sestatus
   SELinux status:                 enabled
   SELinuxfs mount:                /sys/fs/selinux
   SELinux root directory:         /etc/selinux
   Loaded policy name:             targeted
   Current mode:                   enforcing
   Mode from config file:          enforcing
   Policy MLS status:              enabled
   Policy deny_unknown status:     allowed
   Max kernel policy version:      30

   有关更改 SELinux 模式的详情，请查看 第 4.4 节 “SELinux 状态和模式中的永久性更改”。
2. 以 root 用户身份，在 /var/www/html/ 目录中创建一个文件：

   ~]# touch /var/www/html/testfile

3. 输入以下命令查看新创建的文件的 SELinux 上下文：

   ~]$ ls -Z /var/www/html/testfile
   -rw-r--r--  root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/testfile
   

   默认情况下，Linux 用户在 Red Hat Enterprise Linux 中运行 unconfined，这就是为什么 testfile 文件使用 SELinux unconfined_u 用户标记的原因。RBAC 用于进程，而非文件。角色对文件没有意义； object_r 角色是用于文件的通用角色（持久性存储和网络文件系统）。在 /proc 目录下，与进程相关的文件可以使用 system_r 角色。httpd_sys_content_t 类型允许 httpd 进程访问此文件。

过程 3.2. 受限进程示例

1. 以 root 用户身份，启动 httpd 守护进程：

   ~]# systemctl start httpd.service

   确认 服务正在运行。输出中应包括以下信息（只有时间戳有所不同）：

   ~]$ systemctl status httpd.service
   httpd.service - The Apache HTTP Server
   	  Loaded: loaded (/usr/lib/systemd/system/httpd.service; disabled)
   	  Active: active (running) since Mon 2013-08-05 14:00:55 CEST; 8s ago
   

2. 更改到 Linux 用户对其具有写入权限的目录，并输入以下命令。除非对默认配置进行了更改，否则这个命令会成功：

   ~]$ wget http://localhost/testfile
   --2009-11-06 17:43:01--  http://localhost/testfile
   Resolving localhost... 127.0.0.1
   Connecting to localhost|127.0.0.1|:80... connected.
   HTTP request sent, awaiting response... 200 OK
   Length: 0 [text/plain]
   Saving to: `testfile'
   
   [ <=>                              ] 0     --.-K/s   in 0s
   
   2009-11-06 17:43:01 (0.00 B/s) - `testfile' saved [0/0]
   

3. chcon 命令重新标记文件，当文件系统重新标记时，这些标签更改不会保留。对于文件系统重新标记生存的永久更改，请使用 semanage 实用程序，稍后会对此进行讨论。以 root 用户身份，输入以下命令将类型更改为 Samba 使用的类型：

   ~]# chcon -t samba_share_t /var/www/html/testfile

   输入以下命令查看更改：

   ~]$ ls -Z /var/www/html/testfile
   -rw-r--r--  root root unconfined_u:object_r:samba_share_t:s0 /var/www/html/testfile
   

4. 请注意，当前的 DAC 权限允许 httpd 进程访问 testfile。更改到您的用户具有写入访问权限的目录，并输入以下命令。除非对默认配置进行了更改，否则这个命令会失败：

   ~]$ wget http://localhost/testfile
   --2009-11-06 14:11:23--  http://localhost/testfile
   Resolving localhost... 127.0.0.1
   Connecting to localhost|127.0.0.1|:80... connected.
   HTTP request sent, awaiting response... 403 Forbidden
   2009-11-06 14:11:23 ERROR 403: Forbidden.
   

5. 以 root 用户身份，删除 testfile ：

   ~]# rm -i /var/www/html/testfile

6. 如果您不需要 httpd 运行，请以 root 用户身份输入以下命令，请输入以下命令来停止它：

   ~]# systemctl stop httpd.service